La Scoperta delle informazioni di sistema è un'attività dell'attaccante che raccoglie dettagli su un host dopo aver ottenuto l'accesso. L'obiettivo è capire cosa sia la macchina, come sia configurata e se sia utile per la fase successiva dell'intrusione. I controlli comuni includono la versione del sistema operativo, CPU e memoria, spazio su disco, interfacce di rete, processi in esecuzione, privilegi e segnali di ambienti virtualizzati o rafforzati.
Questo è importante perché la scoperta aiuta gli attaccanti a scegliere i payload e a dare priorità ai bersagli. Un host con hardware potente può essere attraente per il cryptomining, mentre un server con credenziali di valore può portare a movimento laterale o furto di dati. Gli difensori spesso osservano questo comportamento come una sequenza di comandi poco rumorosi in shell, sessioni SSH o esecuzione di malware. Monitorare l'uso insolito di strumenti come uname, lscpu, whoami, ip e df può rivelare precocemente la ricognizione, soprattutto quando segue un accesso riuscito o un'escalation dei privilegi.