L'integrità dei moduli è la pratica di verificare che gli eseguibili e le librerie caricate siano le versioni approvate e attese. Negli ambienti Windows, ciò significa in genere controllare gli hash dei file, le firme digitali, i percorsi, le autorizzazioni e se un processo ha caricato una DLL imprevista. L'obiettivo è assicurarsi che il software attendibile stia effettivamente eseguendo codice attendibile.
Questo è importante perché molti attacchi si nascondono dietro processi legittimi. Nel DLL side-loading o nel file-path hijacking, un programma normale può essere indotto a caricare una libreria malevola da una cartella scrivibile. Se i difensori monitorano l'integrità dei moduli, possono individuare un'applicazione firmata che ha caricato il file sbagliato, anche quando il traffico di rete è silenzioso. Le buone difese combinano allowlist, controllo delle applicazioni, telemetria dei caricamenti dei moduli e controlli regolari dell'inventario per rilevare le manomissioni prima che diventino persistenza o esecuzione.