Threat Intelligence & Risk Forecasting: trasformare la Cyber Intelligence in prevenzione

Con minacce informatiche sempre più dinamiche e team di sicurezza chiamati a gestire volumi di dati in continua crescita, Threat Intelligence & Risk Forecasting assumono un’importanza sempre maggiore per comprendere quali rischi siano realmente rilevanti e come possano evolvere. Tuttavia, l’intelligence genera un valore concreto solo quando può essere trasformata in decisioni di sicurezza e controlli preventivi. Questo articolo analizza il percorso che porta dai dati sulle minacce all’intelligence azionabile, la sfida di trasformare l’anticipazione in azione e il ruolo della Sicurezza DNS come livello di enforcement, in grado di aiutare le organizzazioni a ridurre l’esposizione a destinazioni Internet malevole.

Le organizzazioni che si occupano di cybersecurity hanno accesso a una quantità di dati sulle minacce mai vista prima. Indicatori di Compromissione (IoC), reputazione degli indirizzi IP, domini malevoli, database delle vulnerabilità, threat feed, telemetria SIEM, alert EDR/XDR e informazioni sulle Tattiche, Tecniche e Procedure (TTP) degli attaccanti arricchiscono continuamente l’ecosistema della sicurezza.

Ma avere più dati non significa automaticamente avere più sicurezza.

La vera sfida consiste nel trasformare questo volume crescente di informazioni in Cyber Threat Intelligence (CTI) capace di supportare decisioni di sicurezza più rapide e consapevoli. Il passo successivo è ancora più strategico: utilizzare tale intelligence per comprendere come potrebbe evolvere il rischio informatico e quali minacce meritino maggiore priorità.

È qui che Threat Intelligence & Risk Forecasting convergono.

L’obiettivo non è più limitato a comprendere ciò che è accaduto o a identificare ciò che sta accadendo in questo momento. Consiste nel migliorare la capacità di anticipare ciò che potrebbe accadere in seguito e trasformare questa conoscenza in un’azione preventiva.

Questa evoluzione è importante in uno scenario delle minacce che continua a diventare più complesso. L’ENISA Threat Landscape 2025, basato sull’analisi di 4.875 incidenti avvenuti tra luglio 2024 e giugno 2025, evidenzia come gli attori delle minacce continuino a evolvere le proprie tecniche, sfruttare vulnerabilità e riutilizzare infrastrutture e modelli di attacco. Il phishing, inclusi vishing, malspam e malvertising, ha rappresentato circa il 60% dei vettori iniziali di intrusione osservati.

Per le organizzazioni, questo rende sempre più importante la capacità di riconoscere, contestualizzare e agire sui segnali rilevanti.

La catena del valore della sicurezza può essere sintetizzata così:

Threat Data → Threat Intelligence → Risk Forecasting → Decisione di Sicurezza → Enforcement → Riduzione del Rischio

Ogni fase aggiunge valore. Ma la catena è completa solo quando l’intelligence può influenzare un effettivo controllo di sicurezza.

Dai Threat Data alla Threat Intelligence

Threat Data e Threat Intelligence non sono la stessa cosa.

Un elenco di indirizzi IP sospetti, domini malevoli, hash di file o vulnerabilità rappresenta un insieme di dati utili, ma senza contesto fornisce relativamente poche informazioni sul rischio effettivo per un’organizzazione.

La Cyber Threat Intelligence aggiunge proprio questo contesto.

Consideriamo un dominio malevolo appena identificato. Preso singolarmente, il dominio è un indicatore. Ma quando viene correlato con informazioni aggiuntive — per esempio, la sua associazione con una campagna di phishing, un’infrastruttura per la distribuzione di malware o uno specifico threat actor — lo stesso indicatore acquisisce un contesto.

La Threat Intelligence consente quindi ai team di sicurezza di rispondere a domande più utili:

• Chi o che cosa rappresenta la minaccia?
• Quale infrastruttura viene utilizzata?
• Quali asset o utenti potrebbero essere esposti?
• Quali IoC e TTP sono associati all’attacco?
• Quanto è rilevante questa minaccia per l’organizzazione?
• Quali controlli di sicurezza dovrebbero reagire?

Questa trasformazione delle informazioni grezze in intelligence contestualizzata è essenziale, perché i team di cybersecurity non devono affrontare una mancanza di segnali. Devono affrontare la sfida di estrarre i segnali rilevanti da uno scenario delle minacce sempre più complesso.

Il valore strategico, quindi, non consiste nell’accumulare più dati sulle minacce, ma nel rendere tali dati rilevanti, contestualizzati e azionabili.

