Это другая задача. Экспертиза использования сетевых технологий восстанавливает события, которые уже произошли: кто подключался, что передавалось, как шла атака. Поиск слабых мест до инцидента — проверка настроек, обновлений, прав доступа и защиты периметра — относится к аудиту информационной безопасности.
Разбирая уже случившийся инцидент, эксперт всё же устанавливает, через какую настройку или учётную запись прошло подключение: открытый наружу порт, общий пароль администратора, незакрытая учётная запись бывшего подрядчика. Это показывает, где была уязвимость в момент события, но не заменяет полной проверки сети.
Если подозрительная активность уже замечена, сначала сохраните журналы: аудит, проведённый сразу после неё, может изменить настройки и затереть следы того, что происходило до него.