Una sessione utente Windows attiva è una sessione desktop con accesso eseguito che è ancora aperta e utilizzabile sul dispositivo. L'utente si è già autenticato, quindi il sistema può conservare privilegi locali, schermi sbloccati e materiale di sicurezza memorizzato nella cache che rendono la workstation pronta per l'uso immediato.
Questo stato è importante perché molti attacchi prendono di mira la sessione invece della password. Se un attaccante ottiene il controllo di una sessione sbloccata o ancora valida, può avviare applicazioni, leggere dati, impersonare l'utente o raggiungere servizi cloud che si fidano della workstation. I difensori considerano lo stato della sessione come parte della sicurezza dell'identità: il blocco automatico, i timeout di inattività brevi, il rafforzamento del dispositivo e il monitoraggio delle sessioni riducono l'esposizione. Dopo un sospetto compromesso, i team potrebbero dover invalidare i token, revocare la fiducia del dispositivo e forzare una nuova autenticazione, non solo reimpostare la password.