统计方法在异常检测中发挥着基础性的作用，它提供了数学框架来识别与预期模式显着偏差的数据点。 这些方法依赖于使用统计模型定义“正常”行为，然后标记超出预定义阈值的数据点。 例如，标准差、概率分布或假设检验等技术为正常数据建立基线，从而实现异常值的自动检测。 这种方法在异常情况很少且标记示例稀缺的情况下尤其有用，因为统计模型不需要事先了解异常情况才能有效发挥作用。
一个常见的例子是使用 Z 分数，它衡量数据点与均值相差多少个标准差。 如果系统监控服务器响应时间，则 ±3 的 Z 分数阈值可能会将超出此范围的值标记为潜在异常。 同样，四分位距 (IQR) 方法通过定义第 25 个和第 75 个百分位数之间的“正常”范围，并标记超出 IQR 1.5 倍的数据点来识别异常值。 时间序列分析（例如，使用移动平均线或自回归模型（例如，ARIMA））通过将观测值与预测趋势进行比较来检测序列数据中的异常。 例如，与预测模式不同的网络流量突然激增可能表明发生了分布式拒绝服务 (DDoS) 攻击。 这些方法计算效率高且可解释，使其适用于欺诈检测或基础设施健康检查等系统中的实时监控。
然而，统计方法也有局限性。 它们通常假设数据遵循特定的分布（例如，高斯分布），这在现实世界中可能不成立。 例如，多峰数据（具有多个峰值的数据）可能需要更高级的技术，例如混合模型。 此外，它们难以处理高维数据，在这种数据中，异常值不容易在各个维度上分离。 为了解决这个问题，混合方法将统计方法与机器学习相结合，例如使用 DBSCAN 等聚类算法在应用统计检验之前对类似数据点进行分组。 尽管存在局限性，但统计方法由于其简单性、速度和透明性，仍然是异常检测的基石，使其成为在集成更复杂的模型之前，许多管道中可靠的第一步。