L'UEBA applica il machine learning a un problema che le regole fisse non risolvono: distinguere il comportamento normale di ogni utente e sistema da quello anomalo. Invece di regole statiche ("allarme se più di 100 download" – che genera falsi positivi per chi scarica tanto per lavoro e ne perde altri sotto soglia), l'UEBA costruisce una baseline individuale: cosa è normale per quella persona, a quell'ora, da quel luogo – e segnala le deviazioni significative.
Gli scenari che coglie meglio delle regole: l'account compromesso (l'utente "si comporta" diversamente all'improvviso – accede a sistemi mai visti, a orari strani, da geografie impossibili), l'insider threat (chi inizia a raccogliere dati fuori dal suo ruolo), il movimento laterale.
Il valore rispetto alle regole fisse è duplice: meno falsi positivi (la baseline è personalizzata, non una soglia uguale per tutti – aiuta contro l'alert fatigue) e rilevamento del mai-visto (le anomalie non hanno bisogno di una firma nota). È spesso integrato nei SIEM/XDR moderni. Il limite onesto: come ogni ML, ha bisogno di dati di qualità e di un periodo di apprendimento, va tarato, e le sue anomalie sono indizi da investigare, non verdetti – e vanno gestite nel rispetto della privacy dei lavoratori, che è un vincolo legale, non un dettaglio.