Il riconoscimento di pattern è il processo di identificazione di strutture, relazioni o anomalie ripetute nei dati. Nella sicurezza informatica, aiuta gli analisti a dare senso a grandi insiemi di log, flussi di rete, campioni di file e attività degli utenti. Un sistema può individuare una sequenza di accesso sospetta, una firma malware ricorrente o un modello di phishing comune che sarebbe difficile vedere manualmente.
È importante perché molti attacchi lasciano tracce sottili anziché allarmi evidenti. I difensori usano il riconoscimento di pattern nel rilevamento delle intrusioni, nel threat hunting, nel clustering del malware e nel rilevamento delle frodi per individuare comportamenti che si discostano dalla norma. Gli attaccanti usano la stessa idea per studiare i controlli di sicurezza, apprendere il comportamento tipico degli utenti e adattare il malware per evitare il rilevamento. Il limite principale è che un pattern rilevato è solo un indicatore, non una prova di intenzione o compromissione. Una buona pratica di sicurezza affianca al riconoscimento di pattern la convalida, il contesto e la revisione umana.