Una anomalía en una red es cualquier desviación de la norma: cosas como picos en el uso del ancho de banda que no se pueden explicar, tráfico inusual o nuevas conexiones inesperadas en la red. Aunque una anomalía no siempre significa un ataque malicioso, puede ser un indicador de uno.

La capacidad de detectar una anomalía implica que hay un estado base, o la «norma» que se conoce. La monitorización desempeña dos funciones: en primer lugar, puede utilizarse para identificar el estado «normal» durante un periodo de tiempo y, en segundo lugar, puede desplegarse para buscar cualquier desviación de este estado normal. Con la monitorización, puede definir alertas y notificaciones que se activan cuando se superan los umbrales definidos, manteniéndole así al tanto de cualquier actividad sospechosa en su red.

Se trata de un mecanismo en el que se examina el contenido de los paquetes de datos, desde la cabecera del paquete hasta la carga útil, para identificar el protocolo y las funciones asociadas a ese paquete de datos. Los datos también se pueden cotejar con un conjunto de reglas para garantizar que no son anómalos. Esto permite aplicar reglas más complejas y detalladas que las que puede gestionar un cortafuegos.

La DPI constituye la base de dos estrategias de ciberseguridad específicas para el sector de las telecomunicaciones: los sistemas de prevención de intrusiones industriales y los sistemas de detección de intrusiones industriales. En un entorno de OT, tanto los IPS como los IDS son dispositivos o sistemas que operan dentro de la red y están destinados a prevenir o activar una notificación cuando se descubren datos anómalos, dependiendo del sistema en uso. La monitorización puede utilizarse junto con las soluciones IPS e IDS para proporcionar una imagen completa de lo que ocurre en la red de OT.