Un cambio utensile è il passaggio da uno strumento, comando, payload o componente del flusso di lavoro a un altro durante un'operazione. Nella fabbricazione significa cambiare teste di stampa, percorsi di alimentazione o materiali; nella sicurezza informatica, la stessa idea si verifica quando un operatore, uno script o un campione di malware passa da uno strumento al successivo per completare un'attività.
I cambi utensile sono importanti perché ogni transizione può creare sovraccarico, errori o segnali rilevabili. Gli aggressori possono sostituire scanner, moduli di exploit, strumenti per credenziali o utility per il movimento laterale per eludere il rilevamento o riprendersi dai guasti. I difensori osservano queste transizioni perché un improvviso cambiamento nel comportamento dei processi, nell'accesso ai file, nelle destinazioni di rete o nello stile dei comandi può rivelare un'intrusione in più fasi. Ridurre i cambi utensile non necessari migliora anche l'affidabilità operativa, sia che l'obiettivo sia un'amministrazione più sicura sia una simulazione degli attacchi più coerente.