Экспертиза может выявить технический источник, отражённый в материалах: адрес соединения, промежуточный сервер, устройство или аккаунт. Это зависит от полноты журналов, схемы сети и наличия следов на конечных устройствах. Сопоставляют время, параметры соединений, действия приложения и настройки доступа. Срабатывание защиты или запись о подключении с необычного адреса проверяют вместе с другими данными, а не считают достаточным доказательством атаки.
Внешний адрес может относиться к общему шлюзу, VPN или скомпрометированному серверу. Без записей промежуточных узлов нельзя обещать раскрыть первоначальный источник. Даже установив устройство, нельзя автоматически определить, кто им пользовался. Подготовьте журналы за спорный период, конфигурации, сведения о часах и действиях администраторов после события. Недостающие данные оператора или чужого сервиса получают в установленном порядке; эксперт не приобретает доступ к ним автоматически.