Anomaly - based NIDs werk
op het principe dat de indringer niet het netwerk in te voeren om het uitvoeren van regulier werk . Alle geautoriseerde toegang heeft een doel afhankelijk van de functie van de organisatie bediend door het netwerk en dus een regelmatig patroon. Activiteiten van de indringer niet in het patroon passen .
Method

Een nieuw geïnstalleerde anomalie - gebaseerde NID heeft tijd nodig om informatie over reguliere activiteit op een netwerk te verzamelen . Dit leerfase genereert een basislijn in de vorm van een statistische weergave van geregistreerde activiteit . Zodra dat basislijn is vastgesteld , de NID genereert een waarschuwing wanneer de activiteit afwijkt van de erkende normale patroon.
Problemen

Anomaly - based NIDs
nodig een tijdje om statistieken te verzamelen over " normale " netwerkactiviteit . Gedurende deze tijd , het systeem ongecontroleerde en kwetsbaar voor aanvallen . Een onopgemerkt aanval kan uiteindelijk worden meegenomen in de evaluatie van de normale activiteit , waardoor de effectiviteit van de strategie te verminderen .