An ninh hệ thống máy tính và thông tin của chúng ta luôn ở trong rủi ro. Sự phát triển rộng rãi của web và sự gia tăng khả năng truy cập công cụ và thủ thuật cho xâm nhập và tấn công mạng đã khiến phát hiện xâm nhập trở thành yếu tố quan trọng của quản trị mạng. Một xâm nhập có thể được biểu diễn như bất kỳ tập sự kiện nào đe dọa tính toàn vẹn, bảo mật, hoặc khả dụng của tài nguyên mạng (bao gồm tài khoản người dùng, hệ thống tệp, kernel hệ thống, v.v.).
Một số hệ thống phát hiện xâm nhập thương mại bị giới hạn và không hỗ trợ giải pháp toàn diện. Các hệ thống này thường sử dụng phương pháp phát hiện lạm dụng. Phát hiện lạm dụng tìm kiếm mẫu hành vi chương trình hoặc người dùng khớp với kịch bản xâm nhập đã biết, được lưu trữ dưới dạng chữ ký.
Các chữ ký được viết tay này được duy trì vất vả bởi chuyên gia con người dựa trên kiến thức sâu rộng của họ về các phương pháp xâm nhập. Nếu tìm thấy khớp mẫu, điều này báo hiệu sự kiện tạo ra cảnh báo. Nhà phân tích an ninh con người đánh giá các cảnh báo để quyết định hành động, có thể là tắt một phần hệ thống, cảnh báo nhà cung cấp dịch vụ web liên quan về lưu lượng đáng ngờ, hoặc đơn giản ghi lại lưu lượng bất thường để tham khảo sau.
Hệ thống phát hiện xâm nhập cho mạng lớn phức tạp thường tạo ra hàng nghìn hoặc hàng triệu cảnh báo mỗi ngày, tạo ra gánh nặng lớn cho nhà phân tích an ninh. Vì hệ thống không tĩnh, chữ ký cần được nâng cấp mỗi khi phiên bản phần mềm mới xuất hiện hoặc cấu hình mạng thay đổi. Hạn chế là phát hiện lạm dụng chỉ nhận diện các trường hợp khớp chữ ký. Đặc biệt, nó không thể phát hiện các phương pháp xâm nhập mới hoặc chưa từng biết.
Xâm nhập mới có thể được khám phá bằng phương pháp phát hiện bất thường. Phát hiện bất thường xây dựng mô hình hành vi mạng bình thường (được gọi là hồ sơ/profile), có thể phát hiện mẫu mới lệch đáng kể khỏi hồ sơ. Những sự lệch này có thể xác định xâm nhập thực tế hoặc đơn giản là hành vi mới cần được thêm vào hồ sơ.
Lợi ích của phát hiện bất thường là nó có thể phát hiện xâm nhập mới chưa từng được quan sát. Thông thường, nhà phân tích con người phải lọc qua các sự lệch để xác định nào xác định xâm nhập thực. Yếu tố xác định của bất thường: Lợi ích của phát hiện bất thường là nó có thể phát hiện xâm nhập mới chưa từng được quan sát. Thông thường, nhà phân tích con người phải lọc qua các sự lệch để xác định nào xác định xâm nhập thực. Yếu tố xác định của phát hiện bất thường là tỷ lệ dương tính giả (false positives) cao. Các mẫu xâm nhập mới có thể được chèn vào tập chữ ký cho phát hiện lạm dụng.