I pattern di infrastruttura sono le scelte tecniche ripetute che gli attaccanti fanno in domini, spazio IP, provider di hosting, server e metodi di distribuzione dei file. Anche quando cambiano il malware, i messaggi email di invito o i payload, le stesse abitudini di registrazione, le catene di redirect, la configurazione TLS e i server di staging possono rivelare che eventi separati appartengono a un unico insieme di intrusioni.
Nella sicurezza informatica, questi pattern sono importanti perché aiutano i difensori a raggruppare l'attività e ad attribuire le campagne con maggiore վստահenza. Gli analisti possono cercare schemi condivisi nei nomi di dominio, infrastrutture riutilizzate, fusi orari coerenti e percorsi di distribuzione simili, dalle email di phishing all'hosting del payload. Questo rende l'analisi dell'infrastruttura utile per il blocco, la rimozione e la threat hunting: se il payload è nuovo, l'infrastruttura circostante può comunque esporre le tecniche dell'operatore.