Je mehr Applikationen ein Analyzer erkennt, desto besser. Moderne Messtools dekodieren unter anderem SQL, Oracle, Microsoft Exchange, Citrix, die gebräuchlichen E-Mail-Protokolle POP3 und SMTP sowie HTTP-Anfragen, FTP-Transfers und Voice-over-IP-Transaktionen. Doch das Dekodieren allein genügt nicht. Wichtig ist eine möglichst hohe Abstraktion der Vorgänge im Netz. Der Analyzer muss in der Lage sein, aus den Tausenden von Einzelpaketen komplette Transaktionen herauszufiltern und als Ganzes auszuwerten.
In diesen Programmroutinen steckt das komprimierte Wissen über Anwendungen, ihre spezifischen Fehlerquellen und deren Symptome. So zeigen einige Messverfahren beim E-Mail-Empfangsprotokoll POP3 an, wie viele Anfragen mit falschen Passwörtern an den Server gestellt wurden. Das kann auf einen Hacker- oder Spamangriff hindeuten, hat aber meistens einen weniger kritischen Grund: Ein Benutzer verwendet einen falsch konfigurierten Mail-Client. Oft benötigen Administratoren eine "negative" Bestätigung, also dass der Anwendungsserver eben nicht Grund für Verzögerungen und Probleme ist. In so einem Fall, wenn Antwortzeiten und vorab definierte Test-Requests keine Fehler zeigen, kann der Administrator mit dem Analyzer schichtweise tiefer gehen und den Fehler einkreisen. Die entsprechende Analyse ist in der Lage, Transferzeiten zwischen Netzwerksegmenten übersichtlich darzustellen, egal, ob sie über einen Router oder einen Switch gekoppelt sind.