Le tattiche living-off-the-land sono attacchi che abusano di strumenti legittimi del sistema, di amministrazione o nativi del cloud invece di fare affidamento su malware personalizzato. Tra gli esempi figurano shell integrate, motori di scripting, utility di gestione remota, flussi di lavoro per l'identità e servizi cloud approvati. Poiché l'attività utilizza software fidato, può confondersi con le operazioni normali e produrre meno firme di malware evidenti.
Questo è importante nella sicurezza informatica perché spesso i difensori si aspettano che le intrusioni sembrino file infetti o eseguibili rumorosi. Le tattiche living-off-the-land cambiano questa ipotesi: un attaccante può rubare credenziali, creare persistenza, spostarsi lateralmente o esfiltrare dati mentre sembra svolgere una normale attività di amministrazione. Il rilevamento dipende quindi da comportamento, contesto e segnali di identità, come accessi insoliti, pattern di comandi inattesi, uso anomalo di token o azioni amministrative che non corrispondono al ruolo dell'utente. L'indurimento può aiutare limitando i privilegi, monitorando gli strumenti privilegiati e revocando rapidamente le sessioni sospette.