L'osservazione a runtime è la pratica di osservare un programma mentre viene eseguito per vedere cosa fa realmente. A differenza dell'analisi statica, che esamina codice, binari o stringhe senza eseguirli, l'osservazione a runtime cattura il comportamento in tempo reale, come moduli caricati, connessioni di rete, attività sui file, modifiche della memoria e diramazioni condizionali che compaiono solo durante l'esecuzione.
Questo è importante nella sicurezza informatica perché molte minacce si nascondono finché non vengono eseguite. Il malware può decrittare payload, decomprimersi o ritardare le azioni per eludere i controlli statici. I difensori usano l'osservazione a runtime in sandbox, debugger, monitor di sistema e ambienti di test strumentati per confermare il comportamento e raccogliere prove. Nei flussi di lavoro di reverse engineering, aiuta a verificare se le azioni osservate di un binario corrispondono alla sua struttura. Il limite è che l'osservazione a runtime mostra solo ciò che accade nella sessione testata, quindi la copertura dipende da come il programma viene attivato e dagli input forniti.