Un artefatto a livello di host è qualsiasi file, modifica della configurazione, processo in esecuzione o voce di log lasciati su un computer che possano indicare una compromissione o aiutare un aggressore a mantenere l'accesso. Gli esempi includono una chiave SSH inattesa in authorized_keys, un'impostazione di servizio modificata, un'attività pianificata sospetta o un processo di tunnel inverso.
Questi artefatti sono importanti perché possono rivelare cosa è accaduto su un dispositivo e se l'accesso potrebbe persistere dopo la rimozione del software dannoso. I difensori li esaminano durante la risposta agli incidenti, confrontando file, impostazioni, processi e log con riferimenti noti come integri. Se si sospetta una compromissione, la sola rimozione di un'estensione potrebbe non essere sufficiente: isolare l'host, esaminare le posizioni di persistenza e cambiare le credenziali da un dispositivo attendibile.