ELAM, ovvero Early Launch Anti-Malware, è un meccanismo di avvio di Windows che consente all'anti-malware di caricarsi prima dei driver di avvio non Microsoft. L'obiettivo è offrire al software di sicurezza un punto d'appoggio iniziale durante l'avvio, prima che altri componenti del kernel e servizi possano influenzare il sistema.
Questo è importante perché la fase di avvio è un momento ad alta fiducia: se driver malevoli o abusati si caricano troppo presto, possono disabilitare le difese, nascondere file o alterare le impostazioni del registro prima che gli strumenti endpoint siano completamente attivi. ELAM serve a ridurre questo rischio aiutando l'anti-malware a inizializzarsi per primo e a ispezionare i driver che si avviano in anticipo. Nella difesa nel mondo reale, può migliorare la visibilità sulle minacce e sulle manomissioni in fase di avvio. Negli scenari di attacco, gli avversari possono tentare di aggirare, indebolire o abusare della catena di fiducia attorno ai driver di avvio, in modo che i prodotti di sicurezza non abbiano mai una reale possibilità di avviarsi.