Gli scanner su accesso sono componenti di sicurezza endpoint che ispezionano un file nel momento in cui viene scritto, aperto o eseguito. Si collocano nel percorso tra un'applicazione e il file system, così da poter bloccare contenuti sospetti prima che un utente o un processo li esegua. Questo è diverso dalle scansioni pianificate o manuali, che controllano i file solo in un secondo momento.
Sono importanti perché molti attacchi dipendono dal depositare un payload su disco e poi avviarlo immediatamente. Gli autori di malware spesso cercano di aggirare o confondere questi scanner usando intestazioni di file malformate, compressione, crittografia o mascherandosi da programma legittimo. I difensori rispondono combinando la scansione su accesso con controlli di reputazione, sandboxing, ricerche basate su hash e parser multipli che possono esaminare in modo più affidabile file danneggiati. In pratica, un file che sembra corrotto o illeggibile a un motore può comunque rivelare una struttura malevola a un altro, quindi la protezione su accesso è più efficace quando fa parte di uno stack di rilevamento a più livelli.