La difesa degli endpoint è un software di sicurezza che protegge singoli dispositivi come laptop, server e workstation. Può rilevare malware, bloccare processi sospetti, monitorare il comportamento e avvisare i difensori quando un dispositivo inizia a comportarsi come parte di un'intrusione.
È importante perché molti attacchi iniziano o terminano sugli endpoint: un allegato di phishing viene aperto, viene eseguito uno script malevolo, le credenziali vengono rubate o il ransomware cifra i file. Negli ambienti Windows, la difesa degli endpoint può aiutare a fermare strumenti di escalation dei privilegi, movimento laterale e payload distruttivi prima che si diffondano. Gli aggressori quindi spesso cercano di disabilitare questi controlli, manomettere gli agenti o escludere i propri processi dalla scansione. Per i difensori, i segnali che la protezione degli endpoint è stata disattivata, modificata o aggirata sono indicatori di avviso di grande valore, soprattutto se combinati con attività insolita degli account o altri segnali di compromissione interna.