Segnali attuali invece di prove stantie

L’intelligenza delle minacce invecchia. Un IP, un dominio o un URL possono essere dannosi oggi e in seguito essere nuovamente utilizzati legittimamente. Se le vecchie voci rimangono per sempre in una blocklist, aumenta il rischio di blocchi errati e gli amministratori perdono fiducia nel feed.

Cybora dà quindi la priorità ai segnali nuovi, attivi e riconfermati. La dimensione da sola non è una metrica di qualità. Per le policy firewall di produzione, un feed più piccolo, aggiornato e meglio valutato è spesso più prezioso di un enorme elenco di elementi storici.

Perché i vecchi indicatori diventano pericolosi

L’infrastruttura Internet cambia costantemente proprietario, ruolo o scopo. Le cause comuni degli indicatori obsoleti includono:

• Riciclo IP presso fornitori di hosting e cloud
• sistemi compromessi ripuliti
• domini cancellati o appena registrati
• campagne che hanno abbandonato le loro infrastrutture
• vecchia reputazione senza nuova osservazione

Un feed deve tenere conto di questi cambiamenti, altrimenti non fa altro che ingrandirsi e diventare operativamente più rischioso.

L’invecchiamento come meccanismo di qualità

Invecchiamento significa che le prove perdono peso nel tempo quando non si osserva alcuna nuova attività. Nuove osservazioni possono rafforzare nuovamente un indicatore, mentre i vecchi segnali scadono o vengono rimossi dai feed di produzione.

I TTL esatti e le regole di valutazione sono logica interna. Il principio pubblico conta: Cybora rivaluta continuamente gli indicatori e tratta la freschezza come una caratteristica di qualità centrale.

Relazione con aggiornamenti e sondaggi

La freschezza del feed non dipende solo dalla pipeline di dati. Anche il firewall deve recuperare il feed in modo sensato. Gli intervalli e i limiti consigliati sono documentati in Intervalli e aggiornamenti di polling.