إطار للاختبارات السلوكية يركز على التكتيكات والتقنيات والإجراءات التي ينفذها المهاجم بغض النظر عن الأداة.
يُظهر تقرير Blue Report 2026 من Picus Labs أن متوسط فعالية المنع ارتفع إلى 69%، لكن الحماية تنخفض بشدة عند اختبار السلوك نفسه عبر مسارات أقل وضوحاً، إذ لم تُحظر سوى 37% من إجراءات ما بعد الاختراق. وتدعو المادة إلى الجمع بين اختبارات المؤشرات المعروفة واختبارات السلوك وTTPs.