Una modifica autorizzata è una modifica a un file approvata tramite il normale processo di manutenzione, applicazione di patch o distribuzione di un'organizzazione. L'approvazione può essere registrata in un ticket di modifica o in un piano di rilascio e associata a una finestra temporale programmata, a un sistema e a una persona responsabile.
Nel monitoraggio dell'integrità dei file, identificare un file modificato è solo il primo passo: i difensori devono determinare se la modifica era autorizzata. Collegare un avviso a un utente, a un processo, a un record di distribuzione o a una modifica approvata aiuta a distinguere il lavoro di routine dalle attività sospette. Una modifica non spiegata o non approvata può richiedere un'indagine, poiché gli aggressori possono alterare i file per mantenere la persistenza, interrompere i sistemi o nascondere le proprie attività. La sola approvazione non dimostra che una modifica sia sicura, quindi i team dovrebbero anche verificare che la modifica osservata corrisponda al lavoro documentato.