Un cluster avversario è una raccolta di attività malevole che sembra provenire dallo stesso operatore, campagna o infrastruttura condivisa, anche quando diversi fornitori la etichettano in modo diverso. Nell'intelligence sulle minacce, un cluster può avere diversi alias perché i team osservano porzioni diverse dello stesso comportamento: nomi di famiglie di malware, infrastrutture di phishing, host di comando e controllo o tattiche, tecniche e procedure sovrapposte.
Questo concetto è importante perché le collisioni di nomi possono nascondere collegamenti tra incidenti. Se gli analisti trattano ogni etichetta come un attore separato, possono perdere attività ripetute, duplicare il lavoro o sottostimare la portata di una campagna. I difensori correlano i cluster confrontando l'infrastruttura, il riuso del codice, i modelli di targeting e la tempistica operativa. Il risultato è un rilevamento migliore, un triage più rapido e un'attribuzione più prudente, poiché un cluster è spesso una prova di comportamento correlato piuttosto che un'identità confermata.