Злоумышленники могут сканировать блоки IP-адресов атакуемых инфраструктур с целью сбора информации для атак. Публичные IP-адреса могут быть выделены организациям в виде блока или диапазона последовательных адресов.

Злоумышленники могут сканировать блоки IP-адресов для сбора информации об атакуемой сетевой инфраструктуре, например о том, какие IP-адреса активны, и о хостах, которым они назначены. Сканирование может варьироваться от простых пингов (запросов и ответов ICMP) до более детального анализа, который выявляет, какое программное обеспечение и каких версий развернуто на хосте, через баннеры сервера или другие сетевые артефакты. Собранная при сканировании информация может открыть дополнительные возможности для разведки (например, поиска на общедоступных сайтах или поиска технической информации в общедоступных источниках) и способствовать получению операционных ресурсов (в частности, разработке собственных средств или подготовке необходимых средств) и (или) обеспечению первоначального доступа (например, путем эксплуатации внешних служб удаленного доступа).