Elle examine les propriétés, la structure et le contenu intégré du fichier sans exécuter l’échantillon.

Elle supprime le fichier avant de recueillir le moindre élément de preuve.

Elle exécute directement l’échantillon sur un hôte de production.

Elle observe uniquement les connexions réseau actives du malware.