Il software ombra è qualsiasi strumento interno, script o piccola applicazione creata al di fuori della normale supervisione IT o della sicurezza. Spesso viene realizzato da un team per risolvere rapidamente un problema locale e poi distribuito senza essere aggiunto agli inventari ufficiali, ai registri di proprietà o ai processi di controllo delle modifiche. In termini di sicurezza, ciò lo rende una risorsa nascosta: può avere autorizzazioni ampie, registrazione debole degli eventi, segreti hardcoded o nessun piano chiaro di aggiornamento delle patch.
È importante perché gli attaccanti spesso sfruttano le stesse debolezze che il software ombra crea per i difensori. Script amministrativi dimenticati, vecchi job di automazione e connettori non revisionati possono mantenere l'accesso molto oltre il momento in cui dovrebbero essere rimossi. I difensori riducono il rischio individuando questi strumenti, assegnando proprietari, rivedendo i privilegi e ritirando il codice non utilizzato. Una buona inventariazione del software e una corretta gestione del ciclo di vita trasformano il software ombra da punto cieco a risorsa gestita.