Một sự xâm nhập (intrusion) có thể được biểu diễn như bất kỳ tập hợp hành động nào đe dọa tính toàn vẹn, bảo mật hoặc khả năng truy cập của tài nguyên mạng (ví dụ: tài khoản người dùng, hệ thống tệp, nhân hệ thống, v.v.).
Hệ thống phát hiện xâm nhập (IDS) và hệ thống ngăn chặn xâm nhập (IPS) đều giám sát lưu lượng mạng và hiệu suất hệ thống cho hoạt động độc hại. Cái trước tạo báo cáo trong khi cái sau đặt trực tuyến (in-line) và có khả năng chủ động tránh/chặn các xâm nhập được xác định.
Lợi ích của hệ thống ngăn chặn xâm nhập là nhận diện hoạt động độc hại, ghi nhật ký dữ liệu về hoạt động đó, cố gắng chặn/dừng hoạt động và ghi lại hoạt động. Các phương pháp khai thác dữ liệu có thể hỗ trợ hệ thống phát hiện và ngăn chặn xâm nhập cải thiện hiệu suất theo nhiều cách:
Thuật toán khai thác dữ liệu mới cho phát hiện xâm nhập
Thuật toán khai thác dữ liệu có thể dùng cho cả phát hiện dựa trên chữ ký (signature-based) và phát hiện dựa trên bất thường (anomaly-based). Trong phát hiện dựa trên chữ ký, dữ liệu huấn luyện được gán nhãn "bình thường" hoặc "xâm nhập". Một bộ phân loại có thể được suy ra để xác định các xâm nhập đã biết. Nghiên cứu trong lĩnh vực này đã liên quan đến ứng dụng thuật toán phân loại, khai thác luật liên kết và mô hình hóa nhạy cảm chi phí.
Phát hiện dựa trên bất thường xây dựng mô hình hành vi bình thường và tự động xác định các độ lệch quan trọng từ nó. Có nhiều phương pháp bao gồm ứng dụng phân cụm, phân tích giá trị ngoại lai, thuật toán phân loại và phương pháp thống kê. Các kỹ thuật phải hiệu quả và có khả năng mở rộng, và xử lý được dữ liệu mạng khối lượng lớn, chiều số cao và dị chất.
Phân tích Liên kết, Tương quan và Mẫu Phân biệt giúp chọn và xây dựng Bộ phân loại Phân biệt
Khai thác liên kết, tương quan và mẫu phân biệt có thể dùng để khám phá mối quan hệ giữa các thuộc tính hệ thống định nghĩa dữ liệu mạng. Dữ liệu như vậy có thể hỗ trợ cái nhìn sâu sắc về việc chọn thuộc tính hữu ích cho phát hiện xâm nhập. Thuộc tính mới được suy ra từ bản ghi tổng hợp cũng có thể hữu ích bao gồm số đếm tóm tắt lưu lượng khớp với mẫu cụ thể.
Phân tích Dữ liệu luồng (Stream Data)
Do tính chất nhất thời và động của các xâm nhập và tấn công độc hại, quan trọng phải thực hiện phát hiện xâm nhập trong môi trường dữ liệu luồng. Hơn nữa, một sự kiện có thể bình thường của riêng nó, nhưng được coi là độc hại nếu xem như một yếu tố của chuỗi sự kiện.
Do đó, thiết yếu phải nghiên cứu những chuỗi sự kiện nào thường gặp, khám phá mẫu tuần tự và xác định giá trị ngoại lai. Có nhiều phương pháp khai thác dữ liệu để khám phá cụm phát triển và xây dựng mô hình phân loại động trong luồng dữ liệu cũng thiết yếu cho phát hiện xâm nhập thời gian thực.
Khai thác dữ liệu Phân tán (Distributed Data Mining)
Xâm nhập có thể được phát động từ nhiều vị trí và nhắm đến nhiều đích đến khác nhau. Phương pháp khai thác dữ liệu phân tán có thể dùng để khám phá dữ liệu mạng từ nhiều vị trí mạng để xác định các tấn công phân tán này.
Công cụ Trực quan hóa và Truy vấn (Visualization and Querying Tools)
Công cụ trực quan hóa nên có sẵn để xem xét các mẫu bất thường được phát hiện. Các công cụ như vậy có thể bao gồm tính năng xem liên kết, mẫu phân biệt, cụm và giá trị ngoại lai. Hệ thống phát hiện xâm nhập cũng phải có giao diện người dùng đồ họa cho phép phân tích gia an ninh đặt truy vấn về dữ liệu mạng hoặc kết quả phát hiện xâm nhập.