La manomissione degli strumenti di sicurezza è un'attività dell'attaccante che indebolisce o disabilita i controlli difensivi prima dell'esecuzione del payload principale. Può includere l'arresto dei servizi di protezione degli endpoint, la modifica delle regole di avviso, la cancellazione dei log, l'aggiunta di esclusioni o l'interruzione del monitoraggio centralizzato. L'obiettivo è ridurre la visibilità e rendere più difficile per i difensori rilevare l'intrusione, contenere la propagazione o preservare le prove.
Questa tattica è importante perché molti attacchi, soprattutto le operazioni di ransomware, dipendono dal riuscire a operare in modo silenzioso dopo il primo punto di accesso. Se le difese degli endpoint vengono attenuate e i log vengono ridotti, gli attaccanti hanno più tempo per muoversi lateralmente, sottrarre dati o avviare la cifratura. I difensori cercano cambiamenti sospetti ai servizi, modifiche delle policy, eliminazione dei log e utilizzo inaspettato dei privilegi. Le protezioni efficaci includono strumenti di sicurezza resistenti alla manomissione, amministrazione con privilegi minimi, registrazione centralizzata e avvisi per qualsiasi tentativo di disabilitare il monitoraggio o i controlli antivirus.