derrubar conexões de rede suspeitas que fogem aos padrões usuais históricos do sistema sendo atacado.

comparar as atividades em execução com padrões de atividades de ameaças bem conhecidas, interrompendo-as forçadamente quando encontradas.

bloquear atividades que fogem das políticas de segurança da organização, as quais são previamente definidas e configuradas por um administrador.

atrair o atacante para um sistema que se parece com um alvo legítimo, distraindo-o e desviando-o da intrusão dos alvos reais.

escanear uma rede Wi-Fi por acessos não autorizados e derrubar dispositivos não reconhecidos da rede.