Un cluster di intrusioni è un insieme di attacchi informatici che gli analisti collegano perché condividono caratteristiche osservabili, come tattiche, strumenti, infrastrutture o schemi comportamentali. Il termine descrive un raggruppamento di attività, non necessariamente un’organizzazione confermata o un’unica struttura di comando.
I cluster sono importanti perché i difensori possono usare comportamenti ricorrenti per orientare il rilevamento e la risposta, anche quando l’identità dell’attaccante è incerta. Nelle indagini reali, gli analisti confrontano elementi come i metodi di accesso, l’abuso di identità, il riutilizzo delle infrastrutture e le azioni successive alla compromissione. Un nome o un marchio condiviso, da solo, non dimostra che gli attacchi provengano dalle stesse persone; mantenere separato il livello di certezza dell’attribuzione dai risultati tecnici aiuta a evitare di raggruppare attività distinte o di trascurare un coordinamento.