Metodologia e limiti

Leggere la dashboard in cinque passi

Non occorre essere analisti cyber. Parti dal contesto, controlla la qualità dei dati e solo dopo interpreta i numeri. L.I.S.A. aiuta a formulare domande informate: non sostituisce una verifica sui sistemi della tua organizzazione.

1. Scegli il perimetro. Italia e Global usano serie e indicatori distinti. Italia non significa che ogni infrastruttura rappresentata appartenga a una vittima italiana. Controlla anche la data selezionata: una vista storica non è il quadro attuale.
2. Controlla gli aggiornamenti. LIVE indica uno snapshot recente, cioè una fotografia aggiornata del sistema. Una sua fonte può essere ferma da giorni: leggi lo stato delle fonti e il loro ultimo successo, non soltanto l’ultimo tentativo.
3. Leggi unità e finestra temporale. Un conteggio, una percentuale e un indice su 100 non sono intercambiabili. La baseline è il periodo di confronto. Cambiare periodo o perimetro può cambiare il significato del valore.
4. Chiediti cosa manca. Il trattino — significa dato non disponibile, non zero. Zero significa nessun elemento nel dataset selezionato: con copertura incompleta non prova l’assenza di eventi nel mondo reale. Calibrazione significa che manca una base sufficiente per pubblicare l’indice.
5. Apri le evidenze. Usa Analytics per approfondire le serie e Timeline per consultare i record. Verifica fonte, data, natura del dato e collegamento originale prima di trarre conclusioni.

Torna alla dashboard e applica questi cinque passi →

Che cosa raccontano i widget

Cyber Pulse

Riassume variazioni rispetto alle serie osservate. Un valore alto invita a esaminare le componenti: non è una probabilità di attacco, non indica la percentuale di aziende compromesse e non è un voto alla sicurezza nazionale.

Infrastrutture C2

C2 significa comando e controllo: sistemi che la fonte associa alla gestione di attività malevole. Si contano infrastrutture presenti nei feed, non vittime o campagne distinte. Il Paese associato è indicativo; non identifica la nazionalità di un responsabile.

Bollettini nazionali

Sono aggiornamenti pubblici della fonte istituzionale raccolta. Un giorno senza bollettini nel dataset non è un giorno senza vulnerabilità o incidenti.

DDoS L3 e attività L7

DDoS indica traffico distribuito che può saturare un servizio. L3 riguarda il livello di rete; L7 riguarda le applicazioni, per esempio le richieste web. La quota L3 verso l’Italia è una parte del traffico osservato dalla fonte, non di tutto Internet. L’indice L7 descrive la posizione relativa dell’attività mitigata nella finestra indicata: mitigata non significa riuscita.

Mappa e grafo

Affiancano distribuzioni aggregate, non una ricostruzione forense. Linee, Paesi vicini e simboli sovrapposti non dimostrano una campagna comune. Le C2 mappate possono essere un sottoinsieme del totale del feed. La vista 2D conserva la lettura geografica se il dispositivo non supporta il globo 3D.

Contesto geopolitico

Rende consultabili temi ed evidenze di contesto. Il punteggio è separato dal Cyber Pulse; nella vista corrente si riferisce alla giornata precedente conclusa, indicata accanto al risultato. Gli eventi elencati restano riferiti al giorno selezionato. Copertura insufficiente significa che il punteggio è sospeso, non che la pressione sia bassa.

Servizi istituzionali

Osserva la raggiungibilità pubblica da sonde diverse. Un problema di certificato, una risposta lenta o un filtro possono spiegare un’anomalia. Offline richiede conferma secondo il criterio dichiarato; non dimostra da solo un attacco DDoS.

Tre esempi per evitare conclusioni sbagliate

Esempi didattici ipotetici, non rilevazioni live.

• Pulse 70/100. Lettura corretta: il valore sintetico richiede di esaminare le serie e la baseline. Lettura scorretta: «Ho il 70% di probabilità di subire un attacco».
• Snapshot LIVE e fonte geopolitica degradata. Lettura corretta: il sistema risponde, ma il quadro di quella fonte è incompleto. Non si può concludere «Non sta accadendo nulla» da un elenco vuoto.
• Attività L7 +5 punti. È uno scostamento nella serie relativa dichiarata, non necessariamente un aumento del 5% del numero di attacchi. Prima di confrontarlo con altri valori occorre controllare unità, periodo e perimetro.

Se devi prendere una decisione operativa, confronta il segnale con asset, esposizione e log della tua organizzazione. Non bloccare indirizzi e non attribuire responsabilità sulla sola base della dashboard.

