Materi
Fase penemuan dimulai dengan memindai port. Pemindai port, menurut glosarium NIST, adalah program yang menentukan dari jauh port mana pada sebuah sistem yang terbuka. Hasilnya menyebut status tiap port: open (ada layanan yang menerima koneksi), closed (tak ada layanan, tetapi host menjawab), dan filtered (ada perangkat seperti firewall yang menghalangi, sehingga status sebenarnya tak terlihat). Penguji membaca status ini untuk tahu layanan mana yang bisa dicapai.
Setelah port diketahui terbuka, langkah berikutnya mengenali layanan dan versinya. SP 800-115 menyebut version scanning, dan salah satu bentuknya adalah banner grabbing: menangkap informasi banner — tipe dan versi aplikasi — yang dikirim port saat koneksi dimulai. Dari situ penguji mencatat, misalnya, bahwa port 80 menjalankan sebuah server web versi tertentu. Dalam ATT&CK ini sejajar dengan Network Service Discovery (T1046). Hasil pindai sering disimpan sebagai berkas teks berkolom, dan penguji membacanya dengan alat terminal. Contoh satu baris (data berbeda dari latihan, IP dari blok dokumentasi RFC 5737):
198.51.100.5 443 tcp open https ServerWeb_3.4
