Hide Infrastructure è una tecnica usata dagli attaccanti per occultare server, domini o endpoint malevoli all'interno di proprietà web dall'aspetto ordinario o rumoroso. Invece di utilizzare un host chiaramente sospetto, gli operatori collocano il command-and-control o altri servizi malevoli dietro siti che sembrano ordinari, di scarso valore o difficili da esaminare rapidamente.
Questo è importante perché gli difensori spesso classificano il traffico in base a reputazione e categoria. Se l'attività malevola è mescolata alla normale navigazione web, può confondersi nel rumore HTTP o HTTPS ed evitare un rilevamento rapido. Negli attacchi reali, ciò può comportare l'hosting di pagine di controllo su siti compromessi, l'uso di domini dall'aspetto benigno come redirect oppure il posizionamento dell'infrastruttura malware su temi che i team di sicurezza probabilmente considereranno a bassa priorità. I difensori contrastano questa tecnica correlando la telemetria DNS, proxy ed endpoint, osservando beacon ripetuti, user agent insoliti, destinazioni rare e connessioni avviate da processi non browser. L'analisi comportamentale è spesso più efficace del semplice filtraggio dei domini.