Phương pháp phân tích dựa trên việc thu thập và kiểm soát sự kiện ở nhiều tầng: ứng dụng, nhân hệ điều hành, hypervisor, SMM và phần cứng. Tác giả phân tích cơ chế hoạt động và khả năng che giấu của phần mềm độc hại ở từng tầng, từ đó đề xuất mô hình sự kiện dạng đồ thị để mô tả tương tác giữa các thành phần hệ thống. Các công cụ bảo mật hiện tại thường chỉ hoạt động ở một hoặc hai tầng, dẫn đến thiếu cơ chế kiểm soát tổng thể. Phần mềm độc hại hiện đại có khả năng di chuyển giữa các tầng để tránh bị phát hiện. Phương pháp phân tích phân cấp giúp xác định mối liên hệ giữa các sự kiện vi phạm bảo mật và hỗ trợ xây dựng hệ thống giám sát bảo mật toàn diện, hoạt động bí mật để tránh bị phần mềm độc hại phát hiện.