L’integrità dei pacchetti è la certezza che un pacchetto software rimanga invariato dalla sua creazione o pubblicazione attendibile fino alla consegna. Le firme digitali possono aiutare a stabilire chi ha prodotto un pacchetto e se è stato modificato; gli hash crittografici consentono ai difensori di confrontare un file con un riferimento attendibile. Questi controlli sono utili solo quando le chiavi di firma o i valori di riferimento provengono a loro volta da una fonte affidabile.
L’integrità è importante perché gli aggressori possono manomettere il software in un sistema di build, in un canale di aggiornamento o in un pacchetto di distribuzione, facendo sì che gli utenti ricevano codice dannoso mascherato da una versione legittima. Un pacchetto sospetto non dimostra, di per sé, che sia stato installato o eseguito. I difensori dovrebbero verificare la fonte e la firma o l’hash del pacchetto, conservare i file e i registri degli aggiornamenti pertinenti e indagare separatamente su ogni installazione. Ciò aiuta a distinguere un rischio nella catena di distribuzione da una compromissione confermata di un sistema.