La protezione anti-manomissione è un meccanismo di autodifesa integrato nel software di sicurezza per impedire ai processi con privilegi più elevati di modificare i file, le chiavi del registro, le impostazioni del servizio o la cache delle policy locali del prodotto. Sugli endpoint Windows, questo aiuta un agente a mantenere le proprie regole di applicazione anche quando un attaccante dispone di un certo accesso locale.
Questo è importante perché molti attacchi iniziano dopo aver ottenuto un punto d'appoggio. Se un attaccante riesce a disabilitare l'agente, alterarne le policy o sostituirne la configurazione, potrebbe essere in grado di indebolire la registrazione degli eventi, aggirare le restrizioni o elevare i privilegi. I difensori si affidano ai controlli anti-manomissione per rendere queste azioni più difficili e più visibili. In pratica, questi controlli vengono verificati tramite protezioni dei servizi, liste di controllo degli accessi, firma del codice, archivi di configurazione protetti e controlli che bloccano le scritture non autorizzate. Quando la protezione anti-manomissione viene aggirata, lo strumento di sicurezza stesso diventa parte della superficie di attacco.