Исследование помогает выяснить, как произошёл инцидент, какие системы затронуты и какие следы сохранились. Остановка действующей атаки и восстановление сервиса относятся к реагированию: эти действия согласуют с ответственными администраторами и специалистами по безопасности. Экспертное заключение само по себе не блокирует соединения и не возвращает утраченные файлы. Не следует откладывать защиту системы ради ожидания полного исследования.
До изменений по возможности сохраняют журналы, конфигурации и копии, не создавая риска. Все действия — изоляцию, изменение прав доступа, перезапуск, очистку и восстановление — фиксируют с указанием времени и исполнителя. Самостоятельная установка средств поиска или запуск подозрительного файла может изменить либо уничтожить следы. Восстановление зависит от резервных копий, перезаписи, шифрования и состояния носителей; гарантировать его нельзя. Для комплексного анализа устройства и сетевой активности может потребоваться киберкриминалистическое исследование.