La difesa comportamentale in runtime è un controllo di sicurezza che osserva il traffico live delle applicazioni e cerca azioni che non corrispondono al comportamento normale degli utenti o del sistema. Invece di basarsi solo su firme o regole statiche, analizza modelli come la frequenza delle richieste, la sequenza, i cambiamenti di origine, l'uso improprio dei parametri e i segnali di automazione.
Questo è importante nella sicurezza delle API perché gli aggressori spesso usano credenziali valide e richieste che sembrano legittime. Un livello di difesa in runtime può aiutare a rilevare credential stuffing, scraping, abuso della logica di business, attività bot e altre forme di automazione sospetta dopo che un'API è già in produzione. I difensori lo usano per individuare anomalie in tempo reale, bloccare o mettere alla prova sessioni rischiose e aggiungere visibilità dove i test pre-rilascio non possono prevedere ogni percorso di attacco. Funziona al meglio come parte di uno stack più ampio che include anche la discovery e i test shift-left.