行動分析は、異常な送信通信パターンや疑わしい実行時動作を特定することができ、これはHTTPやDNSなどの一般的に許可されているプロトコル内にコマンド＆コントロール通信を隠蔽するファイルレスマルウェアを検出するために不可欠です。

ACKスキャンは主に、ポートがファイアウォールによってフィルタリングされているか、フィルタリングされていないかを判断するために使用されます。ポートが開いているか閉じているかを直接判断するのではなく、ファイアウォールのルールやパケットフィルタリングの動作を特定するのに役立ちます。

CEH v13ネットワークスキャン技術によると、FINスキャンはFINフラグのみを設定したTCPパケットを送信するステルススキャン手法です。その動作はRFC 793に基づいており、RFC 793では、閉じているポートはTCP RSTで応答し、開いているポートはパケットをサイレントに破棄する必要があると規定されています。
しかし、最新のファイアウォール、IDS/IPSシステム、および強化されたTCP/IPスタックは、ポートの状態に関係なくFINパケットをフィルタリングしたり、サイレントに破棄したりすることがよくあります。そのため、FINスキャンで多数のポートから応答がない場合でも、ポートが開いていることを決定的に示すものではありません。むしろ、CEH v13では、このような動作はファイアウォールやセキュリティ制御によるパケットフィルタリングを示していることが多いと強調しています。
オプションAは、応答がないからといってポートが確実に閉じているとは限らないため、誤りです。オプションBは過剰反応です。ステルススキャンの異常だけでは侵害を示すものではありません。オプションCは、輻輳が複数のプロトコルに影響を与え、FIN応答を選択的に抑制することはないと考えられるため、可能性は低いでしょう。
CEH v13では、FINスキャンで曖昧な結果が出た場合、アナリストは追加のスキャンタイプ（SYNスキャンなど）を使用して結果を関連付け、ファイアウォールルールとフィルタリング動作を調査することを推奨しています。したがって、オプションDが最も正確な解釈であり、CEHのガイダンスと一致しています。