Orientamento
A che cosa serve L.I.S.A.
L.I.S.A. descrive il contesto cyber osservabile attraverso fonti pubbliche. Aiuta a capire quali segnali meritano attenzione, quali evidenze sono disponibili e quali verifiche servono ancora.
Non misura la totalità degli attacchi, non certifica compromissioni e non sostituisce log, inventario, esposizione e procedure dell’organizzazione. Il risultato corretto è una domanda meglio fondata, non una conclusione automatica.
Perimetro
Che cosa osserva
La piattaforma raccoglie categorie diverse, che non devono essere sommate come se descrivessero lo stesso fenomeno.
- Aggiornamenti nazionaliContenuti pubblici CERT-AgID; un giorno senza bollettini non equivale a un giorno senza vulnerabilità.
- Infrastrutture C2Host presenti nei feed Feodo Tracker e ThreatFox; non sono un conteggio di vittime o campagne.
- Telemetria DDoS e L7Misure aggregate Cloudflare Radar; attività mitigata non significa attacco riuscito.
- Contesto geopoliticoMetadati e temi utili alla contestualizzazione; prossimità temporale non dimostra causalità.
- Servizi istituzionaliRaggiungibilità osservata da sonde distinte; un singolo esito negativo non certifica indisponibilità.
Italia indica il criterio di rilevanza del dato. Non identifica automaticamente una vittima italiana, la nazionalità dell’attore o il luogo da cui è partita un’operazione.
Metodo
Come i dati diventano un quadro
Ogni passaggio conserva la provenienza e restringe ciò che può essere sostenuto. Le proposte automatiche restano distinte dalle decisioni umane.
- 1Raccolta
Acquisizione da fonti dichiarate, con ultimo tentativo e ultimo successo separati.
- 2Normalizzazione
Validazione di struttura, tempo, categoria, identificativo e perimetro.
- 3Valutazione
Confronto con baseline e copertura; astensione se i requisiti non sono sufficienti.
- 4Revisione
Controllo delle evidenze e dei limiti; compatibilità e attribuzione restano concetti distinti.
- 5Pubblicazione
Indicatori, record e spiegazioni vengono esposti con fonte, data, unità e finestra.
In forma testuale: raccolta → normalizzazione → valutazione → revisione → pubblicazione. Nessun passaggio autorizza a trasformare da solo una correlazione in causalità.
Dashboard
Come si legge, in cinque passi
- 01
Perimetro e tempo
Verifica Italia o Global, stato corrente o snapshot storico. Un dato storico non descrive il presente.
- 02
Copertura
Controlla fonti attive, stato, ultimo successo e possibili degradazioni. Uno snapshot recente può contenere una fonte non recente.
- 03
Sintesi
Leggi Pulse e KPI insieme a unità, finestra e baseline. Un indice su 100 non è una probabilità.
- 04
Evidenze
Apri record, mappa o tabella e verifica provenienza, data, natura del dato e collegamento originale.
- 05
Approfondimenti
Usa Analytics e Timeline per serie, aggregati e record. Se la decisione riguarda un’organizzazione, confronta il quadro con le sue evidenze interne.
Limiti
Quali conclusioni sono sostenibili
Segnale ≠ incidente
Una traccia richiede verifica
Un record indica che una fonte ha osservato qualcosa. Per parlare di incidente servono impatto, asset coinvolti e ulteriori evidenze.
Zero ≠ dato assente
Il trattino non è uno zero
0 significa nessun elemento nel dataset e nel periodo selezionati. — significa che il valore non è disponibile o non è pubblicabile.
Geolocalizzazione ≠ attribuzione
La posizione non identifica l’attore
Paese, ASN o hosting descrivono infrastruttura e rete. Non dimostrano nazionalità, responsabilità o bersaglio.
Indice ≠ probabilità
Il Pulse orienta il confronto
Un valore di 70/100 colloca un insieme di segnali rispetto alla propria baseline. Non significa 70% di probabilità di attacco.
Verifica
Come usare il risultato
Apri Analytics per osservare serie e componenti; consulta la Timeline per i record; passa alla descrizione della piattaforma per il flusso complessivo.
Prima di un’azione operativa verifica fonte originale, orario, copertura e compatibilità con i dati interni. Non bloccare indirizzi e non attribuire responsabilità sulla sola base della dashboard.
Approfondimento tecnico versionatoMetodologia 2.10.11
Componenti e regole da conservare
Il Pulse Italia impiega soltanto serie riferite all’Italia; il Pulse Global usa il totale delle C2 attive e il numero di Paesi C2 osservati. Totali globali e distribuzioni descrittive non concorrono al Pulse Italia. Le regole interne di ponderazione e le soglie difensive non vengono pubblicate.
