Un indicatore di infrastruttura è un indizio tecnico legato all'infrastruttura di rete o web dietro un'attività, come un nome di dominio, un indirizzo IP, un URL, un name server o un certificato. Gli analisti usano questi indizi per collegare il traffico attuale, i download o i callback del malware a infrastrutture già viste in precedenti operazioni malevole.
Nel campo della sicurezza informatica, gli indicatori di infrastruttura sono importanti perché gli stessi server, domini o modelli di hosting vengono spesso riutilizzati, ruotati o riconvertiti dagli aggressori. Un dominio precedentemente associato al traffico di comando e controllo può non provare da solo un'attribuzione, ma può aumentare in modo significativo i sospetti e aiutare i difensori a dare priorità alla quarantena, alla registrazione dei log e ad analisi più approfondite. I team di sicurezza confrontano questi indicatori con le informazioni di threat intelligence, i record DNS, i log dei proxy e la telemetria degli endpoint per individuare sovrapposizioni con campagne note. I difensori li usano anche per bloccare l'accesso, eseguire il sinkhole di domini malevoli e cercare attività correlate nell'ambiente.