Détection par anomalie

La détection par anomalie apprend à quoi ressemble la "normalité" pour un réseau, un hôte, un utilisateur ou une application — via des modèles statistiques, des heuristiques ou de l'apprentissage automatique — puis alerte lorsque l'activité observée s'écarte significativement de cette référence. Elle complète la détection par signatures en révélant des menaces inconnues, des abus internes, des malwares inédits ou des attaques discrètes qu'aucune signature ne décrit. Les implémentations incluent l'UEBA, l'analytique NDR/XDR, le baseline comportemental basé sur NetFlow et le profilage du trafic DNS. La contrepartie est un nombre plus élevé de faux positifs — les changements légitimes peuvent paraître anormaux — d'où la nécessité de fenêtres d'apprentissage adaptées, de boucles de feedback, d'ajustements de seuils et de revue par des analystes.