La scansione consapevole del runtime è un'ispezione di sicurezza legata ai workload che stanno effettivamente eseguendo in un ambiente live. Anziché analizzare solo un'immagine container, un pacchetto o un record del registro, lo scanner osserva i processi in esecuzione, le librerie caricate, l'attività di rete, le modifiche ai file e altri segnali di ciò che un pod, una VM o un servizio sta facendo in quel momento.
Questo è importante perché un workload può comportarsi in modo diverso dopo la distribuzione rispetto a come appariva in fase di compilazione. Un'immagine pulita può avviare un processo vulnerabile, scaricare nuovi componenti o caricare codice inatteso a runtime. Gli strumenti consapevoli del runtime aiutano i difensori a rilevare sfruttamenti attivi, violazioni delle policy e modifiche non autorizzate che le scansioni statiche possono non intercettare. In pratica, vengono usati per segnalare esecuzioni sospette, confermare se un componente vulnerabile è davvero in uso e stabilire le priorità della remediation in base a ciò che è esposto in produzione. Nella sicurezza dei container, la visibilità a runtime completa la scansione delle immagini e del registro rispondendo alla domanda: che cosa sta effettivamente facendo il sistema in questo momento?