Vyhledání SIP zařízení
Nejprve je třeba vyhledat SIP zařízení dostupné z veřejného internetu. Útočníci formou kobercových náletů rozesílají do internetu žádosti v protokolu SIP a čekají na jakoukoli SIP odpověď. Zdrojem žádostí jsou speciální SW ukryté za IP adresy VPN.

Takové skenování probíhá velmi masívně a na každou IP adresu přichází každou hodinu několik SIP požadavků. Téměř výhradně jsou používány SIP žádosti OPTIONS. Z podoby SIP odpovědi útočník někdy odhadne i druh nalezeného zařízení (např. klon a verzi Asterisku).