Wytyczne odnotowują, że brak ustalonych wzorców normalnego działania sieci utrudnia odróżnienie czynności uprawnionych od złośliwych – trudność ta występuje również w organizacjach o rozwiniętych zabezpieczeniach. Ponadto typowe wskaźniki naruszenia bezpieczeństwa przy takich działaniach zwykle nie występują, co utrudnia ich rozpoznanie i śledzenie. Jako właściwą odpowiedź agencje wskazują analizę behawioralną, wykrywanie odchyleń od normy oraz proaktywne polowanie na zagrożenia.
Z tego samego powodu czynności administratorów systemów należą do najczęstszych źródeł fałszywych alarmów, ponieważ przypominają techniki napastników opisane w katalogu ATT&CK, takie jak ruch poprzeczny, modyfikacja kont, wykonywanie skryptów czy kompresja danych. Zespół prowadzący polowanie musi zatem poznać uprawnioną aktywność w danej sieci.
Podejścia W literaturze wyróżnia się trzy zasadnicze metodyki prowadzenia polowania: dochodzenia oparte na hipotezach (hypothesis-driven), poszukiwanie wskaźników naruszenia bezpieczeństwa (IOC), analizę opartą na uczeniu maszynowym.