Первым делом гляну, чтобы ОС и локализация совпадали с векторм атаки, а сетевая активность была минимальной — чтобы не светиться в SIEM. Часто просто делаю быстрый скан и проверяю, доступны ли базовые сервисы и политики — это помогает сузить варианты без лишнего шума.