1) Collecte des données d'E/S par un driver dans le noyau :

Le minifilter collecte des données d’entrées/sorties (E/S) pour en extraire diverses métriques qui sont communiquées à l’application en espace utilisateur.

Il est également en charge de tuer les applications suspectes suites à leur analyse.

2) Analyse des données d'E/S par un réseau de neurones embarqué :

les données d’entrées/sorties (E/S) sont analysées. Si elles dépassent certains seuils, elles sont soumises à une analyse approfondie par un réseau de neurones embarqué, qui constitue le cœur de la solution Owlyshield Ransom. Si une menace est identifiée, les programmes suspects sont tués et de nombreuses informations techniques sont écrites sur le disque pour analyse rétrospective.

3) Interface locale :

Une interface locale d’administration permet de consulter les menaces identifiées ainsi que leur activité en détails, pour en confirmer la menace, ou au contraire la marquer comme étant un faux-positif.

4) Interface en ligne :

L’interface en ligne centralise les menaces identifiées sur l’ensemble des postes de la société. Le responsable informatique dispose alors de toutes les informations techniques pour agir en conséquences.