In altre parole:

Threat Data ≠ Threat Intelligence ≠ Riduzione del Rischio.

Esistono ancora passaggi fondamentali tra sapere che una minaccia esiste e ridurre concretamente l’esposizione dell’organizzazione a quella minaccia.

Questo diventa ancora più importante man mano che il rischio informatico supera i confini del reparto IT.

Gli incidenti di cybersecurity possono avere conseguenze sulla continuità operativa, sulle supply chain, sulla produttività, sulla reputazione e sui ricavi. Il Global Cybersecurity Outlook 2026 del World Economic Forum descrive uno scenario cyber trasformato dall’adozione dell’IA, dalla frammentazione geopolitica e da una crescente complessità tecnologica, con attacchi sempre più rapidi e complessi.

Per CISO, CIO e team di sicurezza, la sfida non consiste quindi semplicemente nel raccogliere intelligence. Consiste nel decidere quale intelligence sia realmente rilevante e come debba influenzare la postura di sicurezza dell’organizzazione.

Dalla Threat Intelligence al Risk Forecasting

Se la Threat Intelligence migliora la comprensione dello scenario delle minacce, il Risk Forecasting introduce una prospettiva orientata al futuro.

La domanda fondamentale cambia.

Non è più semplicemente:

“Quali minacce esistono?”

Diventa:

“Quali minacce hanno maggiori probabilità di diventare rilevanti per la mia organizzazione e quale potrebbe essere il loro impatto?”

Si tratta di una distinzione fondamentale.

I team di sicurezza possono ricevere informazioni su migliaia di vulnerabilità, domini malevoli, campagne, threat actor e Indicatori di Compromissione. Ma non tutte le minacce hanno la stessa rilevanza, probabilità o potenziale impatto sul business.

Il Risk Forecasting aiuta a spostare la strategia di sicurezza dalla visibilità verso l’anticipazione.

La Threat Intelligence fornisce informazioni sulle minacce, sulle loro caratteristiche e sulla loro evoluzione. Il Risk Forecasting utilizza le evidenze disponibili e modelli di rischio per supportare una valutazione di come l’esposizione potrebbe evolvere nel tempo.

L’obiettivo non è prevedere ogni attacco informatico con certezza. La cybersecurity opera in un ambiente dinamico nel quale gli attaccanti modificano continuamente infrastrutture, tecniche e obiettivi.

Il forecasting aiuta invece i team di sicurezza a prendere decisioni migliori in condizioni di incertezza.

Questa distinzione è particolarmente importante per CISO e responsabili delle decisioni di sicurezza. Il rischio cyber non è una questione esclusivamente tecnica: può incidere sulla continuità operativa, sulla produttività, sui ricavi, sull’esposizione normativa, sulla reputazione e sull’affidabilità dei servizi digitali.

Threat Intelligence & Risk Forecasting contribuiscono quindi a un processo decisionale più ampio, nel quale le risorse di cybersecurity possono essere assegnate in base al rischio effettivo anziché semplicemente reagire a ogni segnale di sicurezza disponibile.

Il ruolo crescente dell’IA rende questa capacità ancora più importante. Secondo il World Economic Forum, l’87% dei partecipanti al sondaggio del 2026 ha identificato le vulnerabilità legate all’IA come il rischio cyber a più rapida crescita nel corso del 2025. Allo stesso tempo, l’IA sta trasformando sia le capacità offensive sia quelle difensive nel campo della cybersecurity.

In questo contesto, una conoscenza statica perde rapidamente valore. L’intelligence deve adattarsi continuamente a nuovi segnali, nuove infrastrutture e nuove tecniche di attacco.

Comprendere la probabilità di una minaccia protegge automaticamente la tua infrastruttura?

No.

La visibilità aiuta a comprendere lo scenario delle minacce. Il forecasting migliora la capacità di anticipazione. Ma nessuno dei due, da solo, impedisce un attacco.

Perché l’intelligence generi un valore di sicurezza misurabile è necessaria un’altra trasformazione:

L’anticipazione deve diventare azione.

Il Threat Intelligence Actionability Gap

Questa è una delle sfide centrali della moderna Cyber Threat Intelligence.

Le organizzazioni possono disporre di un’ampia visibilità sulle minacce emergenti e avere comunque difficoltà a trasformare tale conoscenza in controlli di sicurezza efficaci.

Possiamo definire questa distanza come Threat Intelligence Actionability Gap: il divario tra sapere che qualcosa rappresenta una minaccia e utilizzare concretamente tale conoscenza per ridurre l’esposizione.

È la distanza tra:

“Sappiamo che è pericoloso.”

e

“La nostra infrastruttura di sicurezza sta impedendo attivamente l’esposizione a questa minaccia.”

