La revisione comportamentale è l'analisi di ciò che un sistema, un utente o un processo fa realmente, invece di basarsi solo su indicatori noti di attività malevola come hash, domini o nomi di file. Cerca pattern come catene di processi insolite, cambiamenti di privilegi, attività di rete inattesa, comportamenti di persistenza o deviazioni da una baseline normale.
Questo è importante perché gli attaccanti spesso cambiano i loro strumenti più velocemente di quanto i difensori riescano ad aggiornare le firme. Un file può essere nuovo e sconosciuto, ma il suo comportamento può comunque rivelare ricognizione, movimento laterale, preparazione dei dati o attività di comando e controllo. In difesa, la revisione comportamentale aiuta a verificare se un host continua a comportarsi come affidabile dopo il contenimento di un allarme. È particolarmente utile nelle attività di bonifica e nella risposta agli incidenti, dove rimuovere un IOC non dimostra che l'ambiente sia sicuro. Confrontando l'attività corrente con lo stato previsto del sistema, i team possono individuare compromissioni nascoste che la sola corrispondenza delle firme non riuscirebbe a rilevare.