Líneas base, anomalías y ajuste de alertas

Detectar ataques a menudo depende de saber cómo se ve lo normal. Una línea base (baseline), en el sentido del monitoreo, es una imagen documentada del comportamiento normal de un sistema, una red o un usuario: volúmenes de tráfico típicos, horarios de inicio de sesión, procesos en ejecución, uso de recursos y patrones de comunicación. Una vez que tienes una línea base, cualquier cosa que difiera significativamente es una anomalía que vale la pena examinar.