Как правоохранительные органы контролируют канал с интернет-провайдером?

Если бы я создавал СОРМ, я бы наоброт писал товарищей, которые слишком часто используют защифрованные протоколы или Tor (его вообще возможно вычислить путем анализа заголовков протокола прикладного уровня?)