Infrastructure-as-code (IaC) è la pratica di definire server, reti, risorse cloud e impostazioni di distribuzione in file di configurazione versionati invece di usare i console cliccando. Strumenti come Terraform, CloudFormation e Ansible leggono questi file e applicano automaticamente lo stato desiderato, rendendo gli ambienti ripetibili, verificabili e più facili da scalare.
L'IaC è importante nella sicurezza informatica perché il codice che costruisce l'infrastruttura può anche creare rischi. Se un attaccante manomette una dipendenza, un template o un provider, quella automazione considerata affidabile può eseguire codice malevolo con gli stessi permessi usati per le distribuzioni. I difensori usano revisione del codice, artefatti firmati, blocco delle dipendenze, principio del privilegio minimo e monitoraggio della pipeline per proteggere i flussi di lavoro IaC. Negli attacchi reali, l'IaC viene spesso preso di mira per raggiungere workstation degli sviluppatori, runner CI/CD e credenziali cloud invece di colpire direttamente i sistemi di produzione.