Glossario essenziale

Fonte

Il soggetto o dataset da cui proviene un dato. Il collegamento originale permette di verificarne contesto e limiti.

Snapshot

Una fotografia del quadro raccolto in un determinato momento; non garantisce che tutte le fonti siano aggiornate.

Baseline

Il periodo storico usato per confrontare una misura. Una baseline più corta può rendere il confronto meno stabile.

Percentile

La posizione relativa di un valore rispetto ai valori di confronto. Non misura automaticamente gravità o probabilità.

Osservazione e incidente

Un’osservazione è un dato registrato. Per parlare di incidente servono ulteriori evidenze e una valutazione del contesto.

Correlazione e causalità

Due segnali possono essere vicini nel tempo o nel tema senza che uno abbia causato l’altro. La revisione umana verifica una compatibilità, non dimostra attribuzione.

Confidenza

Il grado di supporto di una valutazione secondo il metodo dichiarato. Non va confuso con il punteggio di attività; se manca, non viene inventato.

Degradato e fallback

Una raccolta è parziale, non recente o usa un’alternativa limitata. Per esempio, una finestra storica ridotta può restare utile purché il limite sia dichiarato.

1. Oggetto

L.I.S.A. descrive il contesto cyber osservabile attraverso fonti pubbliche. Non misura la totalità degli attacchi e non certifica compromissioni di organizzazioni italiane.

2. Categorie

• Aggiornamento nazionale: contenuto pubblico di CERT-AgID.
• Infrastruttura malevola: host o servizio classificato dalla fonte; la localizzazione non identifica la vittima.
• Segnale di attacco: telemetria aggregata; non prova successo o impatto.
• Anomalia Internet: variazione che richiede ulteriore analisi.

3. Fonti e rilevanza per l’Italia

La raccolta può utilizzare Feodo Tracker e ThreatFox per infrastrutture botnet C2, CERT-AgID per bollettini nazionali e Cloudflare Radar per misure aggregate. Ogni evento espone il motivo della relazione con l’Italia. Quando il Paese non è disponibile, il sistema può consultare dati pubblici del registro Internet tramite RDAP; non conserva la risposta ricevuta. ASN, Paese e localizzazione indicativa dell’infrastruttura non costituiscono attribuzione e non identificano una vittima. La mappa affianca distribuzioni DDoS L3 e infrastrutture C2 su livelli distinti: la co-presenza nello stesso Paese è un ausilio alla lettura, non una prova di relazione causale o coordinamento.

Le coordinate territoriali di riferimento contengono informazioni da world-countries, rese disponibili con licenza Open Database License.

4. Normalizzazione

Il sistema valida struttura, timestamp, categoria e fonte; assegna un identificativo stabile; riduce i duplicati; separa il perimetro Italia dal contesto globale. Principi e limiti sono pubblici, mentre soglie operative e regole interne di ponderazione non sono esposte.

L’indice di attività L7 colloca la media delle ultime 24 ore nella distribuzione giornaliera di una serie Cloudflare MIN0_MAX su una finestra di 56 giorni, con fallback dichiarato a 28 giorni quando necessario. Il valore 0–100 è un percentile relativo, non un volume assoluto. Gli scostamenti a 24 ore e 7 giorni sono mostrati separatamente in punti della serie normalizzata; livello di confidenza e ampiezza della baseline accompagnano il dato. La misura riguarda richieste HTTP mitigate da sorgenti osservate in Italia e non equivale a un conteggio di incidenti o attacchi riusciti.

La quota DDoS L3 con destinazione Italia resta una percentuale relativa dei byte osservati, non un conteggio di attacchi. Dopo almeno 14 giornate archiviate viene affiancata da percentile mobile fino a 90 giorni, persistenza sopra il quartile superiore, numero di origini e quota concentrata nelle prime tre. La baseline usa soltanto il giorno selezionato e quelli precedenti; il risultato descrive il dataset e non costituisce una stima autonoma del rischio.

5. Cyber Pulse

I Pulse Italia e Global hanno baseline e componenti separate. Ogni punteggio richiede almeno due serie con almeno 24 campioni orari precedenti nella finestra mobile di sette giorni. Il Pulse Italia usa soltanto serie riferite all’Italia; il Pulse Global usa il totale C2 attive e il numero di Paesi C2 osservati. Totali globali e distribuzioni descrittive non concorrono al Pulse Italia. È un indice contestuale, non una probabilità di attacco o una misura del rischio di una singola organizzazione.

