Sistem deteksi intrusi

Metode selanjutnya adalah dengan mendeteksi adanya anomali, yang disebut sebagai Anomaly-based IDS. Jenis ini melibatkan pola lalu lintas yang mungkin merupakan sebuah serangan yang sedang dilakukan oleh penyerang. Umumnya, dilakukan dengan menggunakan teknik statistik untuk membandingkan lalu lintas yang sedang dipantau dengan lalu lintas normal yang biasa terjadi. Metode ini menawarkan kelebihan dibandingkan "signature-based IDS", yakni ia dapat mendeteksi bentuk serangan yang baru dan belum terdapat di dalam basis data "signature" IDS. Kelemahannya, adalah jenis ini sering mengeluarkan pesan "false positive". Sehingga tugas administrator menjadi lebih rumit, dengan harus memilah-milah mana yang merupakan serangan yang sebenarnya dari banyaknya laporan "false positive" yang muncul.