Il behavior baselining è il processo di apprendimento di come appare l'attività “normale” per un utente, dispositivo, account o rete, quindi del confronto della nuova attività con quella baseline per individuare cambiamenti insoliti. Una baseline può includere orari di accesso, geolocalizzazione, pattern dei comandi, tassi di richieste, accesso ai file o la frequenza con cui un account esegue determinate attività.
È importante perché molti attacchi non iniziano con malware evidente o con una singola azione bloccata. Al contrario, gli intrusi spesso agiscono inizialmente come utenti legittimi, poi modificano gradualmente il comportamento per eludere il rilevamento, muoversi lateralmente o automatizzare abusi tra account e sessioni. I difensori usano le baseline in SIEM, UEBA e sistemi antifrode per segnalare anomalie come viaggi impossibili, raffiche anomale di richieste o ripetizioni insolite di attività. Nel contesto degli abusi assistiti dall'AI, il baselining aiuta a individuare pattern multi-step ripetibili che sembrano ordinari se osservati un passo alla volta, ma diventano sospetti se considerati nel loro insieme.