Il monitoraggio del filesystem è la pratica di osservare un sistema per eventi di creazione, modifica, eliminazione o rinomina dei file, in modo che il software possa reagire quando compaiono nuovi dati. Gli strumenti di sicurezza lo usano per rilevare rilasci sospetti di malware, accessi inattesi a documenti o modifiche in directory sensibili. Anche gli aggressori lo usano per lo stesso motivo: uno script può attendere un nuovo file, poi copiarlo, cifrarlo o esfiltrarlo non appena viene salvato su disco.
Nelle campagne di furto basate su PowerShell, il monitoraggio del filesystem può aiutare una backdoor a raccogliere silenziosamente documenti dalle cartelle degli utenti o da percorsi condivisi senza dover eseguire scansioni ripetute dell'intero disco. Questo fa sembrare l'attività più simile a una normale automazione di sistema che a un comportamento evidente da malware. I difensori dovrebbero monitorare i processi che si sottoscrivono agli eventi di modifica dei file, gli accessi insoliti a molte directory e l'attività degli script che coincide con raffiche di creazione di file. Un buon monitoraggio trasforma gli eventi sui file in un segnale di allarme precoce, prima che i dati lascino l'host.