Um sistema de detecção de intrusão baseado em anomalia é capaz de detectar um computador que normalmente apenas troca tráfego SMTP e DNS com alguns endereços IP, mas que, de repente, começa a enviar tráfego HTTP para endereços completamente desconhecidos e fora da rede local.