統計上的異常現象

• 門檻偵測：計算特定事件發生就認定是入侵行為的頻率，頻率過高或高低就認定是入侵行為

  • 粗糙沒有效率

• 以紀錄檔為基礎的異常偵測方式：歸納單一或相關的使用者過去的行為模式，藉此偵測目前的行為是否偏差。

  • 好處是偵測程式會自己定義「正常」狀況，並且偵測「不正常」狀況，不需要人工定義之。