Il monitoraggio delle anomalie è la pratica di identificare attività che si discostano da una baseline prevista e potrebbero segnalare abuso, compromissione o uso improprio. I sistemi possono monitorare eventi come gli accessi, le connessioni di rete, l'accesso ai dati e le modifiche agli account utente, utilizzando regole o metodi statistici e di apprendimento automatico per segnalare schemi insoliti.
Nella sicurezza informatica, le anomalie possono rivelare comportamenti sospetti che le firme delle minacce note non rilevano, per esempio un account che accede a sistemi non familiari o trasferisce un volume insolito di dati. Un evento segnalato non è la prova di un attacco: anche cambiamenti legittimi nelle modalità di lavoro possono apparire insoliti, quindi gli analisti esaminano gli avvisi nel loro contesto. Il monitoraggio delle anomalie funziona al meglio insieme a controlli come l'autenticazione a più fattori, il principio del privilegio minimo e procedure di approvazione chiare.