由 Forrest等人提出，将入侵检测看作是区分“自我”和“非自我”的过程。
该技术建立网络服务正常操作的行为模型，它首先收集一些参考审计记录构成一个参考表，表明正确的行为模式，并实时检测进程系统的调用序列是否符合正常模式。