Ανίχνευση ανωμαλιών

Ανίχνευση ανωμαλιών καλείται η αναγνώριση προτύπων από ένα σύνολο δεδομένων που εμφανίζουν διαφορετική συμπεριφορά από την προσδοκώμενη. Άλλες ονομασίες που συναντούνται στην βιβλιογραφία για τα πρότυπα είναι ακραίες τιμές, ασύμφωνες παρατηρήσεις, εξαιρέσεις, παρεκκλίσεις, ιδιαιτερότητες και προσμίξεις σε διαφορετικούς τομείς εφαρμογών. Στόχος είναι η υψηλού επιπέδου ανίχνευση πιθανών ανωμαλιών, διατηρώντας όμως χαμηλά ποσοστά λανθασμένης προειδοποίησης. Ως εφαρμογή μπορούμε να αναφέρουμε τον προσδιορισμό απειλής στην έγκριση δανείων ή πιστωτικών καρτών από μια τράπεζα.
Υπάρχουν τρεις κατηγορίες τεχνικών ανίχνευσης ανωμαλιών. H επιβλεπόµενη ανίχνευση ανωμαλιών, όπου οι τεχνικές που έχουν εφαρμοστεί σε αυτήν την κατηγορία, λαμβάνουν την διαθεσιμότητα τόσο ενός συνόλου δεδομένων εκπαίδευσης που έχει χαρακτηριστεί ως κανονικό όσο και ενός χαρακτηρισμένου ως ακραίων τιμών. Σε τέτοιες περιπτώσεις, συνήθως, εφαρμόζονται μοντέλα πρόβλεψης για κανονικές έναντι ανώμαλων τάξεων. Η ημι-επιβλεπόµενη ανίχνευση ανωμαλιών, όπου οι τεχνικές σε αυτή την περίπτωση θεωρούν ότι ένα σύνολο δεδομένων εκπαίδευσης έχει χαρακτηριστεί μόνο κανονικό. Το θετικό αυτής της κατηγορίας είναι ότι εφαρμόζεται σε μεγαλύτερη κλίμακα από την προηγούμενη, για το λόγο ότι δεν απαιτείται επισήμανση για την τάξη ακραίων τιμών. Η συνήθης προσέγγιση σε αυτή την κατηγορία είναι η κατασκευή ενός μοντέλου για το σύνολο ώστε να ανταποκρίνεται στην κανονική συμπεριφορά, και ύστερα η εφαρμογή του για τον προσδιορισμό των ανωμαλιών στα δοκιμαστικά δεδομένα. Τέλος, η μη-επιβλεπόµενη ανίχνευση ανωμαλιών, όπου δεν απαιτούνται δεδομένα εκπαίδευσης, και έτσι είναι οι πιο ευρέως εφαρμόσιμες τεχνικές. Οι τεχνικές σε αυτή τη περίπτωση υποθέτουν ότι τα κανονικά στιγμιότυπα είναι περισσότερα από τις ακραίες τιμές στα δοκιμαστικά δεδομένα. Αν αυτός ο συλλογισμός δεν ισχύει, τότε οι τεχνικές έχουν μεγάλο ποσοστό λανθασμένης εκτίμησης.

Εφαρμογή στα δίκτυα

Η ανίχνευση εισβολών παρέχει ασφάλεια στους υπολογιστές και τα δεδομένα του δικτύου, με την προϋπόθεση αυτά να μπορούν ελεύθερα να χρησιμοποιούν τις υπηρεσίες και τις δυνατότητες του δικτύου. Στόχος της ανίχνευσης εισβολής είναι ο άμεσος προσδιορισμός της αναρμόδιας χρήσης, της κακής χρήσης και της κατάχρησης συστημάτων ηλεκτρονικών υπολογιστών τόσο από τους διαχειριστές των συστημάτων αλλά και από εξωτερικούς χρήστες. Η πολυπλοκότητα αυτής της εφαρμογής αυξάνεται όσο διευρύνεται το πλήθος των συνδεδεμένων υπολογιστών με αποτέλεσμα να γίνεται ευκολότερη η εισβολή κακόβουλων χρηστών. 
Οι σημαντικότερες ταξινομήσεις συστημάτων ανίχνευσης εισβολής είναι η ανίχνευση ανωμαλιών(anomaly detection) και η ανίχνευση κακής χρήσης (misuse detection). 
Η λειτουργία της ανίχνευσης ανωμαλιών επικεντρώνεται στην συλλογή πληροφοριών διαμορφώνοντας το προφίλ μίας οντότητας. Η οντότητα αυτή μπορεί να είναι είτε ένας χρήστης ή μία ομάδα χρηστών είτε ένας υπολογιστής(π.χ. ένας εξυπηρετητής) και οι πληροφορίες που συλλέγονται σχετίζονται με την δραστηριότητα του χρήστη, όπως το ποσό των δεδομένων που μεταδίδονται, τις ώρες που συνδέεται καθώς και τα τερματικά με τα οποία συνδέεται, ενώ στην περίπτωση του υπολογιστή συλλέγονται πληροφορίες για την μέση χρήση της κεντρικής μονάδας του επεξεργαστή, τον αριθμό των συνδεδεμένων χρηστών κ.α. Οι ανωμαλίες δικτύου αφορούν αστοχίες και προβλήματα απόδοσης του δικτύου ή προβλήματα που σχετίζονται με την ασφάλειά του. 
Κατά την εφαρμογή, λοιπόν, της ανίχνευσης ανωμαλιών, ελέγχεται η δραστηριότητα σε πραγματικό χρόνο του χρήστη ή του υπολογιστικού συστήματος που θέλουμε να εξετάσουμε και συγκρίνεται με αυτή που είναι αποθηκευμένη στην βάση δεδομένων. Όταν εντοπιστεί μεγάλη απόκλιση από την συνηθισμένη συμπεριφορά, ενεργοποιείται η διαχείριση ασφάλειας του συστήματος προκειμένου να ερευνηθεί.