Voir la source de Contrôler les élévations de privilèges irrégulières

=== Calcul de variables/variables composites === 
La variable clé utilisée est le nombre d'événements : la somme de toutes les occurrences d'événements par type d'événement et par utilisateur, soit S(day, connect)
Cette somme d'événements est ensuite divisée en 3 catégories : 
# 	Le High sensitive : S(day, connect) est constant, l’utilisateur qui ne change pas son comportement dans une fenêtre mobile de 60 jours.
# 	Medium : S(day, connect) varie un peu de +/-1 à +/-200 dans la même fenêtre (disons qu'il a une moyenne de 10, il peut varier de 9 à 210)
# 	Low Sensitive : très grande variation avec de grandes amplitudes au-dessus de 200 
# 	Note : la valeur de seuil a été fixée expérimentalement à la vue de la distribution des valeurs.