Gli indicatori comportamentali sono pattern osservabili nel modo in cui un utente agisce tra sistemi, account e flussi di lavoro. Possono includere orari di accesso insoliti, rapidi cambi di privilegi, grandi trasferimenti di file, accessi ripetuti a dati sensibili o l'uso improvviso di nuovi dispositivi e nuove posizioni. Da soli, questi segnali non provano illeciti; sono indizi che l'attività potrebbe discostarsi dal comportamento normale.
Nella sicurezza informatica, gli indicatori comportamentali sono importanti perché gli aggressori spesso riutilizzano credenziali legittime e cercano di passare inosservati. I difensori li usano nell'analisi del comportamento di utenti ed entità, nei programmi contro le minacce interne e nel rilevamento delle frodi per individuare tempestivamente account compromessi, uso improprio degli accessi o attività interne rischiose. Un buon monitoraggio confronta il comportamento con una baseline, quindi combina gli indicatori con il contesto, come ruolo, dispositivo e policy, per ridurre i falsi allarmi.