反勒索软件使用基于机器学习的行为检测算法来扩大范围并提高检测勒索软件攻击的准确性，这比过时的基于签名的方法有了相当大的改进。当一个类似于勒索软件模式的进程浏览文件、加密并更新文件时，会发出告警。之后，告警被分类并记录为事件。
当发现异常时，通过检查该过程并将其标记为真阳性或假阳性事件来解决。如果文件恢复过程是真正的阳性，则处理。如果该过程被识别为假阳性，将来类似的过程将自动标记为假阳性。
反勒索软件利用微软的VSS服务，每三小时获取终端上所有文件的镜像文件。在勒索软件攻击后，所有受感染的文件都会恢复到存储的文件的最新副本。如果再次发生相同的勒索软件攻击，文件将自动恢复。
在终端保护方面，反勒索软件采取零信任方法。已知安全且良性的可信可执行文件可以通过排除功能排除，并且可以免除实时行为检测和事件通知，以保持生产力。为了防止排除列表而导致意外攻击，可以通过指定签名证书和文件夹来进一步限制此排除列表的范围。
