Il rilevamento di schemi è il processo di identificazione di comportamenti ripetuti o correlati tra messaggi, account, dispositivi, log o sessioni. Nella sicurezza informatica, aiuta i difensori a trasformare molti piccoli segnali in un unico avviso significativo, come ripetuti fallimenti di accesso, identico testo di phishing, passaggi insoliti tra account o raffiche di contatti dalla stessa fonte. L'obiettivo non è reagire a ogni singolo evento, ma notare quando gli eventi assumono una forma sospetta.
Questo è importante perché gli aggressori spesso fanno affidamento su scala, ripetizione e occultamento. Le campagne malware possono riutilizzare l'infrastruttura, l'ingegneria sociale può riutilizzare gli script e i casi di abuso possono mostrare contatti ripetuti o escalation nel tempo. I team di sicurezza usano il rilevamento di schemi negli strumenti di monitoraggio, nei sistemi antifrode e nelle attività di threat hunting per individuare prima gli abusi, conservare le prove e attivare un'indagine prima che i danni crescano. Un buon rilevamento di schemi riduce anche i falsi positivi confrontando l'attività corrente con il comportamento normale noto.