Una convenzione di denominazione è un formato standard per assegnare etichette coerenti a persone, sistemi, famiglie di malware, attori delle minacce o eventi. Nella sicurezza informatica, una buona denominazione riduce la confusione quando più team, strumenti e report si riferiscono alla stessa attività con alias diversi. Aiuta gli analisti a cercare nei log, correlare gli avvisi e monitorare le tendenze senza dover indovinare se due etichette descrivono la stessa minaccia.
Nelle attività reali di difesa, le convenzioni di denominazione compaiono nei database di threat intelligence, nei ticket di incidente, nelle regole di rilevamento e nei cataloghi di malware. Un formato condiviso può raggruppare le attività correlate in un cluster o in una famiglia, lasciando al tempo stesso spazio all'incertezza sull'attribuzione. Questo è importante perché un nome non è una prova di identità; è uno strumento organizzativo. Convenzioni chiare migliorano la comunicazione durante il triage e la reportistica, mentre nomi incoerenti possono frammentare l'intelligence e rallentare la risposta. Negli attacchi, gli avversari a volte sfruttano la confusione nella denominazione riutilizzando strumenti o infrastrutture sotto nuove etichette, rendendo ancora più importante una classificazione disciplinata.