Un'anomalia comportamentale è un'azione che si discosta dal normale schema di un utente, come accedere con login a orari insoliti, accedere a sistemi al di fuori del normale ruolo oppure esportare molti più dati del previsto. I team di sicurezza confrontano l'attività corrente con una baseline costruita a partire da accessi passati, dispositivi, posizioni, autorizzazioni e utilizzo dei dati.
Questo è importante perché molte minacce interne e compromissioni di account sembrano legittime a prima vista: l'utente può avere credenziali valide e accesso approvato. Il rilevamento delle anomalie comportamentali aiuta i difensori a individuare un uso improprio, una deriva dei privilegi o un account rubato prima che il danno si diffonda. In pratica, i segnali di anomalia compaiono in strumenti SIEM, UEBA e di monitoraggio delle identità, dove vengono esaminati insieme a contesto come cambi di ruolo, viaggi e autorizzazioni amministrative. L'obiettivo non è segnalare ogni azione insolita, ma identificare modelli che meritano una verifica umana.