Un identificatore di attacco è un codice, hash, tag o riferimento usato per etichettare un incidente di sicurezza segnalato o rivendicato. Aiuta gli analisti a tracciare un singolo evento tra post, log, ticket e sistemi di threat intelligence anche quando i dettagli sottostanti sono incompleti o contestati.
Nella sicurezza informatica, gli identificatori sono importanti perché consentono ai difensori di raggruppare attività correlate, confrontare le rivendicazioni ed evitare confusione quando più segnalazioni descrivono lo stesso bersaglio. Un gruppo ransomware può allegare un identificatore a un post di estorsione, mentre i difensori possono mappare quel codice ad avvisi interni, reperti forensi o registri di caso. Questo supporta il triage, la correlazione e la comunicazione, ma non prova che una violazione sia realmente avvenuta. Un identificatore è metadato utile, non una prova di per sé.