Tra i segnali di uno scanner ci sono: un clic pochi secondi dopo la consegna, più link aperti quasi insieme, richieste dalla rete di un fornitore di sicurezza o di un data center e richieste che non si comportano come un vero browser. HawkOpen ha una regola con nome per ciascuno di questi segnali.
Ogni clic riceve una categoria, ad esempio scanner di sicurezza, anteprima del link o persona, una confidenza «possibile» o «probabile» e l’elenco delle regole che hanno coinciso. Un clic che arriva dalla rete di un data center non viene mai classificato come probabile attività umana.