Atliekama analizė siekiant nustatyti, kas vyko incidento metu ir pagrindinę incidento priežastį

1. Nustatykite chronologinę incidento įvykių seką ir visus susijusius sistemos išteklius bei aktyvus;
2. Bandykite nustatyti, kokie pažeidžiammuai, grėsmės ir užpuolikai buvo tiesiogiai ar netiesiogiai susiję su incidentu;
3. Išanalizuokite incidentą, kad rastumėte pagrindines, sistemines priežastis;
4. Patikrinkite kibernetinės apgaulės technologijas, siekiant surinkti papildomos informacijos apie užpuolikų elgseną.