Rilevamento basato su anomalie

Tecnica di rilevamento delle intrusioni che confronta l'attività osservata con profili di comportamento considerato normale (utenti, host, connessioni), segnalando gli scostamenti significativi. Può individuare minacce sconosciute, ma tende a generare più falsi positivi.