La deriva di stato è il divario tra ciò che un sistema dovrebbe fare e ciò che è effettivamente in esecuzione. Nella sicurezza informatica, questo spesso significa che la configurazione attiva, i servizi, le interfacce o i percorsi di accesso non corrispondono più alla configurazione approvata o al registro delle modifiche. Sui dispositivi di rete, la deriva può manifestarsi come un tunnel inatteso, una route, una regola del firewall, un account o un processo presenti in memoria anche se assenti nelle impostazioni documentate.
È importante perché i difensori si affidano allo stato registrato per valutare se i percorsi del traffico e i privilegi siano legittimi. Se la deriva non viene rilevata, un attaccante può nascondere la persistenza, aggirare i controlli o creare un percorso di gestione che sopravvive alla normale revisione. I difensori individuano la deriva confrontando lo stato in esecuzione con lo stato desiderato, verificando i commit, controllando gli inventari di interfacce e processi e convalidando i metodi di accesso remoto. Tratta la deriva non spiegata come un segnale di sicurezza, non solo come un problema di configurazione.