Сканирование разным бывает. Закон Яровой предполагал сохранение контента передаваемых данных, что технически реализовать не выйдет, а в том о чем пишу я - контент не нужен.

Составить список узлов активно передающих данные в пределах 5 минут от события, которое было 1 минуту назад - для провайдеров это простое, составить список IP, с которыми эти узлы соединялись в пределах этих 5 минут - сложнее, но и это тоже не ахти какой объём информации. И тут не важно что передавалось, важно когда, откуда, куда, сколько байт - лишь самые элементарные метаданные, которые провайдеры и так собирают для оптимизации работы электронных сетей. Далее отсев только тех кто на проксях и торренте (отсев по целевым IP). Пара таких процедурок отсева узлов в те моменты когда разыскиваемый автор выкладывает сообщения на толк - и остаётся всего лишь сотня-другая подозреваемых, которых далее можно неспешно сканировать по очереди.

Но политика Неуловимого Джо - разумеется, лучшая защита. Джо Неуловим лишь потому, что никто никогда не собирался его ловить. Тем не менее, автор интересовался как его можно поймать и делал вид словно вовсе не понимает как это в принципе возможно. Вот я описал как возможно ловили бы его будь у него деньги и влияние.