La protezione da manomissione di Microsoft Defender è una funzionalità di sicurezza di Windows che blocca le modifiche non autorizzate alle impostazioni importanti di Defender. Aiuta a impedire che protezioni come la scansione in tempo reale, la protezione fornita dal cloud e il monitoraggio del comportamento vengano disattivate da malware, script o utenti con privilegi bassi. In pratica, aggiunge un livello di resistenza contro i tentativi di indebolire le difese dell'endpoint dall'interno della macchina.
Negli attacchi informatici, la protezione da manomissione è importante perché molte minacce cercano di disattivare i controlli antivirus prima di rilasciare payload, stabilire la persistenza o muoversi lateralmente. Se un attaccante può modificare la configurazione di Defender, il rilevamento diventa molto più facile da eludere. I difensori dovrebbero considerare qualsiasi tentativo di modificare le impostazioni di Defender come un evento ad alta rilevanza e verificare che la protezione da manomissione sia abilitata e gestita centralmente. Non è uno scudo completo, ma aumenta il costo dell'abuso post-exploitation e può guadagnare tempo prezioso per la risposta.