Высокая скорость обработки позволила сложному ПО как анализировать данные в реальном времени, так и оценивать старые результаты. Однако следует понимать, что эти процессы отличаются и направлены на разные цели.
Рассмотрим, к примеру, сетевой мониторинг, в рамках которого старые данные и поступающие в реальном времени используются по-разному. Пока трафик проходит по сети, маршрутизаторы и коммутаторы могут выявлять нежелательные пакеты данных путем сравнения сигнатур с базой данных об известных угрозах. Аналогично, благодаря автоматизации, интеллектуальный мониторинг сети в реальном времени может перенаправлять трафик, изменять настройки и даже выполнять незначительные задачи, восстанавливающие сеть. Анализ данных в реальном времени требует скорости и вычислительной мощности, достаточных для быстрого приема больших объемов данных. При этом скорости и автоматизации часто отдается предпочтение перед глубоким анализом данных.
Однако в случае вторжения в сеть и преступных действий, иногда требующих тщательного расследования, старые записи данных о сети могут оказаться единственным источником истины для аналитиков. Тем не менее поддержание источника истины связано с рядом трудностей. Обычно журналы регистрации трафика старше нескольких недель удаляются, чтобы снизить затраты на хранение данных. Хотя сводку сетевого трафика можно сохранить, детали будут потеряны, что может сделать невозможным тщательное расследование.