La scansione della rete interna è il processo di sondare host, porte e servizi all'interno di una rete fidata per scoprire cosa è raggiungibile. Gli aggressori la usano dopo aver ottenuto un punto d'appoggio su un sistema, soprattutto un server, un firewall o un dispositivo di gestione in grado di vedere molti segmenti interni. L'obiettivo è mappare l'ambiente, trovare obiettivi di valore e identificare servizi deboli, interfacce di amministrazione esposte o percorsi per spostarsi lateralmente più in profondità nella rete.
Questo è importante perché la scansione interna spesso rivela molto più della ricognizione perimetrale. Una volta che un aggressore è all'interno, la scansione può esporre intervalli di indirizzi, versioni dei servizi, relazioni di trust e strumenti di sicurezza. I difensori osservano burst di connessioni insoliti, sweep delle porte ed enumerazione dei servizi da sistemi che normalmente non sondano altri host. Negli attacchi reali, il malware può combinare la scansione con il furto di credenziali, la cattura dei pacchetti o l'esecuzione remota per trasformare un nodo compromesso in un punto di lancio per una compromissione più ampia.