Un'attività anomala è un comportamento che si discosta dalla baseline prevista per un dispositivo, un utente, un'applicazione o una rete. Una deviazione non è automaticamente malevola: una nuova connessione può derivare da attività di manutenzione autorizzate, da un carico di lavoro modificato o da normali variazioni operative. Le baseline e il contesto degli asset aiutano gli analisti a decidere se una differenza richiede attenzione.
Nella sicurezza informatica, le anomalie possono rivelare account compromessi, software non autorizzato, comunicazioni insolite o modifiche ai sistemi industriali. I difensori utilizzano strumenti di monitoraggio per segnalare le deviazioni, quindi esaminano le prove a supporto, come i ruoli degli asset, i dati degli endpoint, i registri di rete e i programmi di manutenzione. I punteggi di rischio possono aiutare a stabilire le priorità di revisione, ma la loro utilità dipende dalla precisione e dall'aggiornamento dei dati e dalla comprensibilità del ragionamento; supportano l'indagine, ma non dimostrano che un evento sia malevolo o che un sistema soddisfi un requisito di conformità.