本公开的各方面描述了用于检测加密数据集中的异常数据的技术。一种示例方法通常包括接收加密数据点的数据集。针对所述数据集生成具有多个层次的树数据结构。树数据结构的每个层次大体上对应于经加密的多个特征中的一个特征，且树数据结构中的每个节点在给定层次处表示每个数据点小于或大于针对给定特征确定的分割值的可能性的概率分布。接收加密数据点以供分析，且基于针对所述多个加密特征中的每个加密特征识别的概率来计算异常分数。基于确定所计算的异常分数超过阈值，将加密数据点识别为潜在异常。