Il rilevamento delle modifiche è un monitoraggio che identifica modifiche alle regole di sicurezza, alle configurazioni o ad altre impostazioni controllate. In ambito cybersecurity, viene usato per individuare quando viene aggiunta una regola del firewall, una policy viene indebolita, una lista di controllo degli accessi viene modificata oppure un'impostazione di sistema si discosta dalla baseline approvata. L'obiettivo non è solo registrare il nuovo stato, ma anche rivelare cosa è cambiato, quando è cambiato e se la modifica era autorizzata.
Questo è importante perché molti problemi di sicurezza iniziano con piccole modifiche difficili da notare. Una singola modifica a una regola può aprire un percorso inatteso verso una rete, esporre un servizio o aggirare un controllo che i team presumevano fosse ancora attivo. I difensori usano il rilevamento delle modifiche per gli alert, l'audit e la risposta agli incidenti, soprattutto in ambienti di grandi dimensioni in cui la revisione manuale è impraticabile. Gli aggressori possono cercare di nascondere la persistenza alterando le configurazioni, quindi un rilevamento rapido delle modifiche aiuta i team a individuare le modifiche non autorizzate prima che diventino un'esposizione duratura.