Per DDoS L3, la persistenza descrive i giorni sopra il quartile superiore; la concentrazione è la quota delle prime tre origini. La baseline usa soltanto il giorno selezionato e quelli precedenti. Le variazioni L7 sono punti della serie normalizzata, non quantità di richieste.
Copertura attestata e conservazione tecnica
Per il giorno geopolitico valutato e per ogni giorno della baseline occorre almeno una raccolta riuscita di ogni fonte quantitativa attesa. È un requisito minimo di acquisizione, non una garanzia di completezza. Una giornata senza eventi entra con peso zero solo se l’acquisizione è attestata; altrimenti resta mancante. Lo stato corrente di una fonte non dimostra retroattivamente una raccolta riuscita.
Eventi e log quantitativi di supporto sono conservati per la durata configurata dell’archivio più 31 giorni tecnici di baseline e margine temporale. Il buffer non amplia la finestra pubblica selezionabile e i log cancellati non vengono ricostruiti come successi.
ReliefWeb espone date di pubblicazione e conserva soltanto metadati e collegamenti; UCDP Candidate è mensile, retrospettivo e provvisorio, con versione dichiarata. Un loro futuro impiego quantitativo richiede una nuova versione metodologica.
Il tempo Cloudflare descrive la raccolta cumulativa dei dataset. La disponibilità di tutti i dataset non esclude una finestra L7 ridotta e dichiarata degradata. Un timeout non rinnova la freschezza dell’ultimo dato valido.
Fonti e rilevanza per l’Italia
La raccolta può utilizzare Feodo Tracker e ThreatFox per infrastrutture botnet C2, CERT-AgID per bollettini nazionali e Cloudflare Radar per misure aggregate. Quando il Paese non è disponibile, il sistema può consultare RDAP senza conservarne la risposta originale. La mappa affianca DDoS L3 e C2 su livelli distinti: la co-presenza non prova relazione causale o coordinamento.
Normalizzazione e indice L7
Il sistema valida struttura, timestamp, categoria e fonte; assegna un identificativo stabile; riduce i duplicati; separa Italia e Global. L’indice L7 colloca la media delle ultime 24 ore nella distribuzione giornaliera Cloudflare MIN0_MAX su 56 giorni, con fallback dichiarato a 28. È un percentile relativo, non un volume assoluto. Scostamenti a 24 ore e 7 giorni, confidenza e ampiezza della baseline restano separati.
DDoS L3 e Cyber Pulse
La quota DDoS L3 verso l’Italia è una percentuale relativa dei byte osservati. Dopo almeno 14 giornate è affiancata da percentile mobile fino a 90 giorni, persistenza, origini e concentrazione top tre. Il Pulse richiede almeno due serie con almeno 24 campioni orari precedenti nella finestra mobile di sette giorni. Italia e Global usano componenti separate.
Contesto geopolitico
GDELT e Consiglio dell’Unione europea alimentano il contesto. ReliefWeb e UCDP GED Candidate sono adapter facoltativi, disattivati senza identificativi approvati e fuori dalla formula giornaliera. La pressione valuta il giorno precedente concluso in Europe/Rome, usa una baseline dei trenta giorni precedenti con almeno sette giornate attestate e resta nulla se la copertura quantitativa attesa non è sufficiente. Non contribuisce al Cyber Pulse.
Monitor istituzionale
La raggiungibilità è osservata da punti di rete distinti. Offline richiede almeno due osservazioni recenti concordi. Una compatibilità con segnali DDoS indica prossimità temporale e contesto, non un nesso causale o un incidente certificato.
Archivio, conservazione e privacy
Le lacune non vengono interpolate. Per le C2, indirizzo completo, porta, fonte e dettaglio restano consultabili per 30 giorni; in seguito il record viene sostituito da un aggregato minimizzato. Le distribuzioni Cloudflare restano aggregate per Paese. La cache RDAP scade entro 30 giorni. Le visite conservano soltanto giorno, codice Paese e contatore; l’indirizzo IP è elaborato in memoria e scartato.
Attribuzioni e segnalazioni
Le coordinate territoriali includono dati world-countries, disponibili con Open Database License. Correzioni metodologiche possono essere inviate a info@apinfosec.com.
Documentazione aggiornata il 7 settembre 2026 · metodologia 2.10.11 · release applicativa 3.0.1.