网络安全中的异常检测识别数据中偏离既定规范的异常模式，从而发出潜在威胁信号。与依赖已知攻击签名的传统方法不同，异常检测侧重于检测与预期行为的偏差。 这种方法对于发现新型或不断演变的威胁至关重要，例如零日漏洞或内部攻击，这些攻击可能与预定义的模式不匹配。 系统通常使用历史数据建立“正常”活动基线，然后监控超过预定义阈值的偏差。 例如，来自单个 IP 地址的网络流量突然激增或用户在异常时间访问敏感文件可能会触发警报。
常用技术包括统计分析、机器学习模型和基于规则的系统。 统计方法使用均值、方差或熵等指标来标记异常值，例如意外的登录尝试或数据传输量。 机器学习模型，例如聚类算法（例如，k 均值）或无监督模型（如自动编码器），可以从数据中学习模式，而无需依赖标记的示例。 例如，在网络流量日志上训练的自动编码器可以重建正常行为，并在重建误差超过阈值时突出显示异常。 监督模型虽然不太常见，因为标记的攻击数据稀缺，但可以对已知的威胁类型进行分类。 通过将用户行为分析与网络流量分析相结合等混合方法，可以通过关联多个数据源来提高准确性。
挑战包括平衡误报和漏报、维护准确的基线以及适应不断演变的威胁。 高误报会使分析师不堪重负，而漏报则会导致威胁未被发现。 例如，调整不当的模型可能会将合法的非工作时间管理工作标记为可疑。 攻击者还可能“毒害”训练数据或模仿正常行为以逃避检测。 为了解决这个问题，系统通常会合并反馈循环，分析师在其中标记标记的事件，从而随着时间的推移改进模型。 可扩展性是另一个问题：实时处理 TB 级的日志需要高效的算法和分布式系统。 尽管存在这些挑战，异常检测仍然是深度防御策略中的一个关键层，补充了防火墙和入侵检测系统等其他工具。