首先根据被监测系统的正常行为定义出一个规律性的东西，称为“写照”，然后监测有没有明显偏离“写照”的行为。这指的是入侵分析技术的___________。