La scoperta di file e directory è l'atto di enumerare cartelle e file su un sistema per capire quali dati sono presenti e dove si trovano. Gli attaccanti la usano dopo aver ottenuto l'accesso per mappare profili utente, documenti, unità condivise, log, file di configurazione e altri obiettivi preziosi. Su Windows, questo può essere fatto con comandi integrati, funzioni di malware o funzionalità di gestione remota dei file che elencano percorsi e metadati prima di copiare, rinominare o eliminare qualsiasi cosa.
Questo è importante perché la scoperta è spesso il primo passo per il furto, il sabotaggio o la preparazione di ransomware. Una volta che un intruso conosce la struttura delle directory, può trovare file sensibili, scegliere obiettivi di alto valore ed evitare esche evidenti. I difensori cercano elenchi ricorsivi insoliti, accessi a raffica a molte directory e attività da processi inattesi in posizioni come cartelle torrent o di download. La scoperta di file combinata con il trasferimento o la rinomina di file è un forte segnale di intrusione diretta, non di normale comportamento dell'utente.