首先对已知的入侵建立入侵特征模型，然后利用用户当前的行为和系统状态与这些入侵模型进行匹配。