Network etterforskning innebærer overvåking og analyse av digitale data . Network etterforskning inkluderer også fange data som kan brukes som bevis i rettssaker . Typer nett-basert dokumentasjon er: full innhold data , session data, statistiske data og varsling data . Full - innholdsdata

Full - innhold data er en registrering av all informasjon som sendes gjennom nettverket på et bestemt punkt og tid. Selv om dette er åpenbart den mest informative type bevis, er det en enorm mengde data å analysere for bevis. Full - innhold datafangst krever mye minne og nettverksressurser , og derfor ikke kan være den mest praktiske form for nett-basert dokumentasjon .
Session data
< p > Session data , også kjent som samtale eller flyt data , er en fangst av strømmen av data mellom to systemer eller brukere . Denne typen bevis er effektivt for å verifisere tilkoblinger til ondsinnede eller uautorisert parter. Session data inkluderer typisk bevis på de data som overføres , identifisering av de involverte partene , og varigheten og tidspunktet for overføringen. Session data kan finne røde flagg som økter med unormal frekvens eller varighet , uvanlige mengder data som overføres og forbindelser til ikke- standard protokoller .
Statistiske data
< p > Statistisk nettverk bevis fremhever de uvanlige mønstre av dataoverføring og protokoller som er tilgjengelige . Generelt ser statistiske data på hele nettverket i stedet for individuelle session data . Statistiske bevis omfatter overvåke hele nettverket over bestemte tidsperioder for å fange opp tider med overdreven dataoverføring. Den systemer analytiker kan bruke denne informasjonen til å finne høye nivåer av innkommende eller utgående data som tyder upassende bruk av nettet . Analytikere kan også overvåke blanding av protokollene som brukes i bestemte tidsperioder for å finne uvanlige mønstre .

For å få følelse av statistiske data , må nettverk analytikere begynne med en rekke aktivitetsprofil . Host aktivitet profilering skaper et utgangspunkt på typisk aktivitet på et gitt nettverk . Analytikere bruke denne baseline å sammenligne nettverk bruksmønstre og identifisere avvik fra det normale mønsteret eller profil .
Alert data

Network programvare kan programmeres til å reagere på bestemte søkeord eller kjent ondsinnet IP-adresser. Programvaren utløser nettverk for å fange opp tilfeller av disse søkeordene eller uautorisert tilgang . Denne informasjonen kan spores til bestemte brukere og spesifikke tidsperioder . Varsle programvare kan også blokkere tilgang til eller fra upassende servere eller nettsteder . Dette kan imidlertid føre til "falske positive " eller blokkering av nettsider eller servere som er ufarlig som utløser programvaren. Dette kan føre til en demping av nettverkstrafikk.