Un pattern aggregato è un segnale che diventa chiaro solo quando molti eventi individuali vengono analizzati insieme. Una singola azione può sembrare normale, ma una serie di piccole azioni può rivelare coordinamento, automazione o abuso. Nella sicurezza informatica, questo è importante perché gli attaccanti spesso evitano picchi evidenti e distribuiscono invece l'attività nel tempo, tra account o tra bersagli per rimanere al di sotto delle soglie di allerta.
I difensori usano i pattern aggregati per rilevare comportamenti come accessi ripetuti, scraping a bassa frequenza, flooding di modifiche o ricognizioni graduali. Queste rilevazioni si basano sul conteggio, sulla correlazione e sull'analisi delle tendenze degli eventi, in modo che un segnale debole diventi visibile su scala. Nell'abuso delle wiki, per esempio, una singola modifica può essere innocua, ma migliaia di modifiche simili possono rivelare un bot o un flusso di lavoro agentico. L'analisi dei pattern aggregati aiuta i team di sicurezza a passare dalla revisione del singolo evento al rilevamento basato sul comportamento.