L'evasione a livello kernel è un comportamento furtivo progettato per evitare il rilevamento operando nel kernel del sistema operativo, o manipolandolo, e altri componenti di basso livello. Poiché gli strumenti di sicurezza spesso si basano sui dati del kernel per vedere processi, file, attività di rete e iniezione di codice, l'evasione a questo livello può nascondere attività dannose dal monitoraggio normale.
Nella sicurezza informatica, questo è importante perché può ridurre la visibilità per gli strumenti di endpoint detection and response, antivirus e analisi forense. Gli aggressori possono usare driver kernel, tecniche rootkit, manipolazione diretta delle system call o manomissione dei componenti di sicurezza per occultare persistenza, furto di credenziali o attività ransomware. I difensori contrastano questo con controlli sui driver firmati, protezione contro la manomissione del kernel, rilevamento basato su memoria e comportamento, monitoraggio degli accessi privilegiati e analisi offline quando non ci si può fidare del sistema live.