Le module DFIR4vSphere collecte des logs et des artefacts forensiques sur les hôtes ESXi et la console vCenter. Il dispose de deux fonctions principales : Start-VC_Investigation collecte les appels API vSphere enregistrés sur la vCenter et génère des rapports sur l'inventaire ESXi, les permissions et les utilisateurs. Start-ESXi_Investigation collecte des données forensiques sur un ou plusieurs hôtes ESXi et peut générer des bundles de support pour chaque hyperviseur ciblé.