В пакете используются 12 шаблонов атак, с помощью которых можно обнаружить все необычное в работе системы и выявить отклонения от нормальной ситуации (например, появление странного системного журнала или несанкционированное изменение свойств файла). Администратор может проанализировать, при каком состоянии системы произошла попытка взлома, и использовать полученные результаты для предотвращения подобных атак в будущем. IDS/9000 предпринимает целый ряд ответных действий, в частности, блокирует подозрительные учетные записи пользователей, посылает сигнал тревоги администратору и активизирует программы обнаружения в других приложениях.