首先针对用户、程序和其他系统感兴趣的资源的正常行为建立相应的特征表，然后从反映它们实际行为的观测数据中检测出明显偏离这些特征的行为。