alguns têm capacidade de funcionar de forma integrada com firewalls;

seu desempenho depende do tráfego existente na rede monitorada;

podem ser instalados "antes" ou "depois" do firewall;

não necessitam de grandes ajustes na configuração para funcionar adequadamente;

geralmente há ocorrência de falsos positivos.