Graphite è il nome usato in alcuni report tecnici esterni per una piattaforma spyware collegata a strumenti di sorveglianza commerciale. In pratica, spyware come Graphite è progettato per ottenere segretamente accesso a un dispositivo bersaglio, monitorare l'attività ed estrarre dati o metadati cercando di evitare il rilevamento.
Per chi difende, il punto importante non è il nome del prodotto ma il comportamento: connessioni di rete sospette, azioni amministrative non autorizzate, modifiche di configurazione insolite e registri di accesso che non corrispondono alle normali operazioni. Nelle indagini, le tracce di audit lato operatore possono aiutare a ricostruire chi ha avviato un'attività, quando è stato selezionato un bersaglio e quali sistemi sono stati toccati. Tuttavia, i log da soli raramente dimostrano l'intento o ogni azione sull'endpoint, quindi gli analisti li combinano con gli artefatti del dispositivo, i record del server e la revisione delle policy. Questo rende Graphite un caso di studio utile su come lo spyware commerciale viene rilevato, verificato e contestato.