Non si comincia mai dal port scanning per segnalare l'eventuale intrusione, semmai il punto di partenza è l'intrusione e quello di arrivo è il port scanning, cioè si va a ritroso partendo dal fatto compiuto, ripercorrendo la strada fino ad arrivare all'imbocco; In pratica acquisici prove affermando con certezza che l' intruso ha fatto questo passando da qui arrivando da la.
Cio deriva dal fatto che il processo alle intenzioni non si può fare
