异常检测可以检测未知的入侵模式，缺点是行为模式往往不够精确，导致误报很多