La threat intelligence è conoscenza azionabile sulle minacce: chi attacca, come, con quali infrastrutture. Si consuma a tre livelli – IoC (indicatori concreti: IP, domini, hash malevoli, da bloccare in automatico), TTP (le tecniche degli avversari, catalogate in MITRE ATT&CK, per orientare i rilevamenti) e intelligence strategica per decidere le priorità.
Il valore sta nella freschezza e nell'integrazione: un feed di IoC che nessun sistema consuma è solo lettura. Esempi operativi nel portfolio: blacklists aggrega ogni giorno 46 fonti in una blocklist DNS pronta all'uso, fqdn-model prova a predire i domini malevoli che nessun feed conosce ancora, e NASO copre il lato esposizione: cosa si dice di te nei posti sbagliati.