ต่อไปนี้คือพื้นที่ที่เทคโนโลยีการทำเหมืองข้อมูลสามารถใช้หรือสร้างขึ้นสำหรับการตรวจจับการบุกรุก (intrusion detection) ดังนี้:
การพัฒนาอัลกอริทึมการทำเหมืองข้อมูลสำหรับการตรวจจับการบุกรุก (Development of data mining algorithms for intrusion detection) — อัลกอริทึมการทำเหมืองข้อมูลสามารถใช้สำหรับ misuse detection และ anomaly detection ใน misuse detection ข้อมูลฝึกอบรมถูกติดป้ายกำกับว่า "normal" หรือ "intrusion" ตัวจัดประเภท (classifier) จึงสามารถเปลี่ยนเพื่อตรวจจับการบุกรุกที่รู้จัก มีงานวิจัยหลายอย่างในพื้นที่นี้รวมถึงการประยุกต์ใช้อัลกอริทึมจัดประเภท, association rule mining, และ cost-sensitive modeling Anomaly detection สร้างโมเดลพฤติกรรมปกติ และตรวจจับการเบี่ยงเบนที่มีนัยสำคัญจากมันโดยอัตโนมัติ สามารถใช้ supervised หรือ unsupervised learning
ในเทคนิค supervised โมเดลสร้างขึ้นจากข้อมูลฝึกอบรมที่เรียกว่า "normal" ในเทคนิค unsupervised ไม่มีข้อมูลให้เกี่ยวกับข้อมูลฝึกอบรม การวิจัย anomaly detection เกี่ยวข้องกับการประยุกต์ใช้อัลกอริทึมจัดประเภท, วิธีทางสถิติ, clustering, และ outlier analysis เทคนิคที่ใช้ต้องมีประสิทธิภาพและขยายตัวได้ และสามารถจัดการข้อมูลเครือข่ายปริมาณมาก, มิติสูง, และ heterogeneous
การวิเคราะห์ความเชื่อมโยงและความสัมพันธ์ และการรวมเพื่อช่วยเลือกและสร้างแอตทริบิวต์ที่แบ่งแยกได้ (Association and correlation analysis, and aggregation to help choose and construct discriminating attributes) — การทำเหมืองความเชื่อมโยงและความสัมพันธ์สามารถใช้ค้นพบความสัมพันธ์ระหว่างแอตทริบิวต์ระบบที่กำหนดข้อมูลเครือข่าย ข้อมูลดังกล่าวสามารถให้ข้อมูลเชิงลึกเกี่ยวกับการเลือกแอตทริบิวต์ที่มีประโยชน์สำหรับการตรวจจับการบุกรุก แอตทริบิวต์ใหม่ที่สร้างจากข้อมูลรวม (aggregated data) ก็อาจมีประโยชน์ เช่น จำนวนสรุปของจราจรที่ตรงกับรูปแบบเฉพาะ
การวิเคราะห์ข้อมูลสตรีม (Analysis of stream data) — เนื่องจากลักษณะชั่วคราวและไดนามิกของการบุกรุกและการโจมตีที่เป็นอันตราย จำเป็นต้องดำเนินการตรวจจับการบุกรุกในสภาพแวดล้อม data stream อีกทั้ง เหตุการณ์อาจเป็นปกติในตัวมันเอง แต่ถูกมองว่าเป็นอันตราย หากมองเป็นส่วนหนึ่งของลำดับเหตุการณ์ ดังนั้น จำเป็นต้องศึกษาว่าลำดับกิจกรรมไหนพบบ่อยร่วมกัน ค้นพบ sequential patterns และระบุ outliers เทคนิคการทำเหมืองข้อมูลอื่นๆ สำหรับการค้นหา evolving clusters และการสร้าง dynamic classification models ใน data streams ก็สำคัญสำหรับการตรวจจับการบุกรุกแบบ real-time
การทำเหมืองข้อมูลแบบกระจาย (Distributed data mining) — การบุกรุกอาจปล่อยออกมาจากหลายพื้นที่ และมุ่งเป้าไปหลายปลายทางที่ต่างกัน เทคนิคการทำเหมืองข้อมูลแบบกระจายสามารถใช้วิเคราะห์ข้อมูลเครือข่ายจากหลายพื้นที่เครือข่าย เพื่อตรวจจับการโจมตีแบบกระจาย
เครื่องมือการแสดงภาพและการสืบค้น (Visualization and querying tools) — เครื่องมือการแสดงภาพต้องพร้อมใช้งานสำหรับดูรูปแบบผิดปกติที่ตรวจจับได้ เครื่องมือดังกล่าวอาจมีคุณสมบัติสำหรับดู associations, clusters, และ outliers ระบบตรวจจับการบุกรุกต้องมี graphical user interface ที่ช่วยให้นักวิเคราะห์ความปลอดภัยสามารถถามคิวรีเกี่ยวกับข้อมูลเครือข่ายหรือผลการตรวจจับการบุกรุกได้
