Un toolset è l'insieme completo di strumenti operativi che un attaccante usa in una campagna: payload malware, metodi di distribuzione, infrastruttura di comando e controllo, loader, esche di phishing e meccanismi di persistenza. È più ampio di un singolo malware perché descrive come l'attacco viene assemblato dall'inizio alla fine.
Nel campo della sicurezza informatica, i toolset sono importanti perché rivelano come si adatta un operatore. Un gruppo può mantenere lo stesso obiettivo ma sostituire documenti, link, implant, server o metodi di furto delle credenziali quando i difensori bloccano i percorsi precedenti. Il monitoraggio delle modifiche al toolset aiuta gli analisti a collegare incidenti separati allo stesso attore, a individuare infrastrutture riutilizzate e a capire quali difese stiano costringendo l'attaccante a cambiare tattica. Per i difensori, la risposta pratica è cercare schemi ricorrenti tra distribuzione, esecuzione e attività post-compromissione, non solo un singolo campione di malware con un nome specifico.