Un descrittore di sicurezza è una struttura di controllo degli accessi di Windows associata a un oggetto, ad esempio un file, una chiave del registro o un oggetto dispositivo. Registra chi è il proprietario dell'oggetto e quali utenti o gruppi sono autorizzati o negati per diritti specifici tramite la sua lista di controllo degli accessi discrezionale (DACL). Per i driver di kernel, il descrittore di sicurezza aiuta a decidere quali processi possono aprire il dispositivo e inviargli richieste.
Questo è importante perché molti attacchi prendono di mira l'interfaccia attorno a un driver con privilegi, non il codice del kernel stesso. Se un oggetto dispositivo è protetto da un descrittore di sicurezza eccessivamente permissivo, un processo non attendibile potrebbe essere in grado di inviare IOCTL sensibili o raggiungere funzionalità pensate per un confine di fiducia più ristretto. I difensori usano descrittori restrittivi, ACL e la creazione sicura dei dispositivi per limitare l'accesso, e dovrebbero comunque convalidare il chiamante nel momento in cui una richiesta viene gestita.