入侵容忍系统确认攻击的发生是不可避免的，并且受攻击数据与正常数据是不能明确区分的。与入侵检测技术不同，入侵容忍主要考虑的是在入侵存在的情况下系统的生存能力，所关注的是入侵造成的影响而不是入侵的原因。它要求系统具有耐攻击的可操作性，当系统遭受攻击或入侵时，仍然能够连续地提供所期望的服务。并且，即使系统的某些组件已遭受了破坏，系统也能继续提供降级的服务。因此入侵容忍必须具有以下功能：
（1）自我诊断能力。入侵容忍依赖的检测或评估系统，称为入侵容忍的触发器。通过触发器检测到局部系统的失效或估计到系统被攻击，然后调整系统结构，重新分配资源，从而达到继续服务的目的。
（2）故障隔离能力。如果诊断部分认为某种操作可能会严重影响后续的系统运作，隔离机制会将可疑的操作隔离到特殊区域。针对被隔离的数据和操作，当判决系统认为确实是攻击时，就将被隔离的操作删除掉。当判定不是攻击时，就将这些隔离的内容融合到正确的系统中去。
（3）还原重构能力。具有入侵容忍能力的系统必须修正所有被攻击影响到的数据，而又不能采用简单的回退恢复。系统必须保证未被感染的部分不被恢复，仅仅还原被感染的文件让用户的大部分工作得以保留。
