I collegamenti operativi sono indizi che due identità minacciose possono essere collegate tramite infrastruttura condivisa, personale, strumenti o metodi di lavoro. Sono usati nell'analisi delle minacce informatiche per confrontare il comportamento delle campagne, non solo i nomi che utilizzano.
Questi collegamenti sono importanti perché gli aggressori spesso cambiano brand, si dividono in sottogruppi o riutilizzano risorse. Un portale Tor condiviso, una configurazione malware simile, modelli di server sovrapposti o abitudini ripetute di comando e controllo possono suggerire un operatore comune o una rete di supporto. I difensori usano i collegamenti operativi per raggruppare le attività, migliorare l'attribuzione e anticipare gli attacchi successivi. Tuttavia, un collegamento è di solito un indizio, non una prova: gli analisti cercano più segnali coerenti prima di concludere che due gruppi sono correlati.