L'evasione del rilevamento è l'uso di tattiche che aiutano attività malevole a confondersi con il normale comportamento del sistema ed evitare gli avvisi di sicurezza. Anziché fare affidamento su file o comandi palesemente malevoli, gli aggressori possono abusare di software attendibile, ambienti di scripting comuni, binari firmati o righe di comando dall'aspetto normale, in modo che le loro azioni assomiglino a una legittima attività di amministrazione o di sviluppo.
È importante perché molte difese si basano sull'individuazione di processi insoliti, relazioni anomale tra processo padre e figlio, comportamenti di rete rari o impronte note di malware. Quando gli aggressori usano un runtime legittimo o uno strumento integrato nel sistema, questi segnali possono indebolirsi o scomparire del tutto. I difensori rispondono con il rilevamento basato sul comportamento, l'analisi della discendenza dei processi, l'ispezione delle righe di comando e criteri di allowlisting che limitano quali strumenti possono essere eseguiti, da dove possono essere eseguiti e quali permessi ricevono. In pratica, l'evasione del rilevamento non è un singolo exploit, ma un modello di occultamento che aiuta le fasi dell'intrusione a rimanere silenziose abbastanza a lungo da eseguire, persistere o esfiltrare dati.