Estos sistemas monitorean en tiempo real los comportamientos de los usuarios, buscando patrones de actividades que sean sintomáticos de un ataque en proceso, para alertar a los responsables de la operación de los sistemas, y proceder, una vez confirmado el ataque, a tomar acciones para documentarlo, abortarlo y revertirlo.