Sie arbeitet auf der Grundlage von Datenverkehrsanalyse mittels Signaturen und heuristischen Methoden, um verdächtiges Verhalten auszumachen und versucht dann mittels Wiedereinspielung gegen eine Sandbox eine Kompromittierung nachzuvollziehen.