Il livello dell'infrastruttura è l'insieme di server, reti, servizi di hosting, DNS e altri sistemi che rendono possibile l'attività cyber. È l'ambiente che distribuisce malware, ospita pagine di phishing, inoltra il traffico, archivia i dati rubati o mantiene raggiungibili i servizi di comando e controllo. In altre parole, è il sistema di supporto sotto l'attacco visibile.
Questo livello è importante perché un'infrastruttura resiliente può rendere più difficile interrompere le operazioni abusive. Se gli aggressori possono sostituire rapidamente i domini, spostarsi su nuovi server o usare hosting progettato per resistere a reclami e rimozioni, possono mantenere attive le campagne più a lungo e riprendersi più velocemente dopo i blocchi. I difensori studiano l'infrastruttura per trovare schemi, tracciare servizi condivisi e bloccare gli abusi ricorrenti. Il monitoraggio di hosting, intervalli IP, record DNS, certificati e dati di registrazione può aiutare a esporre attività correlate anche quando il payload cambia. Per questo motivo, il livello dell'infrastruttura è spesso un obiettivo chiave nella risposta agli incidenti e nella threat intelligence.