I. Envolve a detecção de padrões incomuns de atividade ou padrões de atividade sabidamente relacionados a intrusões.
II. Podem ser utilizados sistemas de armadilha (honeypots), planejados para atrair um atacante em potencial para longe dos sistemas críticos.
III. É baseada na suposição de que o comportamento do intruso é muito semelhante ao comportamento de um usuário legítimo, de maneira que não podem ser quantificadas.
IV. Não permite a coleta de informações relevantes e/ou seguras sobre as técnicas de intrusão.