Il rilevamento del software consiste nell'enumerazione delle applicazioni, delle utility e degli strumenti installati su un host. Gli aggressori lo usano per sapere cosa esegue la vittima, come browser, gestori di password, strumenti CLI per il cloud, software per sviluppatori, client di accesso remoto o prodotti di sicurezza. Queste informazioni li aiutano a valutare se una macchina meriti ulteriore attenzione e quali azioni successive abbiano maggiori probabilità di riuscita.
Negli attacchi reali, il rilevamento del software avviene spesso nelle fasi iniziali dopo la compromissione e può essere affiancato da una raccolta più ampia di informazioni sull'host. Un operatore di malware può interrogare il registro, il file system, gli elenchi dei programmi installati, i dati dei processi o i percorsi delle applicazioni per mappare l'ambiente. I difensori se ne preoccupano perché questa ricognizione può rivelare segreti preziosi o indicare che un attaccante sta preparando persistenza, furto di credenziali o elusione. Il monitoraggio di comandi di inventario insoliti, di una rapida enumerazione dopo l'esecuzione e di accessi sospetti ai metadati di sistema può aiutare a rilevarlo. Ridurre la dispersione dei segreti locali e rafforzare gli endpoint rende inoltre il software individuato meno utile a un intruso.