2. 進入 服務連線統計 > 選擇可疑的PORT > 選擇欲觀察的時段，如果在此時段內一樣呈現上述情形，一樣可以懷疑是病毒發作。

至於哪種PORT可以歸類於可疑，那隻病毒常利用哪些PORT進行攻擊，以及發作時的行為模式，這些資訊則有賴於使用者平時的收集，或者是在防毒軟體通知中毒並執行清除動作後，如使用者仍懷疑是否有成功清除的話，Netinsight 2004可以觀察到毒發行為是否消失，防毒軟體是否真的運作成功，Netinsight 2004可以提供一種輔助觀察的功能。

請參考第四點，可找出發信來源，再用Exchange Server過濾發信位址。