Il concetto di actionable threat intelligence — intelligence sulle minacce azionabile — è quindi fondamentale.

La Threat Intelligence diventa azionabile quando le informazioni sono sufficientemente rilevanti, tempestive e contestualizzate da supportare una decisione o un’azione di sicurezza.

Questo cambia il modo in cui dovremmo valutare l’efficacia della CTI.

La domanda non è soltanto:

Quanta intelligence puoi raccogliere?

È anche:

Quanto efficacemente questa intelligence può influenzare la tua postura di sicurezza?

Un IoC associato a una campagna attiva può attivare attività di threat hunting o nuove logiche di detection. Le informazioni relative a una vulnerabilità attivamente sfruttata possono modificare le priorità di patching. L’intelligence sulle TTP degli attaccanti può portare alla modifica delle regole di rilevamento e delle strategie difensive.

L’intelligence relativa a infrastrutture Internet malevole può inoltre alimentare controlli progettati per impedire a utenti o workload di raggiungere tali infrastrutture.

È qui che l’enforcement entra nella discussione.

La Threat Intelligence non deve necessariamente svolgere direttamente l’enforcement. Fornisce invece la conoscenza che permette alle diverse tecnologie di sicurezza di prendere decisioni migliori.

A seconda della minaccia e dell’architettura, questi punti di enforcement possono includere firewall, IDS/IPS, piattaforme EDR/XDR, Secure Web Gateway e altri controlli di sicurezza.

Per le minacce associate a destinazioni Internet e domini malevoli, tuttavia, esiste un altro punto di controllo particolarmente strategico: la Sicurezza DNS (DNS Security).

Perché il DNS è un livello strategico di enforcement per la prevenzione delle minacce

Il Domain Name System è un componente fondamentale delle comunicazioni Internet. La sua funzione principale consiste nel tradurre i nomi di dominio nelle informazioni necessarie a individuare le corrispondenti risorse Internet.

Questo rende il DNS un punto di controllo particolarmente prezioso dal punto di vista della sicurezza.

Quando un utente tenta di accedere a un sito Web o quando un’applicazione comunica con un servizio Internet attraverso il suo nome di dominio, normalmente è necessaria una risoluzione DNS prima che quella destinazione possa essere raggiunta.

Perché questo è importante per Threat Intelligence & Risk Forecasting?

Perché quando un dominio viene identificato e classificato come malevolo, il livello DNS può essere utilizzato per applicare una decisione di sicurezza prima che la connessione a quel dominio venga completata.

Il processo concettuale è semplice:

Query DNS → Analisi/Classificazione del Dominio → Policy di Sicurezza → Consenti / Blocca

Questo trasforma il DNS da servizio puramente infrastrutturale a livello di enforcement per la prevenzione delle minacce.

Invece di attendere che il contenuto malevolo raggiunga l’endpoint per poi tentare di rilevarne gli effetti, il DNS filtering può impedire l’accesso a una destinazione già identificata come malevola o vietata dalla policy di sicurezza.

Questo può essere rilevante in diversi scenari di minaccia comuni, tra cui:

• domini di phishing;
• siti per la distribuzione di malware;
• siti Web malevoli noti;
• domini associati a botnet;
• infrastrutture Command & Control (C2);
• altre destinazioni Internet sospette o indesiderate.

Questo approccio preventivo assume particolare importanza se consideriamo il ruolo che i vettori basati sul Web continuano a svolgere nello scenario delle minacce. Come sottolineato da ENISA, il phishing rimane uno dei principali meccanismi utilizzati per ottenere l’accesso iniziale ai sistemi, mentre gli attaccanti continuano a evolvere i propri metodi e ad automatizzare parti della catena di attacco.

La DNS Security fornisce quindi un importante collegamento tra intelligence ed enforcement.

Non sostituisce la Threat Intelligence, la sicurezza degli endpoint, la sicurezza di rete o altri livelli di una strategia defense-in-depth. Il suo valore risiede proprio nella capacità di complementarli, applicando policy di sicurezza in una fase nella quale l’accesso a un dominio malevolo può ancora essere impedito.

Questo spiega anche perché DNS Threat Intelligence, malicious domain detection e DNS filtering siano concetti sempre più interconnessi.

Le moderne tecnologie di sicurezza DNS possono combinare informazioni costantemente aggiornate sulle infrastrutture malevole con meccanismi di analisi e classificazione dei domini per determinare se una richiesta DNS debba essere risolta oppure bloccata.

Per le organizzazioni, il risultato non è semplicemente una maggiore visibilità.

