マウント処理

資料では特に言及がないようですが、ジャーナルを利用するファイルシステムでは、-ro などのオプションでもジャーナルカウントか何かが一部更新されるというお話があった気がします。データそのものへの影響はないみたいですので、タイムスタンプの収集には影響を与えませんが、複製後にマウントしたデバイスのハッシュ値とかを再確認すると、オリジナルと差異が出てビックリするかもしれません。
フォレンジック用途の起動用 CD-ROM （HELIXとか）はこの辺りの変更をフォレンジカルサウンド的に懸念して手を入れているはずです。最近 Forensic Focus でも話題になっていましたね、これ読んで DEFT にしようと思っていた心が揺らいでます（笑）<追記>コメントで id:nmantani さんに DEFT V4.2.1 では修正済みと教えていただきました、ありがとうございますm(_ _)m

Linux for computer forensic investigators: «pitfalls» of mounting file systems
http://www.forensicfocus.com/linux-forensics-pitfalls-of-mounting-file-systems

Linuxでのお話で、FreeBSD 方面では実装が異なるなどあるかもしれませんが、気になる場合にはライトブロッカーを使うか、対応している環境を用意しておくといいかもしれません。
Windows 方面では Windows PE を使う方法もあるかもしれませんが、Windows PE もディスク署名の話題があるので、詳細については ukky3 さんの記事とか参照ということで。

Windows FEは forensically sound??
http://d.hatena.ne.jp/ukky3/20090904/1252078958

起動用の CD-ROM を使うということであれば、HDD 取り外さなくてもライトブロックしてからタイムスタンプを収集するという方向でもいいのかもしれません。