Il test comportamentale è un modo per valutare i controlli di sicurezza simulando le azioni e le sequenze di un attaccante, non limitandosi a confrontare file dannosi noti, hash o indicatori. Invece di chiedere solo “questo campione viene bloccato?”, si chiede se la difesa possa resistere al comportamento più ampio attorno al campione, come la discovery, l'escalation dei privilegi, il movimento laterale o le catene di esecuzione che raggiungono lo stesso obiettivo con strumenti diversi.
Questo è importante perché gli attaccanti spesso cambiano tecnica mantenendo lo stesso obiettivo. Un controllo può fermare un payload malevolo ma continuare a non rilevare un percorso più silenzioso verso la compromissione. In pratica, il test comportamentale viene usato nel red teaming, nella simulazione di breach-and-attack e nelle piattaforme di validazione per misurare come i controlli rispondono attraverso più fasi di un'intrusione. Per i difensori, riduce la falsa sicurezza e mostra dove i controlli a più livelli, la taratura o le regole di rilevamento devono essere migliorati.