La deviazione di processo è uno scostamento dalle condizioni operative o dalle tolleranze previste. Nella sicurezza informatica, il termine è utile perché molti attacchi iniziano a manifestarsi come un processo che non si comporta più in modo normale: un servizio consuma una quantità insolita di CPU, un dispositivo invia traffico in momenti anomali, un anello di controllo cambia stato troppo spesso oppure un'applicazione inizia a effettuare chiamate di sistema inattese. La deviazione può essere minima, ma può segnalare manomissione, esecuzione di malware, configurazione errata o un ambiente instabile.
I team di sicurezza cercano le deviazioni di processo confrontando il comportamento in tempo reale con una baseline. Questo aiuta a rilevare compromissioni in endpoint, server e sistemi industriali in cui il comportamento “normale” è di solito prevedibile. Gli aggressori cercano di nascondersi all'interno delle operazioni normali, quindi i difensori si concentrano su cambiamenti nei tempi, nella frequenza, nei parametri e nelle dipendenze. La sfida consiste nel distinguere il rischio reale da variazioni innocue; una tolleranza troppo ristretta genera rumore, mentre una troppo ampia consente agli attacchi di mimetizzarsi.