Dưới đây là các lĩnh vực công nghệ khai thác dữ liệu có thể được sử dụng hoặc phát triển cho phát hiện xâm nhập:
Phát triển thuật toán khai thác dữ liệu cho phát hiện xâm nhập – Thuật toán khai thác dữ liệu có thể dùng cho phát hiện lạm dụng và phát hiện bất thường. Trong phát hiện lạm dụng, dữ liệu huấn luyện được gán nhãn "bình thường" hoặc "xâm nhập". Một bộ phân loại sau đó có thể được thay đổi để phát hiện các xâm nhập đã biết.
Nhiều nghiên cứu trong lĩnh vực này bao gồm ứng dụng thuật toán phân loại, khai thác quy tắc liên kết, và mô hình hóa nhạy cảm chi phí. Phát hiện bất thường xây dựng mô hình hành vi bình thường và tự động phát hiện sự lệch đáng kể từ nó, học có giám sát hoặc không giám sát có thể được sử dụng.
Trong kỹ thuật có giám sát, mô hình được xây dựng dựa trên dữ liệu huấn luyện được gọi là "bình thường". Trong kỹ thuật không giám sát, không có dữ liệu nào cho về dữ liệu huấn luyện. Nghiên cứu phát hiện bất thường đã bao gồm ứng dụng thuật toán phân loại, phương pháp thống kê, phân cụm, và phân tích giá trị ngoại lai. Các kỹ thuật cần hiệu quả và có khả năng mở rộng, và xử lý được dữ liệu mạng khối lượng lớn, chiều cao, và hétérogène.
Phân tích liên kết và tương quan, và tổng hợp để giúp chọn và xây dựng thuộc tính phân biệt – Khai thác liên kết và tương quan có thể dùng để khám phá mối quan hệ giữa các thuộc tính hệ thống định nghĩa dữ liệu mạng. Dữ liệu như vậy có thể hỗ trợ insight về việc chọn thuộc tính hữu ích cho phát hiện xâm nhập. Thuộc tính mới được thay đổi từ dữ liệu tổng hợp cũng có thể hữu ích, bao gồm tóm tắt đếm lưu lượng khớp mẫu cụ thể.
Phân tích dữ liệu dòng (Analysis of stream data) – Do đặc điểm nhất thời và động của xâm nhập và tấn công độc hại, quan trọng phải thực hiện phát hiện xâm nhập trong môi trường dòng dữ liệu. Hơn nữa, một sự kiện có thể bình thường khi riêng lẻ, nhưng được coi là độc hại nếu xem như yếu tố của chuỗi sự kiện.
Do đó quan trọng phải nghiên cứu chuỗi hoạt động nào thường gặp cùng nhau, khám phá mẫu tuần tự, và xác định giá trị ngoại lai. Các kỹ thuật khai thác dữ liệu khác để tìm cụm phát triển và xây dựng mô hình phân loại động trong dòng dữ liệu cũng quan trọng cho phát hiện xâm nhập thời gian thực.
Khai thác dữ liệu phân tán (Distributed data mining) – Xâm nhập có thể được phát động từ nhiều khu vực và nhắm đến nhiều đích đến khác nhau. Kỹ thuật khai thác dữ liệu phân tán có thể dùng để phân tích dữ liệu mạng từ nhiều khu vực mạng để phát hiện các tấn công phân tán này.
Công cụ trực quan hóa và truy vấn (Visualization and querying tools) – Công cụ trực quan hóa phải có sẵn để xem bất kỳ mẫu bất thường nào được phát hiện. Các công cụ như vậy có thể bao gồm tính năng xem liên kết, cụm, và giá trị ngoại lai. Hệ thống phát hiện xâm nhập cũng phải có giao diện người dùng đồ họa cho phép nhà phân tích bảo mật đặt truy vấn về dữ liệu mạng hoặc kết quả phát hiện xâm nhập.