A procura por padrões de ataques e intrusões previamente conhecidos, além de ataques com características precisas, bem definidas e que podem ser facilmente codificadas em um sistema especialista;
B determina ou cria modelos que representem o comportamento normal ou esperado do sistema computacional ou rede em análise e alertam sempre que desvios nesse comportamento esperado forem encontrados;
C tem como premissa básica que atividades de intrusão ou ataque façam parte do subconjunto composto por atividades anômalas;
D estabelece um perfil de utilização normal do sistema, sendo que qualquer variação desse perfil que tenha significado estatístico e ultrapasse o limiar estabelecido pode vir a ser um ataque;
E estabelece um limiar em que não se deixe de detectar tentativas reais, chamadas de falsos negativos, nem detectar tentativas que na verdade são atividades normais, conhecidas como falsos positivos.