L'isolamento del dispositivo è un controllo degli endpoint che rimuove una macchina dalla normale comunicazione di rete, di solito bloccando il traffico in uscita e in entrata mentre mantiene il dispositivo gestibile dalla console di sicurezza. L'obiettivo è fermare la diffusione di attività sospette, impedire il contatto con server di comando e controllo o con altri sistemi interni.
Questo è importante perché molti attacchi si muovono rapidamente dopo il primo punto di accesso. Se i difensori isolano un host subito dopo aver rilevato un comportamento anomalo dei processi, connessioni di rete rischiose o segnali di preparazione di malware, possono contenere l'incidente prima che arrivi un secondo payload o inizi il movimento laterale. In pratica, l'isolamento del dispositivo viene spesso usato negli strumenti EDR e antivirus come azione di risposta rapida: gli analisti esaminano la macchina, preservano le prove e ripristinano l'accesso solo dopo che la minaccia è stata rimossa e l'host è di nuovo considerato affidabile.