Un'attività sospetta è un comportamento che si discosta dagli schemi previsti e potrebbe indicare un uso improprio, una manomissione o una compromissione della sicurezza. Il termine descrive un segnale di allarme, non la prova che si sia verificato un attacco. Per esempio, un avviso di un gestore di password può giustificare un'indagine anche quando le informazioni disponibili non dimostrano un accesso non autorizzato o un'esposizione di dati.
I team di sicurezza cercano attività sospette nei log e nei dati di telemetria dei sistemi, per esempio accessi insoliti, modifiche inattese ad account o dati oppure accessi da località sconosciute. Verificano gli avvisi alla luce del contesto, contengono le minacce credibili e preservano le prove per le indagini. Gli utenti possono anche adottare precauzioni ragionevoli, come controllare e cambiare le password importanti dopo un avviso che riguarda un archivio di credenziali, senza presumere una causa specifica prima che sia confermata.