A técnica de detecção de anomalia consiste em o IDS reconhecer características consideradas como um padrão normal de funcionamento da rede. Qualquer variação brusca nesse padrão de comportamento é considerada como uma tentativa de intrusão na rede.