Die Verhaltens­analyse des Sicher­heits­programms bewertet die Aktionen, die ein Programm ausführt und schlägt bei bestimmten Vorgängen und Abläufen Alarm. Sie reagiert auf konkrete Veränderungen in der Konfiguration, auf der Fest­platte oder im Arbeits­speicher, indem sie die Vorgänge blockiert. Wenn sie das tut, wurde aber bereits der Programm­code ausgeführt. Möglicher­weise Programm­code eines Schad­programms – der Rechner könnte jetzt infiziert sein. Deshalb sollte das Sicher­heits­programm jedes verfügbare Update sofort laden. Damit werden Schädlinge gestoppt, bevor sie aktiv werden. Die Verhaltens­analyse des Sicher­heits­programms ist nur eine Ergän­zung. Mit etwas Glück kann sie Schad­programme im Ablauf stoppen, die dem Schutz­programm bisher nicht bekannt waren.