A、可以检查到主机型入侵检测系统漏掉的攻击

B、检测速度快，通常能在微妙或秒级发现问题，并做出更快的通知和响应

C、作为安全检测资源，与主机的操作系统无关

D、很容易检测一些活动（比如对敏感文件、目录、程序或端口的存取），而这些活动很难在基于网络的线索中被发现