Ein solches System versucht, Angriffe auf ein Computer oder ein Netzwerk zu erkennen und Maßnahmen gegen den Angriff zu ergreifen. Dies wird - ähnlich wie beim Antivirenprogramm - versucht, indem das Verhalten von Computern und Netzwerkverkehr zum einen mit Signaturen, zum anderen durch heuristische Verfahren analysiert wird.

Die Reaktionen auf einen festgestellten Angriff können vielfälltig sein und reichen vom reinen Informieren des Administrators über E-Mail oder SMS bis hin zum Blockieren sämtlichen Netzwerkverkehrs (z.B. in Zusammenarbeit mit einer Firewall).