Un dominio obiettivo è l'indirizzo del sito web o il nome di dominio collegato all'organizzazione che un attaccante afferma di aver colpito. In pratica, è l'identificatore visibile al pubblico che i difensori usano per collegare una rivendicazione di minaccia a uno specifico asset aziendale, come un portale di accesso, un sito per i clienti o un servizio web aziendale.
Questo è importante perché il dominio spesso diventa il primo elemento da verificare per valutare un'accusa. I team di sicurezza possono esaminare i record DNS, i log del server web, gli eventi del WAF, le modifiche ai certificati e l'attività di autenticazione per vedere se il sito è stato sondato, deturpato o usato come punto di ingresso. Nei casi di ransomware ed estorsione, un dominio obiettivo nominato può bastare per dare priorità al triage, ma non è una prova di compromissione. Lo stesso dominio può essere citato in false rivendicazioni, in ricognizioni parziali o in intrusioni reali, quindi deve essere confrontato con evidenze interne prima di giungere a qualsiasi conclusione su una violazione.