La difesa a livello di sessione è un insieme di controlli di sicurezza che giudicano l'attività mentre una sessione di accesso è in corso, non solo al momento dell'accesso. Cerca cambiamenti nel comportamento, nei segnali del dispositivo, nella posizione, nella tempistica o nei modelli delle transazioni che suggeriscano che la sessione possa essere stata compromessa o stia essendo usata per frodi.
Questo è importante perché molti attacchi moderni hanno successo dopo che l'attaccante ottiene credenziali valide tramite phishing, malware, credential stuffing o ingegneria sociale. Una volta dentro, la sessione può sembrare legittima a meno che il difensore non controlli come si comporta nel contesto. I controlli a livello di sessione possono segnalare viaggi impossibili, modelli insoliti del mouse o di digitazione, cambi di dispositivo o richieste di trasferimento rischiose, quindi aumentare l'autenticazione, limitare le azioni o terminare la sessione. Se usati bene, questi controlli aggiungono un livello di difesa in tempo reale senza affidarsi solo alle password o ai controlli di accesso monouso.