I controlli di integrità dei file confrontano un file, una cartella o un'immagine di sistema corrente con una base di riferimento attendibile per verificare se qualcosa è cambiato in modo imprevisto. Il confronto può usare hash, timestamp, autorizzazioni o copie note come valide. Se un file è stato modificato, eliminato o sostituito, il controllo può rilevare rapidamente la discrepanza.
Questi controlli sono importanti perché gli aggressori spesso modificano eseguibili, file web, script, file di configurazione o backup per nascondere la persistenza, inserire malware o sabotare il ripristino. Nei casi di ransomware, i controlli di integrità possono aiutare i difensori a individuare crittografia non autorizzata, manomissioni o modifiche distruttive prima che si diffondano. Sono utili anche dopo una segnalazione di incidente: i team di sicurezza possono verificare se il bersaglio dichiarato sia stato effettivamente modificato e quali sistemi rimangano affidabili. Usati insieme ai registri e alla convalida dei backup, i controlli di integrità dei file forniscono prove che supportano la risposta all'incidente e ripristinano la fiducia nei dati archiviati.