Vì các NIDS không thể hình dung một gói hay luồng tin thô sẽ có thể có những tác dụng xấu như thế nào với các máy trạm, và chủ yếu dựa trên những phân tích so sánh các mẫu có sẵn để nhận ra những gói tin có chứa những ý đồ xấu, tác giả của TNT giải thích.