L'identificazione della vittima è il processo di collegare un incidente di sicurezza, una segnalazione o un indicatore a una specifica organizzazione. In pratica, gli analisti confrontano nomi, domini, log interni, servizi esposti e altre prove per decidere se una segnalazione si riferisca davvero all'obiettivo previsto. È una parte fondamentale della risposta agli incidenti perché un abbinamento errato può indirizzare i difensori verso i sistemi sbagliati, alterare le valutazioni del rischio o creare un allarme pubblico non necessario.
Nelle attacchi reali, l'identificazione della vittima spesso inizia con segnali deboli come un post di ransomware, un nome di file trapelato, un hash o un riferimento a un'azienda in un elenco di attori della minaccia. Questi indizi possono essere utili, ma da soli non costituiscono una prova. I difensori li convalidano con la telemetria, i registri di proprietà degli asset, gli eventi di autenticazione e le segnalazioni degli utenti prima di confermare l'impatto. Una buona identificazione della vittima aiuta a distinguere le voci dalla compromissione verificata e supporta un triage, un contenimento e una comunicazione accurati.