基线建模

基线建模是异常检测的常见范式：先为每个实体建立其正常行为的统计画像，再将实时行为与基线比对，用偏离程度量化异常。

基线建模的难点在于冷启动实体缺乏历史数据，以及基线被攻击者缓慢污染，因此常需结合群体基线来交叉验证。