Investigator różni się od większości rozwiązań do skanowania sieci, ponieważ do sprawdzania aplikacji i zmian w zawartości, jak również ataków pochodzących spoza sieci, wykorzystuje narzędzia śledcze. Oprogramowanie udostępnia użytkownikowi szczegółową analizę szkodliwych działań w sieci.

Pakiet ma uzupełniać luki w innych produktach zapewniających bezpieczeństwo. Pomaga w identyfikowaniu problemów bezpieczeństwa sieci, ataków wewnętrznych lub skomplikowanych ataków zewnętrznych.

NetWitness Investigator w swoich w działaniach nie opiera się na listach znanych zagrożeń, przygląda się natomiast zmianom w sieci i powiadamia użytkownika o możliwych problemach z tego wynikających.

Bezpłatna wersja oprogramowania jest w pełni funkcjonalna i gotowa do użycia w sieci. Darmowa licencja dopuszcza jednoczesną pracę 25 użytkowników i przechwytuje dane do 1 GB. Zawiera także większość mechanizmów komercyjnej wersji Investigator Enterprise, oferowanej w postaci urządzenia z platformą Linux i z możliwością zdalnego monitorowania sieci. Wersja dla przedsiębiorstw ma też zautomatyzowany moduł raportów Informer i pakiet rejestrowania danych - Decoder.