---
title: "Smetti di contare le tecniche MITRE. Inizia a chiudere la porta d'ingresso. | Guardian360"
description: "Gli attaccanti riutilizzano un insieme piccolo e stabile di tecniche, eppure il settore vende la \"copertura MITRE al 100%\". Perché quella metrica rassicura più di quanto protegga, e dove lo sforzo difensivo rende davvero."
url: https://guardian360.net/it/blog/stop-counting-mitre-techniques-start-closing-the-front-door/
locale: en
source: guardian360.net
---
[← Tutti i post](https://guardian360.net/it/blog/)

Opinione

# Smetti di contare le tecniche MITRE. Inizia a chiudere la porta d'ingresso.

Di Jan Martijn Broekhof · 30 giugno 2026

Qualche settimana fa ho assistito alla presentazione di laurea di uno studente di Software Development di un HBO. Il lavoro era buono, ma è stato un singolo punto del suo intervento a restarmi impresso. Aveva letto uno studio del 2024 della NC State University, e ha posto alla sala una domanda che da allora non riesco più a togliermi dalla testa: se gli attaccanti continuano a ricorrere allo stesso piccolo insieme di tecniche, anno dopo anno, perché il nostro intero settore insiste nel misurare qualcos’altro?

È una domanda giusta, e più ci riflettevo, più diventava scomoda. Perché la risposta onesta è che misuriamo la cosa sbagliata, la misuriamo male, e vendiamo il risultato come rassicurazione.

## L’arsenale è più piccolo di quanto suggerisca il marketing

Lo studio in questione, “Attackers reveal their arsenal” di Rahman, Basak, Mahdavi Hezaveh e Williams, ha fatto qualcosa di rinfrescantemente concreto. I ricercatori hanno preso 667 report di cyber threat intelligence che MITRE ATT&CK cita, coprendo più di diecimila tecniche documentate, e si sono chiesti quali di esse ricorrono davvero.

La risposta è deprimente per chiunque immagini gli attaccanti come infinitamente inventivi. Hanno identificato diciannove tecniche prevalenti che insieme rappresentano oltre un terzo di tutto ciò che è documentato. Nessuna di quelle tecniche prevalenti era in tendenza calante. L’immagine popolare dell’avversario come innovatore instancabile, che inventa per sempre metodi nuovi, non sopravvive al contatto con le prove. Gli attaccanti sono creature abitudinarie. Riutilizzano ciò che funziona, perché ciò che funziona continua a funzionare.

Penseresti che questa sia una buona notizia per i difensori. Un arsenale piccolo e stabile sembra un problema gestibile. Eppure il modo in cui il settore ha reagito è costruire un intero linguaggio di marketing attorno alla copertura di tutto quanto.

## Allora perché ogni vendor ti vende la “copertura MITRE al 100%”?

Questa è la domanda che un CISO pone davvero, di solito tra la seconda e la terza demo di un vendor. Ogni prodotto rivendica una copertura completa di MITRE ATT&CK. Ogni heatmap brilla di un verde rassicurante. E quasi nulla di tutto ciò significa quello che l’acquirente pensa significhi.

Analisi indipendenti suggeriscono che i tradizionali sistemi di security information and event management rilevano in media solo circa il 21 per cento delle tecniche ATT&CK, e che molte delle rivendicazioni di copertura in prima pagina riflettono test incentrati sull’endpoint piuttosto che le superfici cloud, identity e SaaS dove ormai si consumano tanti breach. Il numero sulla slide e la protezione nell’ambiente non sono la stessa cosa.

La copertura è facile da vendere perché è facile da disegnare. Una matrice con la maggior parte delle celle riempite sembra competenza. Impedire a un attaccante di varcare la porta d’ingresso, al contrario, è invisibile. Nessuno fotografa il breach che non è avvenuto. Così abbiamo finito per premiare la metrica che fa bella figura in demo rispetto al risultato che protegge davvero l’organizzazione. Questo è teatro della copertura, e stiamo tutti pagando il biglietto.

## Il paradosso più crudele: le tecniche più comuni sono le più difficili da intercettare

Qui lo studio della NC State diventa genuinamente scomodo. I ricercatori notano che le tecniche più prevalenti sembrano benigne se viste singolarmente. Raccogliere informazioni di sistema, eseguire una command shell, trasferire un file: ognuna di queste è indistinguibile dalla normale attività di sistema legittima. Diventano un attacco solo quando le vedi in sequenza, e a quel punto l’attore è già dentro.

Non è una preoccupazione teorica. Nelle MITRE ATT&CK Evaluations del 2025, uno degli scenari di test ha dovuto essere scartato perché i valutatori non riuscivano a separare in modo affidabile le azioni amministrative dall’aspetto legittimo dell’avversario da quelle genuine, come ha riportato in seguito Forrester. Rileggi. MITRE stessa, conducendo un test controllato con piena conoscenza di ciò che l’attaccante stava facendo, non riusciva a distinguere nettamente il comportamento malevolo da quello legittimo per queste tecniche.

