Il collegamento con l'attore della minaccia è il processo di connessione di un cluster di attività sospette a un insieme di intrusioni, gruppo o stile operativo noti. È correlato all'attribuzione, ma di solito è più cauto: gli analisti confrontano codice malware, infrastruttura, temi di phishing, metodi di consegna, tempistiche e tecniche operative per valutare se due insiemi di attività siano probabilmente correlati.
Questo è importante perché un collegamento forte può aiutare i difensori a dare priorità alle minacce, cercare indicatori correlati e anticipare come potrebbe comportarsi un intruso in seguito. Tuttavia, il risultato è spesso probabilistico, non assoluto. Gli operatori validi riutilizzano strumenti, prendono in prestito tattiche o imitano deliberatamente altri, mentre falsi indizi e infrastrutture condivise possono creare confusione. In pratica, il collegamento con l'attore della minaccia compare in rapporti che affermano che un'attività è