Una valutazione dell'origine geografica è una stima del luogo da cui sembra provenire un'attività informatica. Gli analisti possono considerare fattori come l'ubicazione dell'infrastruttura di rete, i modelli di accesso o gli indizi linguistici. Questi indicatori possono aiutare a orientare un'indagine, ma non provano chi ha condotto l'attività né chi controllava l'infrastruttura.
Questa distinzione è importante perché gli aggressori possono instradare le proprie attività attraverso dispositivi compromessi, proxy o altri sistemi di terze parti per nascondere o falsificare la propria ubicazione. I difensori possono usare una valutazione geografica come pista per la ricerca di minacce, verificando al contempo i dati telemetrici e conservando le prove. Non dovrebbe essere considerata una prova di un attore specifico, di un sostegno statale, di un'intrusione riuscita o di un furto di dati.