La superficie di attacco locale è l'insieme delle funzionalità del sistema che un attaccante può raggiungere da un account connesso o da una sessione locale attiva. Include file, dati del registro, servizi, comunicazione inter-processo, attività pianificate, driver e altri percorsi di codice che non richiedono accesso remoto alla rete. In pratica, questo è lo spazio che un utente con privilegi bassi può sondare dopo aver ottenuto un primo punto d'appoggio su una macchina.
È importante perché molti attacchi seri su Windows iniziano in locale e poi si spostano verso l'escalation dei privilegi o la persistenza. Bug nella gestione dei profili, nell'accesso al registro o nei confini dei servizi possono consentire a un utente standard di influenzare componenti con maggiore վստահanza. I difensori riducono questa superficie limitando l'accesso interattivo, separando le sessioni amministrative da quelle utente, rimuovendo software locale non necessario e monitorando accessi insoliti allo stato associato all'utente. Una superficie di attacco locale più piccola offre agli attaccanti meno percorsi per trasformare un punto d'appoggio in controllo completo.