Dabei werden alle durchgeführten Applikationen geprüft und nach ihrem Verhalten und ihrer Bekanntheit beurteilt. Dieser Baustein erhöht den Schutzwert für bekannte Sicherheitslücken auf Netzebene. Sie schützt zuverlässig vor Schadprogrammen, über Netzwerke verteilten Attacken und versucht, Sicherheitslücken auszunutzen, für die noch kein Patches bereitstehen.
Die in das Programm eingebaute Sandbox erkennt das eigentliche Fehlverhalten von getarnter Schadsoftware. Mit Cloud-basiertem Sandboxing werden bisher nicht bekannte Gefahren wie Zero-Day-Bedrohungen noch sicherer aufgedeckt.
Mit dem Windows Defender wird Microsoft gewisse Anwendungen, die Benutzer für den Verkauf kostenpflichtiger Aktualisierungen benötigen, bereitstellen. Laut Unternehmen sind gewisse Anwendungen davon berührt, die den Anwender glauben lassen, sich in einer Situation der Zwangsmitteilung zu befinden, die nur durch eine Bezahlung behoben werden kann. Laut Microsoft sollte besonders alarmierende oder übertriebene Gefahren verursachende Anwendungen beseitigt werden.
Bei manchen Programmen wird behauptet, dass Benutzer mit einem Virus oder anderer bösartiger Hardware infiziert sind, auch wenn sich keine andere schädliche Hardware auf dem Computer befindet als Vogelscheuche. "Ungewollte Software" Windows Defender sollte solche Anwendungen ab dem 01. Mai als "unerwünschte Software" einstufen und im Zweifelsfalle aufheben. Auch Microsoft möchte Feedback von Seiten der Anwender erhalten, um herauszufinden, welche Produkte derzeit in diese Gruppe fallen.
2016 hatte Microsoft einen ersten Versuch unternommen, ungewollte Programme aufzuspüren. Windows Defender ist in die aktuellen Windows-Versionen eingebunden und ab Werk aktiviert. Neben ungewollten Anwendungen mahnt Microsoft regelmässig vor falschen Supportanrufen von angeblichen Mitarbeitern des Konzerns.