Na skaner wskazują między innymi: kliknięcie kilka sekund po dostarczeniu, kilka linków otwartych prawie jednocześnie, żądania z sieci dostawcy zabezpieczeń lub centrum danych oraz żądania, które nie zachowują się jak prawdziwa przeglądarka. HawkOpen ma osobną, nazwaną regułę dla każdego z tych sygnałów.
Każde kliknięcie dostaje kategorię, na przykład skaner bezpieczeństwa, podgląd linku albo człowiek, pewność „możliwe” albo „prawdopodobne” oraz listę reguł, które zadziałały. Kliknięcie z sieci centrum danych nigdy nie jest klasyfikowane jako prawdopodobna aktywność człowieka.