作为读写扫描的一部分，Sophos Behavior Monitoring 保护 Windows 计算机免遭未被识别的或“零天”安全隐患，以及可疑行为的威胁。
运行时检测可以中止那些在执行前无法检测到的安全隐患。行为监控使用以下的运行时检测的方法中止安全隐患：
恶意和可疑行为检测
可疑行为检测，通过 Sophos 的主机入侵防范系统 (HIPS)，动态地分析所有在计算机上运行的程序，以检测并阻断可能带有恶意的程序活动。可疑行为，包括更改注册表，使得在计算机启动时，病毒会自动运行。
可疑行为检测会监测所有系统进程中恶意软件的活动迹象，如：可疑的注册表写入操作，或文件复制操作等。可以设置提醒管理员和/或阻断进程。
恶意行为检测，可以对所有运行在计算机上的程序进行动态分析，以检测并阻断已知的恶意行为。
缓冲区溢出检测
缓冲区溢出检测对于处理当天最新出现的安全隐患很重要。
它可以动态地分析正在系统中运行的程序的行为，以便及时检测到使用缓冲区溢出手段利用正在运行的进程的企图。它可以捕捉针对操作系统软件和应用程序软件中的安全漏洞发起的攻击。