L'attività low-and-slow è un modello di piccole azioni ripetute distribuite nel tempo, in modo che non risaltino come una raffica improvvisa. Nella sicurezza informatica, gli aggressori la usano per confondersi con il traffico normale, sia che stiano sondando gli account, estraendo dati dal portale o testando i controlli di accesso con richieste dall'aspetto ordinario.
Questo è importante perché molte difese sono tarate per rilevare i picchi, non la persistenza. Una campagna può usare un singolo IP, un singolo account o un ristretto insieme di sessioni per raccogliere record in modo silenzioso da portali SaaS e altre applicazioni web. I difensori cercano segnali sottili come tempistiche insolite delle richieste, visualizzazioni ripetute degli stessi record, percorsi di navigazione anomali e accessi che non corrispondono al ruolo dell'utente o alle esigenze aziendali. Una buona telemetria del portale e baseline comportamentali aiutano a smascherare questo tipo di raccolta lenta prima che si trasformi in una violazione più ampia.