分析是入侵检测的核心功能。入侵检测分析处理过程可分为三个阶段：
①第一阶段主要进行分析引擎的构造，分析引擎是执行预处理、分类和后处理的核心功能；
②第二阶段，入侵分析主要进行现场实际事件流的分析，在这个阶段分析器通过分析现场的实际数据，识别出入侵及其他重要的活动；
③第三阶段，与反馈和提炼过程相联系的功能是分析引擎的维护及其他如规划集提炼等功能。误用检测在这个阶段的活动主要体现在基于新攻击信息对特征数据库进行更新，与此同时，一些误用检测引擎还对系统进行优化工作，如定期删除无用记录等。对于异常检测，历史统计特征轮廓的定时更新是反馈和提炼阶段的主要工作。
