La manipolazione offline di hive del registro significa montare o modificare un file hive del registro di Windows al di fuori del registro in tempo reale, ad esempio quando il sistema è offline o il file viene copiato per l'analisi. Gli hive memorizzano la configurazione per la macchina o per un profilo utente, quindi lavorarci offline consente agli amministratori di correggere corruzioni, ispezionare impostazioni o esaminare prove senza modificare il sistema in esecuzione.
Nella sicurezza informatica, la stessa capacità può essere abusata. Gli aggressori possono manomettere un hive utente per cambiare il comportamento all'avvio, alterare le impostazioni collegate all'account o predisporre la persistenza prima che l'hive venga caricato di nuovo. I difensori cercano attività sospette di caricamento e scaricamento di hive, accessi insoliti ai file hive e strumenti come reg load o reg unload usati al di fuori della normale manutenzione. Poiché questa tecnica può somigliare all'amministrazione legittima, il contesto e la telemetria sono importanti per individuare un uso improprio.