La correlazione delle infrastrutture è il processo di collegamento di insiemi di attività separati confrontando tracce tecniche condivise come domini, indirizzi IP, certificati TLS, fornitori di hosting, pagine web clonate o dettagli di registrazione. Nella sicurezza informatica, questo aiuta gli analisti a determinare se diversi campioni di malware, kit di phishing o server di comando e controllo possano appartenere allo stesso operatore o allo stesso ecosistema di supporto.
È importante perché gli aggressori spesso sostituiscono i payload più rapidamente di quanto sostituiscano l'infrastruttura. L'hash di un malware può cambiare ogni giorno, ma certificati riutilizzati, landing page speculari o schemi di hosting ripetuti possono rivelare continuità tra campagne. I difensori usano queste correlazioni per dare priorità alle attività di hunting, raggruppare gli incidenti correlati e identificare gli asset esposti prima che sia possibile un'attribuzione completa. Lo stesso metodo aiuta anche a distinguere il vero riutilizzo dalla coincidenza, valutando insieme più segnali deboli invece di fare affidamento su un solo indicatore.