La idea central de este tipo de detección es el hecho de que la actividad intrusiva es un subconjunto de las actividades anómalas.