I modelli di accesso insoliti sono comportamenti dell'account che differiscono da ciò che è normale per un utente, un dispositivo o un ruolo. Questo può includere l'accesso in orari insoliti, l'accesso ai sistemi da nuove posizioni, il download di grandi volumi di file o il raggiungimento di risorse che vengono usate raramente. Di per sé, un'anomalia non è una prova di compromissione, ma è spesso uno dei primi segnali che le credenziali sono state usate in modo improprio.
Nella sicurezza informatica, questi modelli sono importanti perché molte intrusioni sembrano attività legittime una volta che un attaccante ha accesso valido. I difensori monitorano la cronologia degli accessi, l'accesso ai file, la dimensione del trasferimento dei dati e il comportamento della workstation per individuare furti silenziosi, abuso dei privilegi o takeover dell'account. Gli avvisi basati su modelli di accesso insoliti sono particolarmente utili per proteggere la ricerca, i registri finanziari e altri dati sensibili, dove gli attaccanti possono cercare di mimetizzarsi mentre raccolgono informazioni nel tempo.