又称脱机分析检测系统

在行为发生后，对产生的数据进行分析，从而检查出入侵活动，非实时工作系统。

间隔时间不会太长