W przeciwieństwie do zewnętrznych ataków rozpoznawczych, rozpoznanie wewnętrzne odbywa się na miejscu. Oznacza to, że ataki są przeprowadzane w obrębie sieci, systemów i lokali organizacji. W większości proces ten jest wspomagany przez narzędzia programowe. Atakujący wchodzi w interakcję z rzeczywistymi systemami docelowymi w celu uzyskania informacji o jego lukach. Na tym polega główna różnica między technikami rozpoznania wewnętrznego i zewnętrznego. Rozpoznanie zewnętrzne odbywa się bez interakcji z systemem, ale poprzez znajdowanie punktów wejścia za pośrednictwem ludzi pracujących w organizacji. Dlatego większość zewnętrznych prób rozpoznania polega na tym, że hakerzy próbują dotrzeć do użytkowników za pośrednictwem mediów społecznościowych, e-maili i połączeń telefonicznych. Rozpoznanie wewnętrzne jest nadal atakiem pasywnym, ponieważ celem jest znalezienie informacji, które można wykorzystać w przyszłości do jeszcze poważniejszych ataków. Głównym celem wewnętrznego rozpoznania jest wewnętrzna sieć organizacji, w której hakerzy z pewnością znajdą serwery danych i adresy IP hostów, które mogą zainfekować. Wiadomo, że dane w sieci może odczytać każdy w tej samej sieci z odpowiednimi narzędziami i zestawem umiejętności. Atakujący wykorzystują sieci do wykrywania i analizowania potencjalnych celów ataku w przyszłości. Rozpoznanie wewnętrzne służy do określenia istniejących mechanizmów bezpieczeństwa, które zapobiegają próbom włamania. Istnieje wiele narzędzi bezpieczeństwa cybernetycznego, które zostały stworzone w celu ograniczenia oprogramowania wykorzystywanego do przeprowadzania ataków rozpoznawczych. Jednak większość organizacji nigdy nie instaluje wystarczającej liczby narzędzi zabezpieczających, a hakerzy wciąż znajdują sposoby na włamanie się do już zainstalowanych. Istnieje wiele narzędzi, które hakerzy przetestowali i które okazały się skuteczne w badaniu sieci ich celów. Większość z nich można zaliczyć do narzędzi do wąchania.