La raccolta dati è l'atto di raccogliere file, log, file di configurazione, credenziali o altri artefatti utili da un sistema per un uso successivo. Nella sicurezza informatica, spesso significa che un aggressore sta mappando un host o un ambiente prima di un'escalation, della persistenza o dell'esfiltrazione. Il materiale raccolto può rivelare versioni del software, nomi di account, percorsi di accesso remoto e dipendenze operative.
Questa fase è importante perché può avvenire in modo discreto e potrebbe non attivare danni evidenti. Gli aggressori spesso cercano nelle directory locali, archiviano file o copiano i log di sistema tramite script o malware. I difensori dovrebbero monitorare accessi insoliti ai file, la creazione di nuovi archivi, l'uso sospetto di strumenti di amministrazione e le connessioni in uscita che seguono l'attività di raccolta locale. Conservare i log degli endpoint e della rete aiuta gli investigatori a stabilire se l'attività è rimasta sull'host o se si è trasformata in esfiltrazione di dati.