L'analisi del traffico è l'esame dei pattern di attività di rete, anziché dei soli contenuti dei messaggi. Gli analisti osservano tempi, volume, diversità delle sorgenti, sequenze di richieste, durata delle sessioni e riuso di caratteristiche tecniche per dedurre se il traffico sia normale, automatizzato o coordinato. Anche quando gli aggressori cifrano i dati o ruotano gli indirizzi IP, il pattern di comunicazione può comunque rivelare relazioni tra i client.
Nella sicurezza informatica, l'analisi del traffico aiuta i difensori a individuare attività bot, scraping, credential stuffing, beacon di comando e controllo e altri abusi che si confondono con l'uso legittimo. Tempi ripetuti, raffiche sincronizzate, percorsi di navigazione identici o comportamenti del browser simili possono mostrare che molti “utenti” sono in realtà un'unica operazione gestita. Supporta inoltre la difesa mettendo in evidenza anomalie che la sola reputazione degli IP potrebbe non rilevare, come ampi gruppi di sessioni che sembrano distribuiti tra regioni diverse ma condividono comunque segnali di controllo. Se usata bene, l'analisi del traffico trasforma il comportamento di rete in una fonte di prove per attività di hunting, filtraggio e valutazione del rischio.