Quindi le tecniche che gli attaccanti usano di più sono proprio quelle che resistono di più al rilevamento. La heatmap di copertura promette di intercettarle. Le prove dicono che persino le persone che hanno progettato il framework faticano a farlo. Non stiamo solo misurando la cosa sbagliata; stiamo rivendicando sicurezza proprio sulla parte del problema che la merita di meno.

## Un’ammissione onesta, anche sulla mia piattaforma

A questo punto la correttezza impone che io punti l’obiettivo su me stesso. Guardian360 sviluppa la piattaforma Lighthouse, che fa scansione continua delle vulnerabilità, raccomandazioni di compliance rispetto a più di quaranta norme e leggi, insight di sicurezza Microsoft 365 e intruder detection. Se prendessi le diciannove tecniche prevalenti dello studio e chiedessi quante ne previene o rileva in modo affidabile la nostra piattaforma, la risposta onesta è: molto poche in modo diretto. La maggior parte di quell’arsenale è comportamento post-exploitation sull’endpoint, e non è ciò che una piattaforma di vulnerability e compliance è costruita per osservare.

Potrei abbellirlo. Non lo farò. Ed ecco il punto che conta: nessun vendor può onestamente rivendicare di coprire l’intera catena. Quelli che ti mostrano una matrice completamente verde non sono più capaci del resto di noi. Sono solo meno sinceri su dove si ferma il loro prodotto. Un acquirente è servito molto meglio da un fornitore che dice chiaramente cosa fa, cosa non fa, e dove serve qualcun altro, che da uno che ha colorato ogni cella e spera che tu non faccia domande difficili.

## Dove la partita si vince davvero: la porta d’ingresso

Se le tecniche prevalenti sono per lo più cose che gli attaccanti fanno dopo essere entrati, la domanda ovvia è come siano entrati in primo luogo. E su questo, i dati sono insolitamente chiari.

Secondo il Verizon 2025 Data Breach Investigations Report, lo sfruttamento delle vulnerabilità è balzato al secondo posto tra i vettori di accesso iniziale, presente nel 20 per cento dei breach e in aumento del 34 per cento rispetto all’anno precedente. Le credenziali rubate rappresentano il 22 per cento, e il phishing si attesta intorno al 15 per cento. I due o tre modi con cui gli attaccanti entrano davvero sono tutti all’inizio della catena, non sepolti nelle tecniche di post-exploitation che riempiono le heatmap. Lo studio stesso raggiunge la stessa conclusione dalla direzione opposta, indicando lo spear-phishing come la via più prevalente all’infezione iniziale.

È qui che lo sforzo difensivo rende. Applica le patch alle cose esposte su internet, in particolare gli edge device e le VPN che gli attaccanti ora colpiscono prima ancora che la patch sia stata dispiegata. Chiudi i gap sulle credenziali. E sul phishing, sii onesto su cosa la formazione può e non può fare. Lo stesso report Verizon ha rilevato che la formazione muove appena il tasso di clic, che resta ostinatamente intorno all’1,5 per cento, ma che i dipendenti formati segnalano le mail sospette circa quattro volte più spesso. Non riuscirai a rendere le persone incliccabili con la formazione. Puoi trasformarle in una rapida rete di sensori umani. È un obiettivo diverso e molto più raggiungibile.

Niente di tutto ciò richiede un muro di celle verdi. Richiede di decidere che tenere fuori gli attaccanti vale più che essere in grado di descrivere, a posteriori e nel vocabolario di MITRE, esattamente come si sono mossi una volta dentro.

## La domanda da porre la prossima volta

Non sto sostenendo che il rilevamento non conti. Il pensiero assume-breach esiste per un buon motivo: la prevenzione ha delle falle, e un’organizzazione matura ha bisogno di vedere l’intruso che passa comunque. Ma “assume breach” è silenziosamente diventato una licenza per sottoinvestire nel non essere violati, e la heatmap di copertura è il pretesto che fa sembrare tutto ciò responsabile.

Quindi la prossima volta che un fornitore ti mostra una matrice MITRE, non chiedere quante tecniche rileva. Chiedi quali previene, chiedi cosa onestamente non riesce a fare, e chiedi dove la tua porta d’ingresso è ancora spalancata. L’arsenale è piccolo e prevedibile. Le nostre difese dovrebbero iniziare dove inizia l’attaccante.

## Fonti

- Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. [https://arxiv.org/abs/2401.01865](https://arxiv.org/abs/2401.01865)
- Verizon 2025 Data Breach Investigations Report, per i vettori di accesso iniziale (sfruttamento delle vulnerabilità 20%, credenziali rubate 22%, phishing intorno al 15%) e le cifre sulla segnalazione dopo la formazione.
- Forrester (2025), analisi delle MITRE ATT&CK Evaluations 2025, sullo scenario scartato perché le azioni amministrative legittime e malevole non potevano essere distinte in modo affidabile.
- Mitiga, per la cifra indipendente secondo cui i sistemi SIEM tradizionali rilevano in media circa il 21% delle tecniche ATT&CK, e la critica alle rivendicazioni di “copertura al 100%” incentrate sull’endpoint.
- MITRE ATT&CK Evaluations, per un riferimento neutrale su cosa la valutazione è e non è.