Na modalidade ativa de um sistema de detecção de intrusão, quando algum sensor receber informação de que uma ameaça está ocorrendo, o próprio sistema toma alguma contramedida como

Impedir temporariamente o usuário de realizar login após algumas tentativas erradas de senha.

Se o usuário se deslogar do sistema, não permitir novo login em um período de tempo estipulado.

Coletar dados da navegação do comportamento do usuário no sistema para comparação com outros dias de acesso.

O sistema de detecção de intrusão pode e deve gerar e gravar os logs.

Qualquer arquivo suspeito o sistema elimina na hora.