Злоумышленники могут выполнять активное сканирование сети с целью получения информации, которая может быть использована для атак. В ходе активного сканирования злоумышленник непосредственно направляет трафик в инфраструктуру жертвы, что отличает этот метод от других форм разведки, не требующих прямого взаимодействия.

Злоумышленники могут использовать разные формы активного сканирования в зависимости от того, что именно их интересует. Сканирование может выполняться разными способами, в том числе посредством встроенных функций сетевых протоколов, таких как ICMP. Собранная при сканировании информация может открыть дополнительные возможности для разведки (например, поиска на общедоступных сайтах или поиска технической информации в общедоступных источниках) и способствовать получению операционных ресурсов (в частности, разработке собственных средств или подготовке необходимых средств) и (или) обеспечению первоначального доступа (например, путем эксплуатации внешних служб удаленного доступа или недостатков в общедоступных приложениях).