Il monitoraggio della baseline è la pratica di apprendere come appare il comportamento “normale” in un sistema, in modo che il comportamento insolito risalti. Una baseline può includere connessioni di rete tipiche, modelli di comando, uptime dei dispositivi, volume dei log, valori dei processi e attività degli utenti nel tempo.
Nella sicurezza informatica, le baseline sono importanti perché molti attacchi si nascondono mimetizzandosi. Una nuova sessione remota, un comando di controllo inatteso o una piccola variazione nel timing dei pacchetti possono sembrare innocui singolarmente, ma diventano sospetti se confrontati con il comportamento normale consolidato. Questo è particolarmente utile negli ambienti OT, dove i log possono essere scarsi e il ripristino dopo un incidente può essere difficile. I difensori usano le baseline per individuare ricognizione, modifiche non autorizzate, account compromessi e malware furtivo. Un buon monitoraggio della baseline è continuo e consapevole del contesto, perché il comportamento normale può cambiare durante la manutenzione, i turni o i picchi di produzione.