Dependiendo de cada incidencia, durante la fase de investigación se hará un análisis de los datos/logs correspondientes, gestión de herramientas para capturar datos de red/logs, análisis de malware, reuniones con personal del Cliente o análisis del cronograma del incidente.