L'attivazione dell'infrastruttura è il momento in cui i sistemi controllati dagli aggressori iniziano a supportare una campagna. Questi sistemi possono includere domini, server, risorse cloud o altre risorse di rete usate per ospitare contenuti, instradare il traffico, distribuire malware o gestire dispositivi compromessi.
Per i difensori, i segnali che indicano che un'infrastruttura dannosa sta diventando operativa possono offrire un indizio iniziale per un'indagine o per applicare filtri. I team di threat intelligence possono monitorare domini osservati di recente, modifiche nell'hosting o indicatori correlati, quindi confrontarli con la telemetria interna di rete ed endpoint. Questi segnali possono supportare attività di ricerca delle minacce o blocchi cautelativi, ma non dimostrano che un'organizzazione sia compromessa; le informazioni potrebbero essere incomplete o errate e dovrebbero essere verificate.