Il monitoraggio comportamentale è l'osservazione dei segnali di utilizzo e di flusso di lavoro per capire come persone, dispositivi o applicazioni operano normalmente. Nella sicurezza informatica, trasforma log, clic, eventi di autenticazione, flussi di rete e attività dei processi in una baseline del comportamento “normale”. Quando l'attività si discosta da quella baseline, il sistema può segnalare attriti, abbandoni, uso improprio o schemi insoliti per una revisione.
Questo è importante perché molti attacchi non iniziano con un malware evidente. Il furto di credenziali, l'abuso interno, il compromesso dell'account e le tecniche living-off-the-land spesso si confondono con l'attività ordinaria. Il monitoraggio comportamentale aiuta i difensori a individuare segnali come viaggi impossibili, orari di accesso insoliti, cambi improvvisi di privilegi, accessi massivi ai file o azioni fallite ripetute. Viene comunemente usato nelle analisi del comportamento di utenti ed entità, nel rilevamento sugli endpoint e nel rilevamento delle frodi. Per essere utile, deve essere calibrato con attenzione per ridurre i falsi positivi e deve rispettare la privacy, i controlli di accesso e i limiti di conservazione.