Signature-baserade och protokollbaserade intrångsdetekteringssystem (IDS) används för att avslöja innehållsbaserade nätverksattacker. Sådana system har visat sig vara effektiva när det gäller att identifiera kända intrångsförsök och bedrifter, men de misslyckas med att känna igen nya typer av attacker eller noggrant utformade varianter av välkända. I detta dokument presenteras utformningen och utvecklingen av en anomalibaserad IDS-teknik som kan upptäcka innehållsbaserade attacker som utförs över programnivåprotokoll, som HTTP och FTP. För att identifiera avvikande paket, är nyttolasten delas upp i bitar av lika längd och n-gram tekniken används för att lära sig vilka byte sekvenser vanligtvis visas i varje bit. Den framtagna tekniken bygger en annan modell för varje par av protokoll av intresse och paketlängd, uttryckt i antal bitar, och använder dem för att klassificera inkommande trafik. Modeller byggs med hjälp av en oövervakad metod. Experimentella resultat vittnar om att tekniken uppnår en utmärkt noggrannhet med en mycket låg falsk positiv hastighet.
Angiulli et al REF studerade en oövervakad intrångsdetekteringsteknik genom att utvinna HTTP-information med hjälp av n-grammodellen.
PCkAD: an unsupervised intrusion detection technique exploiting within payload n-gram location distribution
{'venue': 'Proc. of 27th IEEE International Conference on Tools with Artificial Intelligence, ICTAI 2015; Vietri sul Mare, Salerno; Italy. pp. 1093-1098', 'journal': None, 'mag_field_of_study': ['Computer Science']}