Una baseline del traffico è il normale schema di comunicazione di una rete: quali host comunicano tra loro, quali protocolli usano, quando si verifica di solito il traffico e quanta quantità di dati si sposta. I team costruiscono le baseline a partire dai dati di flusso, dai log e dall'osservazione a lungo termine, così possono confrontare l'attività corrente con il comportamento atteso.
Nella sicurezza informatica, le baseline sono preziose perché molti attacchi emergono come deviazioni. Una nuova destinazione in uscita, una porta insolita, un improvviso aumento del volume o traffico in orari atipici possono indicare malware, comando e controllo, movimento laterale o esfiltrazione dei dati. I difensori usano inoltre le baseline per ridurre i falsi allarmi, poiché il traffico normale cambia con i cicli di business, la manutenzione e i nuovi servizi. Una buona baseline rende più facile individuare e analizzare comportamenti sospetti.