Un indicatore di attribuzione è un indizio tecnico che aiuta gli analisti a collegare eventi cyber separati allo stesso attore, set di strumenti o campagna. Esempi comuni includono infrastrutture condivise, percorsi di staging ripetuti, comportamento malware identico, certificati riutilizzati o metodi di distribuzione corrispondenti. Da solo, un indicatore raramente dimostra chi sia dietro un'intrusione; di solito è solo un elemento di un insieme di prove più ampio.
Gli indicatori di attribuzione sono importanti perché i difensori devono sapere se stanno affrontando un incidente isolato o un modello operativo più ampio. In pratica, gli analisti confrontano domini, indirizzi IP, server di comando e controllo, percorsi di phishing, hash dei file e sistemi backend per raggruppare attività correlate. Un'attribuzione solida deriva dall'allineamento di più indicatori nel tempo, mentre un'attribuzione debole può essere fuorviante se l'infrastruttura è noleggiata, copiata o riutilizzata. Per questo l'attribuzione è spesso probabilistica: gli indizi supportano un giudizio, ma non forniscono sempre una prova assoluta.