L'attribuzione dell'incidente è il processo di collegare un evento di sicurezza a un attore, un gruppo o una campagna specifici. Si basa su prove come il codice del malware, l'infrastruttura di comando e controllo, le tattiche, la selezione delle vittime, i timestamp e le rivendicazioni pubbliche. Una buona attribuzione è di solito probabilistica, non assoluta: i difensori confrontano più segnali per decidere se un evento corrisponde a un noto attore della minaccia o se è solo simile per coincidenza.
Questo è importante perché l'attribuzione guida la risposta. Se gli analisti riescono a collegare un incidente a una campagna ricorrente, possono dare priorità al contenimento, cercare attività correlate e anticipare attacchi successivi. In pratica, l'attribuzione aiuta anche a separare una vera compromissione dal rumore: un post di riscatto, ad esempio, è solo un indizio finché i log, gli artefatti sugli endpoint e le tracce di rete non confermano cosa sia successo. Una cattiva attribuzione può sprecare risorse, fuorviare i dirigenti o accusare erroneamente l'attore sbagliato, quindi i difensori la trattano come un'analisi basata su prove, non come un'affermazione da titolo.