A valós idejű védelem és a víruskeresés biztosításához a Norton többrétegű megközelítést alkalmaz, mely többek között a következőkből áll:
A rosszindulatú kódokat tartalmazó adatbázis.
Heurisztikákon alapuló elemzés.
Gépi tanulás.
A legtöbb vírusirtó program szintén használ vírusdefiníciós adatbázist, így minden ellenőrzött fájl tartalmát összevetik az ismert rosszindulatú programkódok százezreivel. A Norton adatbázisa (melynek tartalma szigorúan őrzött titok) alapvetően a piacon a legjobbak közé tartozik.
A Norton emellett heurisztikákat és gépi tanulást alkalmaz a nulladik napi támadások felderítésére. A heurisztikák az új, ismeretlen fájlok tartalmát elemzik az ismert rosszindulatú kódokkal összehasonlítva őket, és megjelölik azokat a potenciálisan veszélyes fájlokat, amelyekben valamilyen szempontból hasonló kódot észleltek.
A gép tanulás pedig a fájlok viselkedését elemzi, olyan műveletek és forráskódok után kutatva, amelyek hasonlítanak a Norton gépi tanulást alkalmazó programja által már megismert rosszindulatú kódokra. A Norton így képes megjelölni és blokkolni az adott kártékony programot, ha az például megkísérli beágyazni magát a gyökérkönyvtárban a fájlokba, titkosítani próbálja a rendszerfájlokat, csatlakozni próbál a wifi hálózathoz, vagy valamilyen más rosszindulatúnak tűnő műveletet próbál végrehajtani — még akkor is, ha nulladik napi támadásról van szó, melynek kódját még egyetlen definíciós adatbázis sem tartalmazza.