La protezione in tempo reale è il livello di sicurezza sempre attivo negli strumenti antivirus e di protezione degli endpoint che analizza file, processi, script e altre azioni mentre accadono. Invece di aspettare una scansione pianificata, esamina immediatamente l'attività quando un utente apre un file, scarica contenuti, avvia un programma o un processo tenta di modificare il sistema.
Questo è importante perché molti attacchi si basano sulla velocità: il malware può rilasciare file, modificare chiavi di registro, iniettare codice o cifrare dati in pochi secondi. La protezione in tempo reale può bloccare o mettere in quarantena queste azioni prima che vengano completate. Nelle operazioni di difesa, gli amministratori ne monitorano attentamente lo stato perché, se è disattivata, in ritardo o appare disattivata solo in una dashboard, il dispositivo potrebbe essere ancora protetto ma il segnale di fiducia diventa poco chiaro. Ecco perché i team spesso confermano la protezione in tempo reale con un secondo controllo dello stato prima di considerare un avviso come una vera interruzione.