Análisis descentralizado

La recogida de eventos de forma distribuida crea una cantidad masiva de información que debe ser analizada, en la mayoría de las situaciones, bajo durísimas restricciones de tiempo real.
Dado que los diferentes fragmentos de información que podrían delatar un ataque distribuido se pueden encontrar en cualquier equipo de la red, es realmente complicado poder llegar a paralelizar este procesado de información.
Las dos posibles soluciones que hemos visto en el apartado anterior tratan de solventar esta dificultad de paralelización mediante el prefiltrado de información en los sensores del sistema y mediante la utilización de nodos intermedios.Las soluciones tradicionales son vulnerables a errores o a ataques deliberados contra la infraestructura de procesado de eventos.
En el momento en que uno de los nodos centrales de procesamiento presente problemas, el sistema de detección se quedará ciego.