Una cronologia comportamentale è una visualizzazione ordinata delle attività associate a un account, un dispositivo o un servizio, che mostra gli eventi e quando si sono verificati. Aiuta gli analisti a collegare azioni che, considerate singolarmente, potrebbero sembrare innocue e a ricostruire come si è svolta un'attività sospetta.
Nelle indagini di sicurezza, una cronologia può rivelare schemi come un accesso insolito seguito dalla consultazione di dati sensibili o azioni inattese da parte di un account di servizio. I responsabili della difesa usano le cronologie per contestualizzare gli avvisi e distinguere i flussi di lavoro abituali da un possibile uso improprio di credenziali o da rischi interni. La loro utilità dipende dalla disponibilità di dati sugli eventi accurati e ben correlati, nonché dalla conoscenza delle attività normali nell'ambiente.