W przypadku ochrony w czasie rzeczywistym i skanowania antywirusowego Norton zapewnia wielowarstwowe działanie, w tym:
Katalog złośliwego oprogramowania.
Analiza heurystyczna.
Uczenie maszynowe.
Większość programów antywirusowych wykorzystuje katalog złośliwego oprogramowania, porównując kod każdego przeskanowanego pliku z setkami tysięcy znanych plików malware. Katalog złośliwego oprogramowania Nortona (który jest ściśle tajny) konsekwentnie plasuje się wśród najlepszych na rynku.
Norton wykorzystuje również heurystykę i uczenie maszynowe do wykrywania zagrożeń typu zero-day. Heurystyka analizuje kod nowych plików pod kątem znanego złośliwego oprogramowania, oznaczając potencjalnie niebezpieczne pliki, które zawierają podobny kod.
Uczenie maszynowe analizuje pliki na podstawie ich zachowania, szukając działań i kodu źródłowego, podobne do plików złośliwego oprogramowania, które zostały przekazane interfejsowi uczenia maszynowego Norton. Jeśli złośliwe oprogramowanie próbuje osadzić się w plikach głównych lub zaszyfrować pliki systemowe, połączyć się z siecią Wi-Fi lub wykonać inną operację podobną do złośliwego oprogramowania, program Norton może zablokować i oznaczyć ten plik malware, nawet jeśli jest to zagrożenie typu zero-day, które nie znajduje się w żadnym katalogu złośliwego oprogramowania.