Il comportamento dell'attaccante è l'insieme di azioni osservabili che rivelano come un intruso stia operando su una rete o su un sistema. Anziché concentrarsi solo sulle firme del malware o sui singoli avvisi, i difensori cercano modelli che corrispondono a tattiche come ricognizione, movimento laterale, abuso delle credenziali, persistenza o comando e controllo.
Questo è importante perché molti attacchi si confondono con il traffico normale. Un singolo evento può sembrare innocuo, ma una sequenza di azioni può rivelare l'intento: un host che esegue scansioni dei peer, un nuovo percorso di autenticazione tra macchine, un'amministrazione remota insolita o connessioni in uscita periodiche verso un server esterno. Gli strumenti di Network Detection and Response spesso assegnano un punteggio a questi comportamenti per dare priorità alle compromissioni più probabili e ridurre il rumore. Nella difesa, il rilevamento basato sul comportamento aiuta gli analisti a collegare le evidenze tra pacchetti, identità ed endpoint, rendendo più facile individuare l'attività post-compromissione anche quando la violazione iniziale è passata inosservata.