Il filtraggio basato sul comportamento è un controllo difensivo che valuta ciò che un utente o un processo fa nel tempo, invece di ispezionare solo il contenuto di un messaggio, di una modifica o di un file. Cerca schemi di azione come ripetizioni rapide, tempistiche insolite, rotazione degli account, richieste a raffica o sequenze che non corrispondono al normale uso umano.
Questo è importante perché molti attacchi si nascondono in piena vista quando ogni azione, presa singolarmente, sembra innocua. Nell'abuso di wiki, per esempio, un bot o un agente può eseguire modifiche lente e variate per evitare i filtri basati sul contenuto, producendo comunque un modello aggregato sospetto. Buoni filtri basati sul comportamento possono avvisare, limitare la velocità, richiedere verifiche o bloccare l'attività prima che la scala trasformi piccole anomalie in un abuso diffuso. I difensori usano queste regole per individuare l'automazione, ridurre lo spam e rilevare il takeover di account o la manipolazione tramite script che la sola analisi del contenuto non vedrebbe.