Il rilevamento a runtime è il monitoraggio dei workload attivi per individuare comportamenti sospetti dopo che hanno iniziato a essere eseguiti. Negli ambienti cloud e container, osserva processi in esecuzione, chiamate di sistema, accessi ai file, connessioni di rete e cambiamenti di privilegi per individuare azioni che sembrano sfruttamento, malware o abuso delle policy.
Questo è importante perché molte minacce sono invisibili in fase di build. Un'immagine pulita può comunque essere usata in modo ostile una volta distribuita, soprattutto se un attaccante ottiene l'esecuzione di codice, sfrutta un servizio vulnerabile o cerca di spostarsi lateralmente all'interno di un cluster. I sensori runtime aiutano i difensori a rilevare l'avvio di shell, l'estrazione inattesa di criptovalute, il furto di credenziali e traffico in uscita insolito, quindi attivano avvisi o un contenimento automatico. Strumenti come i monitor basati su kernel o eBPF sono spesso utilizzati per questo livello perché possono osservare il comportamento con un basso overhead. Il rilevamento a runtime integra le scansioni e i controlli di postura coprendo ciò che accade solo dopo che il workload è attivo.