Nortonin reaaliaikainen suojaus ja virusskannaus toimii järjestelmällä, jossa on useita eri kerroksia:
Virustietokanta.
Heuristinen analyysi.
Koneoppiminen.
Useimmat virustorjuntaohjelmat käyttävät toiminnassaan virustietokantaa, johon se vertaa laitteelta löytämiään tiedostoja. Nortonin tietokanta (jonka se pitää visusti salassa) sijoittuu vertailuissa jatkuvasti yhdeksi alansa parhaista.
Virustietokannan lisäksi Norton käyttää heuristiikkaa ja koneoppimista, jolla se tunnistaa myös uusia nollapäivähaavoittuvuuksia. Heuristiikka etsii uusien tiedostojen lähdekoodista merkkejä tunnetuista haittaohjelmista, ilmoittaen mahdollisista vaaratilanteista.
Koneoppiminen analysoi tiedostoja niiden käyttäytymisen perusteella, etsien sellaista toimintaa tai lähdekoodia, joka vastaa algoritmiin syötettyä mallia. Mikäli haittaohjelma pyrkii soluttautumaan laitteesi järjestelmätiedostoihin, muodostamaan yhteyttä WiFi-verkkoon tai tekemään muita haittaohjelmille tyypillisiä toimia, Norton osaa estää kyseisen tiedoston, vaikka vastaavaa haittaohjelmaa ei vielä edes löytyisi virustietokannasta.