由于许多安全漏洞是同操作系统紧密相关的，因此，检测系统类型对于攻击者具有很重要的作用。攻击者可以先扫描一段网络地址空间，搜集主机类型以及这些主机打开/关闭的端口信息，然后先暂时把这些数据放在一边。当某一系统的新漏洞被发现后，攻击者就可以在已经搜集到的情报中寻找相匹配的系统，从而实施攻击。检测系统类型主要有三种手段：即利用系统旗标，利用DNS信息，利用TCP/IP堆栈指纹。

包括安全审计记录，安全审计分析，审计事件查阅，审计事件存储。