ความปลอดภัยของระบบคอมพิวเตอร์และข้อมูลของเราอยู่ในความเสี่ยงตลอดเวลา การเติบโตอย่างกว้างขวางของเว็บและการเข้าถึงเครื่องมือและท่าทางสำหรับการบุกรุกและโจมตีเครือข่ายที่เพิ่มขึ้น ได้กระตุ้นให้การตรวจจับการบุกรุกกลายเป็นองค์ประกอบสำคัญของการบริหารเครือข่าย การบุกรุกสามารถนิยามได้ว่า ชุดเหตุการณ์ใดๆ ที่ขู่คุกสมบูรณ์, ความลับ, หรือความพร้อมใช้งานของทรัพยากรเครือข่าย (รวมถึงบัญชีผู้ใช้, ระบบไฟล์, system kernels ฯลฯ)
ระบบตรวจจับการบุกรุกเชิงพาณิชย์บางส่วนมีข้อจำกัดและไม่รองรับโซลูชันที่สมบูรณ์ ระบบเหล่านี้โดยทั่วไปใช้แนวทาง misuse detection Misuse detection ค้นหารูปแบบของโปรแกรมหรือพฤติกรรมผู้ใช้ที่เชื่อมโยงกับสถานการณ์การบุกรุกที่รู้จัก ซึ่งจัดเก็บเป็นลายเซ็น (signatures)
ลายเซ็นที่เขียนด้วยมือเหล่านี้ได้รับการสนับสนุนอย่างเหนื่อยล้าจากผู้เชี่ยวชาญมนุษย์จากความรู้ที่กว้างขวางของพวกเขาเกี่ยวกับแนวทางการบุกรุก หากพบการจับคู่รูปแบบ สัญญาณเหตุการณ์จะถูกสร้างขึ้น มนุษย์นักวิเคราะห์ความปลอดภัยประเมินสัญญาณเตือนเพื่อตัดสินใจการกระทำ ไม่ว่าจะเป็นการปิดส่วนหนึ่งของระบบ, แจ้งผู้ให้บริการเว็บที่เกี่ยวข้องของจราจรที่น่าสงสัย หรือเพียงบันทึกจราจรผิดปกติเพื่ออ้างอิงในอนาคต
ระบบตรวจจับการบุกรุกสำหรับเครือข่ายขนาดใหญ่และซับซ้อน มักสร้างสัญญาณเตือนหลายพันหรือหลายล้านต่อวัน กำหนดงานที่ท่วมท้นให้นักวิเคราะห์ความปลอดภัย เนื่องจากระบบไม่ใช่ static ลายเซ็นจึงต้องอัปเกรดทุกครั้งที่มีเวอร์ชันซอฟต์แวร์ใหม่ปรากฏ หรือการเปลี่ยนแปลงการกำหนดค่าเครือข่ายปรากฏ ข้อจำกัดคือ misuse detection สามารถระบุได้เฉพาะกรณีที่ตรงกับลายเซ็น โดยเฉพาะ ไม่สามารถตรวจจับแนวทางการบุกรุกใหม่หรือที่ไม่เคยรู้จักมาก่อนได้
การบุกรุกใหม่ (novel intrusions) สามารถค้นพบได้โดย anomaly detection methods Anomaly detection สร้างโมเดลพฤติกรรมเครือข่ายปกติ (known as profiles) ซึ่งสามารถตรวจจับรูปแบบใหม่ที่เบี่ยงเบนอย่างมีนัยสำคัญจากโปรไฟล์ การเบี่ยงเบนดังกล่าวอาจกำหนดการบุกรุกจริง หรือเพียงแค่พฤติกรรมใหม่ที่ต้องเพิ่มเข้าไปในโปรไฟล์
ข้อดีของ anomaly detection คือสามารถตรวจจับการบุกรุกใหม่ที่ยังไม่เคยสังเกตเห็น โดยทั่วไป นักวิเคราะห์มนุษย์ต้องคัดแยกผ่านการเบี่ยงเบนเพื่อ xác địnhว่าอะไรเป็นการบุกรุกจริง ปัจจัยที่กำหนดของ anomaly detection คือ ร้อยละ false positives สูง รูปแบบการบุกรุกใหม่สามารถแทรกเข้าไปในชุดลายเซ็นสำหรับ misuse detection ได้
