Una scansione endpoint è un controllo di sicurezza eseguito direttamente su un dispositivo, come un laptop, un server o una workstation, per trovare file sospetti, comportamenti dannosi o modifiche rischiose alla configurazione. È una delle attività fondamentali del software di protezione degli endpoint, inclusi gli antivirus e gli strumenti di rilevamento per endpoint.
Le scansioni endpoint sono importanti perché il dispositivo è spesso il punto in cui il malware viene eseguito, le credenziali vengono utilizzate e viene stabilita la persistenza. Una scansione può ispezionare file, processi in esecuzione, modifiche al registro, attività pianificate e altri indicatori locali di compromissione. In difesa, le scansioni aiutano a confermare se un sistema è pulito e se i controlli funzionano come previsto.
Nelle offensive, l'obiettivo è spesso ridurre ciò che la scansione può vedere. Gli avversari possono usare esclusioni, manomettere le impostazioni di sicurezza o nascondere l'attività in modo che lo scanner salti i file e i percorsi rilevanti. Questo trasforma un'ispezione di routine in un punto cieco e rende più difficile il rilevamento e la risposta.