Il rilevamento delle anomalie di accesso è il processo di monitoraggio dei modelli di accesso per individuare comportamenti che non corrispondono al profilo previsto per un utente, un dispositivo o una posizione. I sistemi di sicurezza cercano segnali come spostamenti impossibili, indirizzi IP insoliti, errori ripetuti, nuovi dispositivi, orari anomali o un cambiamento improvviso nel volume di accessi. L'obiettivo non è bloccare ogni accesso insolito, ma segnalare gli accessi sospetti per una revisione o per una verifica aggiuntiva.
Questo è importante perché le credenziali rubate spesso funzionano nei veri attacchi. Il credential stuffing, il password spraying e i tentativi di account takeover possono sembrare normali accessi, a meno che i difensori non li confrontino con il comportamento di base. Il rilevamento delle anomalie aiuta a individuare abusi anche quando la password è valida, e si abbina bene all'autenticazione multifattore, ai controlli di accesso basati sul rischio e ai reset automatici delle password. In pratica, è uno dei modi più utili per individuare una compromissione dell'identità prima che un attaccante possa leggere la posta, rubare dati o avanzare ulteriormente in un ambiente.