La raccolta di informazioni sull'host è la raccolta di dettagli su un endpoint o su un server, in modo che un attaccante possa valutare cosa fare dopo. I dati possono includere software installato, servizi in esecuzione, attività dell'utente, artefatti del browser, lingua di sistema, strumenti di sicurezza e indizi su come viene utilizzata la macchina. Nella sicurezza informatica, questo aspetto è importante perché il primo compromesso è spesso solo un passo di ricognizione: l'attaccante usa gli indizi dell'host per decidere se il sistema contiene credenziali, token di accesso, segreti di sviluppo o altro materiale di valore.
Questo comportamento compare in molti infostealer e strumenti post-compromissione. Dopo l'esecuzione, il malware può enumerare le applicazioni, ispezionare i percorsi dei file, controllare la presenza di wallet o archivi di password, oppure dedurre il ruolo del dispositivo dai modelli di utilizzo. Queste informazioni possono alimentare la profilazione della vittima, la prioritizzazione o le decisioni di movimento laterale. I difensori possono cercare rilevamento insolito di software, raccolta di inventario e rapida impronta del sistema dopo l'avvio di un processo sospetto. Limitare l'archiviazione locale dei segreti, mantenere attiva la protezione dell'endpoint e generare avvisi su comportamenti simili alla ricognizione riducono tutti il valore delle informazioni sull'host raccolte.