È la possibilità di trasformare le informazioni relative a una minaccia in protezione preventiva.

FlashStart: trasformare la DNS Intelligence in protezione preventiva

È qui che FlashStart entra nella catena della sicurezza. Il suo DNS filtering cloud-based protegge la navigazione Internet impedendo l’accesso a destinazioni Web malevole e indesiderate sulla base della classificazione dei domini e delle policy di sicurezza.

Nella catena del valore di Threat Intelligence & Risk Forecasting, FlashStart opera principalmente a livello di enforcement:

Threat Data → Intelligence → Forecasting → Decisione di Sicurezza → DNS Enforcement → Riduzione del Rischio

Poiché infrastrutture e domini malevoli evolvono rapidamente, anche la classificazione deve evolvere con loro. FlashStart utilizza Artificial Intelligence e Machine Learning per identificare e classificare domini sospetti, aggiornando continuamente i propri dataset di siti Web malevoli e verificando circa 200.000 nuovi siti Web ogni giorno.

Questa intelligence viene applicata su larga scala: FlashStart elabora più di 20 miliardi di query DNS ogni giorno, traducendo la classificazione dei domini e le policy di sicurezza in decisioni operative all’interno di un flusso di richieste in continuo cambiamento.

Questo panorama delle minacce in continua evoluzione può essere osservato anche attraverso la Threat Map in tempo reale di FlashStart, che offre una visione aggiornata delle attività malevole rilevate a livello globale, mostrando i Paesi e gli indirizzi IP più malevoli, i malware più diffusi e le rilevazioni di malware in tempo reale. La Threat Map trasforma i dati sulle minacce in una visibilità immediata, offrendo una fotografia concreta di come le attività malevole cambino continuamente su Internet.

Per aziende, ISP, MSP e System Integrator, questa protezione deve inoltre garantire affidabilità e performance. FlashStart utilizza una rete Anycast globale, mentre le prestazioni del suo DNS resolver sono state misurate in modo indipendente da DNSPerf, servizio globale di benchmarking delle performance DNS.

Oltre al blocco dei domini malevoli, FlashStart consente la gestione centralizzata delle policy di accesso Web e offre funzionalità quali geoblocking, protezione del traffico dei dispositivi mobili e integrazione con Microsoft Active Directory. Per MSP e ISP, la DNS Security può inoltre diventare parte di una più ampia offerta di servizi di cybersecurity gestita, aggiungendo un livello di sicurezza preventiva al proprio portfolio di servizi.

FlashStart non è una Threat Intelligence Platform e il DNS filtering non sostituisce un programma CTI. Il suo ruolo è complementare: fornisce un livello di enforcement nel quale la conoscenza e la classificazione continuamente aggiornate delle destinazioni Web possono trasformarsi in una decisione di sicurezza preventiva.

Dal conoscere la minaccia al ridurre il rischio

Threat Intelligence & Risk Forecasting rappresentano un’importante evoluzione della strategia di cybersecurity.

La Threat Intelligence trasforma i segnali di sicurezza grezzi in conoscenza contestualizzata. Il Risk Forecasting aggiunge una dimensione orientata al futuro, aiutando le organizzazioni a comprendere quali minacce potrebbero diventare più rilevanti e dove il rischio potrebbe evolvere.

Ma la conoscenza, da sola, non è protezione.

La catena del valore completa richiede che l’intelligence raggiunga le tecnologie e i processi in grado di agire su di essa.

Threat Data → Threat Intelligence → Risk Forecasting → Decisione di Sicurezza → Enforcement → Riduzione del Rischio

Ecco perché l’actionable threat intelligence è importante.

Ed ecco perché la DNS Security può svolgere un ruolo significativo all’interno di un’architettura di cybersecurity multilivello.

Quando le informazioni sulle minacce indicano che un dominio rappresenta un rischio, il DNS filtering offre l’opportunità di trasformare quell’informazione in una decisione concreta: consentire o bloccare la destinazione prima che l’utente possa raggiungerla.

FlashStart opera proprio in questo punto della catena di sicurezza, combinando DNS filtering, classificazione continua dei domini e tecnologie AI/ML per proteggere la navigazione Internet dalle destinazioni malevole, mantenendo al tempo stesso le performance e l’affidabilità richieste dalle organizzazioni moderne.

Che cosa determina, in ultima analisi, il valore della Cyber Threat Intelligence?

Non semplicemente la quantità di informazioni che è possibile raccogliere, ma quanto efficacemente tali informazioni migliorano le decisioni e rafforzano i controlli di sicurezza.

Perché conoscere la minaccia è solo l’inizio. Trasformare l’intelligence in prevenzione è ciò che riduce il rischio.