Parmi les signes d’un scanner : un clic quelques secondes après la remise, plusieurs liens ouverts presque en même temps, des requêtes venant du réseau d’un éditeur de sécurité ou d’un centre de données, et des requêtes qui ne se comportent pas comme un vrai navigateur. HawkOpen a une règle nommée pour chacun de ces signes.
Chaque clic reçoit une catégorie, par exemple scanner de sécurité, aperçu de lien ou humain, une confiance « possible » ou « probable » et la liste des règles déclenchées. Un clic venant du réseau d’un centre de données n’est jamais classé comme activité humaine probable.