Dopiero na tej podstawie analityk stawia pytania o kroki, jakie napastnik musiałby wykonać po uzyskaniu dostępu do sieci, i przekształca je w hipotezy.
Wskaźniki a zachowania Poszczególne rodzaje śladów pozostawianych przez napastnika nie są równorzędne. Uporządkowanie zaproponowane w 2013 roku przez Davida Bianco, znane jako piramida bólu (), szereguje je według trudności, jaką ich wykrycie sprawia napastnikowi: od sum kontrolnych plików, przez adresy IP i nazwy domen, artefakty sieciowe i systemowe, aż po używane narzędzia. Na szczycie tego uporządkowania znajdują się taktyki, techniki i procedury, czyli same zachowania.
Sumę kontrolną wystarczy zmienić o jeden bajt, a adresy i domeny wymieniane bywają rutynowo. Wykrycie narzędzia zmusza napastnika do znalezienia albo napisania nowego, co oznacza koszt wytworzenia i nauki obsługi. Najwyższy poziom dotyczy sposobu działania, a nie oprogramowania – reagowanie na nim wymusza naukę nowego postępowania albo rezygnację z ataku.