Um sistema de segurança em uma rede corporativa identifica um programa malicioso desconhecido ao observar, durante sua execução, comportamentos típicos de ransomware — como criptografia simultânea de múltiplos arquivos e tentativas de exclusão de cópias de sombra do sistema —, mesmo sem qualquer correspondência com padrões de código previamente catalogados. A técnica empregada para essa identificação é: