Elle est plus facile à mettre en œuvre et ne nécessite aucune phase d'apprentissage

Elle ne génère jamais de faux positifs, ce qui réduit la charge de travail des administrateurs

Elle peut détecter des attaques nouvelles ou inconnues en identifiant des déviations par rapport au comportement normal du réseau

Elle est plus efficace que les signatures pour détecter les attaques connues comme les virus ou les chevaux de Troie