Protected Process Light è una modalità di protezione di Windows che rende più difficile ispezionare, manomettere o iniettare codice in determinati processi. Viene comunemente utilizzata per servizi sensibili alla sicurezza, in particolare componenti anti-malware e di protezione degli endpoint. Windows applica controlli di accesso aggiuntivi, così anche molti strumenti con privilegi elevati non possono aprire facilmente questi processi con diritti pericolosi.
PPL è importante perché aiuta a preservare il confine di fiducia attorno al software difensivo. Se un malware può modificare o iniettare codice in un servizio EDR o antivirus, potrebbe disabilitare il monitoraggio, nascondere l'attività o riutilizzare i privilegi del servizio. In attacchi reali, gli avversari possono tentare di raggiungere PPL in modo indiretto, abusando di un agente di sicurezza fidato, di una configurazione debole o di interfacce amministrative esposte, invece di attaccare il kernel. I difensori dovrebbero proteggere anche il piano di controllo circostante: rafforzare l'accesso degli amministratori locali, monitorare le modifiche ai servizi e verificare che i percorsi anti-manomissione e di aggiornamento non possano essere riutilizzati per raggiungere processi protetti.