Das Know-how, das zur Eingrenzung oder Behebung eines bereits laufenden Angriffs notwendig ist, ist sehr speziell und erfordert einerseits eine entsprechende Fachausbildung und andererseits (im Idealfall tiefergehendes) Verständnis über das IT-System, das gerade angegriffen wird.
Damit grenzt sich die Gruppe jener Personen und Organisationen, die auf solche Angriffe unterstützend reagieren können von jenen ab, die sich auf die vorbereitende Absicherung oder den Wiederaufbau nach einem Angriff fokussieren.