NetWitness Investigator je alat za analiziranje mrežnog prometa. Analiza je moguća iz već snimljenog mrežnog prometa ili je moguće snimiti trenutni promet (eng. real time). Od Wiresharka se razlikuje po tome što nije orijentiran na analizu svakog paketa pojedinačno, nego pruža „viši“ pogled na tok podataka. Naravno moguće je i vidjeti promet na razini paketa. Ovu riječ „viši“ najlakše je opisati pomoću sljedećeg primjera. Promet se u alatu sortira po kategorijama, pa tako između ostalog imamo i kategoriju servis. Ako uzmemo za primjer HTTP servis, Netwitness Investigator ne identificira HTTP promet samo po tome što se komunikacija odvija po portu 80, nego baš traži HTTP protokol u svim podacima. Upravo iz razloga što je promet podijeljen po kategorijama moguće je brzim pojedinim klikovima doći do konkretne informacije koja nas zanima. Ukoliko znamo da se dogodio neki incident na računalu s određenom IP adresom, klikom na tu adresu u kategoriji „Source IP address“ dobivamo sav promet koji je potekao s tog računala. Ako želimo dobiti podatke o HTTP prometu, opet izaberemo HTTP u kategoriji „Service Type“ i tako dalje. Jedna od funkcionalnosti je rekonstrukcija i generiranje datoteka iz podataka koje analiziramo, pa se tako mogu izvući slike, audio i ostale datoteke. Alat nudi hrpu funkcionalnosti i svakako preporučamo instalaciju i istraživanje svih njegovih funkcionalnosti. Kao nedostatke besplatne inačice naveli bi ograničenu količinu podataka za analizu ( do 1 GB) te opsežniji proces registracije potrebne za dobivanje licence za korištenje.
