Il deserto dei falsi positivi: il costo di un nemico che non arriva

Arriva una segnalazione, e non è il solito bollettino periodico che si smaltisce in blocco a fine giornata. È un avviso puntuale, eccezionale: un indicatore di compromissione — un dominio — attribuito a una campagna di phishing «in atto», con la raccomandazione della massima attenzione e della massima diffusione. Il sottotesto è inequivocabile: è grave, agite ora. E così, a cascata, decine di organizzazioni pubbliche e infrastrutture critiche — ospedali, utility, amministrazioni, trasporti — si mettono in moto: si legge, si apre un ticket, si porta la segnalazione al team di sicurezza, si mette il dominio in blocco sul firewall, si scava nei log per capire chi lo ha risolto. Una mobilitazione straordinaria, giustificata dall’urgenza.

Poi qualcuno controlla. Quel dominio era già stato categorizzato come malevolo dai principali vendor di web filtering settimane prima — ben più di un mese. Era già bloccato di default dai presidi perimetrali. Nessun utente lo aveva contattato nell’intera finestra osservabile. La «minaccia eccezionale» era un fantasma: un indicatore vecchio, già gestito, travestito da emergenza. L’allarme è costato più di quanto la minaccia avrebbe mai potuto.

È l’altra faccia di un problema che ho già raccontato: se in un caso un indicatore scaduto avvelena le blocklist, qui un indicatore scaduto mette in moto un’intera platea di enti per nulla. La radice è la stessa: trattare la threat intelligence come un annuncio da diffondere, non come un prodotto curato, verificato e tempestivo. La cattiva intelligence non è soltanto inutile: ha un costo — e su larga scala quel costo è enorme.

Il moltiplicatore: un allarme, mille reazioni

Un bollettino periodico è rumore di fondo: lo si vaglia in blocco, quando si può. Una segnalazione puntuale e urgente è un’altra cosa: è una chiamata all’azione, e l’azione si paga per ogni destinatario. Leggere, aprire un ticket, coinvolgere il team di sicurezza, bloccare sull’apparato, cercare nei log chi ha contattato quell’indirizzo, documentare, chiudere. Trenta minuti nel caso migliore, un paio d’ore in quello realistico, di tempo di persone qualificate. Per ogni ente.

E qui va fatta la moltiplicazione. Un SOC centralizzato non presidia una sola organizzazione, ma centinaia di enti pubblici e infrastrutture critiche — molti dei quali già a corto di risorse. Una segnalazione moltiplicata per centinaia di destinatari, ciascuno con la sua ora scarsa di analista, sono centinaia di ore-uomo qualificate. A costo pieno, decine di migliaia di euro. Per un singolo falso allarme. Ed è solo il costo diretto, quello che si vede.

Il costo invisibile è peggiore. Ogni minuto speso a rincorrere un fantasma è un minuto sottratto a una minaccia vera. Nei settori critici — sanità, energia, trasporti, servizi pubblici essenziali — dove spesso sono gli stessi pochi tecnici a difendere i sistemi da cui dipende il servizio, l’attenzione dirottata non è un fastidio: è rischio. E più le risorse sono scarse, più pesa ogni ora sottratta a ciò che conta.

Perché un’allerta «eccezionale» deve esserlo davvero

Non tutta l’intelligence è uguale, e non deve esserlo. Un feed periodico può permettersi il rumore: è un flusso, lo si filtra. Una segnalazione mirata e urgente porta invece una promessa implicita: questo è nuovo, questo è attivo, questo vale la pena di lasciare tutto. Quando la promessa non è mantenuta — quando l’indicatore «eccezionale» è nei feed di categoria pubblici da settimane — l’avviso non è intelligence, è allarmismo.

La spia è la tempestività, non l’enfasi. Un indicatore già categorizzato dai grandi vendor, già bloccato dai filtri predefiniti, non è una notizia azionabile: è il meteo di settimana scorsa. Diffonderlo come un’emergenza confonde «abbiamo trovato qualcosa» con «dovete agire» — e la differenza, per chi riceve, è tutta lì.

La dinamica del «al lupo»: come si brucia la fiducia

Il danno peggiore non è l’ora sprecata. È ciò che i falsi allarmi ripetuti fanno a chi li riceve. Un SOC che grida «al lupo» insegna ai propri enti a scontare le sue segnalazioni. La prossima — magari quella vera — verrà smaltita con un’alzata di spalle, o archiviata «a quando c’è tempo».

L’intelligence è una relazione di fiducia, e la fiducia è il suo unico vero valore. Se la spendi per i fantasmi, non te ne resta per il giorno che conta. È lo stesso meccanismo che porta a spegnere una blocklist troppo rumorosa: un controllo che grida al lupo è un controllo avviato a essere ignorato.

Cosa distingue una buona segnalazione

La differenza tra intelligence e rumore non è nel tono, è nel metodo. Una buona segnalazione è tempestiva: un indicatore ha vita breve, e un avviso urgente deve essere legato a una campagna davvero attiva, non a un dominio fermo da un mese. È verificata prima di essere diffusa: si confronta l’indicatore con ciò che già si sa — feed di categoria, reputazione, la propria telemetria — e se è già gestito, l’azione richiesta è «nessuna», e lo si dice. Porta contesto e confidenza: perché è eccezionale, con quale certezza, con quale scadenza attesa, così che il destinatario possa calibrare lo sforzo invece di andare in automatico al massimo. È azionabile, non solo «da diffondere»: dice cosa fare e — altrettanto importante — cosa non fare, e non chiede a cento team di riscoprire ognuno per conto proprio che il dominio era già bloccato. E chiude il cerchio con un feedback: le evidenze dei destinatari — già in blocco, nessun contatto — tornano indietro, così lo stesso fantasma non viene sollevato due volte.

Perché capirlo fa la differenza

La threat intelligence vale quanto la disciplina con cui viene gestita. La cattiva intelligence — vecchia, non verificata, diffusa senza contesto — non rende nessuno più sicuro: brucia ore, sotterra i segnali veri sotto quelli falsi ed erode la fiducia che fa arrivare a destinazione il prossimo avviso. Nei settori critici — soprattutto dove le risorse sono già scarse — quella fiducia non è un bene immateriale: è la differenza tra una risposta coordinata e un’alzata di spalle.

La cura non è più segnalazioni, sono segnalazioni migliori: tempestive, verificate, contestualizzate, azionabili. Un indicatore, come tutto in sicurezza, ha una data di scadenza; e trattarlo come verità eterna costa molto più della minaccia che avrebbe dovuto fermare. Vale anche qui la regola di sempre: un controllo — come una segnalazione — va reso difendibile e verificabile, altrimenti il primo prezzo lo paga proprio chi dovrebbe proteggere.

Fa parte della serie sulle fondamenta invisibili dell’infrastruttura. Leggi anche La notte che bloccammo Gmail e È sempre il DNS.