Detektion og respons
At lære, hvordan normal aktivitet ser ud, og slå alarm, når noget afviger fra den, også selv om ingen regel beskriver angrebet.
Formelt
En måde at finde trusler på ved at opbygge en model af normal adfærd for brugere, enheder eller netværkstrafik - ofte med maskinlæring - og markere hændelser, der afviger mere end en fastsat grænse fra den.
Forklaret enkelt
Som en bankassistent, der kender en fast kunde så godt, at hun straks lægger mærke til det, når han en søndag vil flytte hele sin opsparing til udlandet.
I praksis
En bogholder i en kommune har en konto, der normalt åbner nogle få filer om dagen, men som pludselig kopierer ti tusind filer en nat; ingen regel dækker det, men modellen markerer det, og SOC'en finder malware.
Hvorfor det betyder noget
Den kan fange nye angreb, som ingen endnu har skrevet en regel for, men usædvanligt er ikke det samme som skadeligt, så den giver mange falske alarmer, som mennesker må vurdere.