Kỹ thuật này hoạt động trên nguyên tắc nhận dạng các hành vi bất thường xảy ra trên mạng.