La mappatura dell'infrastruttura è l'analisi di server, domini, IP, certificati, schemi di hosting e asset correlati per dedurre come opera un operatore e come è organizzato il suo ambiente. Nella sicurezza informatica, aiuta gli analisti a collegare indizi tecnici dispersi in un quadro più ampio di attività di controllo, staging, phishing, relay o comando.
Questo è importante perché l'infrastruttura è spesso visibile prima del malware o di una violazione confermata. Un modello di registrazione di dominio, un hosting riutilizzato o una traccia di rete condivisa possono rivelare coordinamento, persistenza o una probabile sovrapposizione tra operatori. I difensori usano questo approccio per costruire indicatori di compromissione, dare priorità al monitoraggio e correlare i log con asset sospetti. Il limite è che la sola infrastruttura non dimostra l'intento, la vittimizzazione o il ruolo esatto di un asset, quindi deve essere validata con il traffico, i dati di autenticazione e altre evidenze.