6. Contesto geopolitico

Lo snapshot può essere aggiornato mentre una fonte è degradata. Ultimo tentativo e ultimo successo sono distinti: un timeout non rinnova la freschezza dei dati. GDELT usa profili scaglionati e backoff; la mancanza di nuove osservazioni durante un degrado non dimostra assenza di eventi. I tempi Cloudflare descrivono la raccolta cumulativa dei dataset, incluse eventuali richieste fallite e fallback, non la latenza di una singola API. La disponibilità di sette dataset non esclude l’uso di una finestra L7 ridotta, segnalata come degrado.

Un modulo facoltativo raccoglie metadati pubblici da GDELT e dal Consiglio dell’Unione europea. Può integrare ReliefWeb, conservando soltanto titolo, data, Paese, fonte e collegamento del rapporto, e UCDP GED Candidate, trattato come dataset di ricerca provvisorio e sempre associato alla versione dichiarata. Questi adapter restano disattivati finché non sono presenti, nella configurazione privata, l’appname approvato o il token e la versione Candidate. I contenuti originali dei partner ReliefWeb non vengono copiati. ReliefWeb e UCDP arricchiscono il contesto consultabile ma non contribuiscono all’indice giornaliero: la prima descrive date di pubblicazione, la seconda è mensile, retrospettiva e provvisoria. Un loro futuro impiego quantitativo richiede una nuova versione metodologica.

La pressione geopolitica confronta giornate concluse in Europe/Rome. Nella vista corrente il punteggio si riferisce al giorno precedente, esplicitamente indicato; i temi e gli eventi restano quelli del giorno selezionato. Prima di esporre il punteggio corrente si verifica che snapshot e fonti quantitative attese siano recenti e operative. Per il giorno valutato e per ogni giorno della baseline occorre almeno una raccolta riuscita di ogni fonte quantitativa attesa: è un requisito minimo di acquisizione, non una garanzia di completezza dei contenuti. La baseline considera i trenta giorni precedenti al giorno valutato e richiede almeno sette giornate attestate; le giornate senza eventi entrano con peso zero solo se l’acquisizione è attestata. In mancanza dei requisiti il punteggio resta nullo. Lo stato attuale di una fonte non viene usato come prova retroattiva. Eventi e log quantitativi di supporto sono conservati per la durata configurata dell’archivio più 31 giorni tecnici di baseline e margine temporale; il buffer non amplia la finestra pubblica selezionabile. I log già cancellati non vengono ricostruiti come acquisizioni riuscite. ReliefWeb espone la data di pubblicazione; UCDP espone la data di fine evento, la versione del dataset e la natura provvisoria. La pressione non contribuisce al Cyber Pulse.

Un collegamento con un evento cyber indica soltanto prossimità temporale e compatibilità tematica: non dimostra causalità, coordinamento, responsabilità o attribuzione. Titolo, fonte, data e collegamento originale consentono la verifica dell’elemento quando la fonte offre un URL pubblico puntuale.

7. Monitor dei servizi istituzionali

La raggiungibilità viene osservata da punti di rete distinti. La sonda esterna descrive meglio l’esperienza pubblica; la sonda collocata presso l’hosting conserva valore diagnostico. Un singolo esito negativo viene mostrato come misura da consolidare e non come indisponibilità certa. Lo stato Offline richiede almeno due osservazioni recenti concordi. Differenze fra sonde, latenza, istante del controllo e qualità delle evidenze restano consultabili nella pagina dedicata.

La compatibilità con eventi DDoS usa prossimità temporale e segnali contestuali. Non prova un nesso causale, non attribuisce responsabilità e non certifica un incidente.

8. Archivio e copertura

Gli eventi normalizzati e gli aggregati giornalieri alimentano timeline e calcoli longitudinali. Il recupero iniziale richiede sei mesi, ma la copertura effettiva dipende da ciò che ciascuna fonte rende disponibile. Le lacune non vengono interpolate. Per le C2, indirizzo completo, porta, fonte e dettaglio puntuale restano consultabili per 30 giorni. Superata la soglia, il record viene sostituito da un aggregato che conserva soltanto giorno, primo ottetto IPv4 o primo gruppo IPv6, cella geografica ampia e conteggio. Le distribuzioni Cloudflare sono conservate come aggregati giornalieri per Paese, senza indirizzi IP o record grezzi.

9. Privacy e minimizzazione

La posizione delle C2 è rappresentativa del Paese o di una cella geografica ampia, con livello di precisione dichiarato. La cache di arricchimento scade entro 30 giorni e non contiene la risposta RDAP originale. La misurazione delle visite conserva soltanto giorno, codice Paese e contatore; l’indirizzo IP del visitatore è elaborato in memoria e scartato.

10. Segnalazioni

Correzioni metodologiche o richieste relative ai dati possono essere inviate a info@apinfosec.com.