La risposta endpoint è la parte di un programma di sicurezza che rileva attività sospette sugli endpoint e poi le contiene. Gli endpoint sono dispositivi e sistemi dell'utente, come workstation, laptop e server. Le azioni di risposta possono includere l'isolamento di un host dalla rete, l'interruzione di un processo malevolo, la quarantena dei file, la raccolta di dati forensi e l'invio di avvisi agli analisti per la valutazione iniziale.
È importante perché molti attacchi iniziano o terminano su un endpoint: i payload di phishing vengono eseguiti su un laptop, il ransomware cifra un server oppure un intruso usa una workstation per spostarsi lateralmente. Una forte risposta endpoint riduce il tempo di permanenza e limita il raggio d'azione prima che la minaccia si diffonda nell'ambiente. Nella pratica, viene fornita tramite strumenti EDR o XDR, script e playbook che consentono ai difensori di reagire rapidamente senza attendere una bonifica manuale.