I 5 migliori servizi di Cyber Threat Intelligence a confronto

Abbiamo eseguito proof of concept pratiche su 5 servizi di cyber threat intelligence, valutando ciascuno in base agli stessi 33 criteri in 8 categorie, utilizzando un set di probe condiviso di IOC storici, 6 attori della minaccia e 4 CVE sfruttate. Il risultato più controintuitivo è che il servizio gratuito AlienVault OTX ha eguagliato CrowdStrike, la piattaforma più costosa qui, sull'automazione. 

Scopri come hanno ottenuto i punteggi i 5 servizi, dove ciascuno eccelle e come combinarli in un programma stratificato di threat intelligence:

Servizi di cyber threat intelligence a confronto

*CrowdStrike viene valutato a livello di famiglia di prodotti poiché le sue capacità si estendono su più di 4 abbonamenti (vedi metodologia).

Punteggi per categoria

Questi 5 servizi rappresentano 5 archetipi distinti di threat intelligence, quindi il benchmark identifica il posizionamento piuttosto che dichiarare un unico vincitore: ogni prodotto svolge un lavoro diverso in un programma di threat intelligence.

Punti chiave

Le etichette di marketing implicano una gerarchia che i nostri test hanno ribaltato in diversi punti:

• Il servizio gratuito ha eguagliato i leader premium sulle interfacce di automazione. AlienVault OTX espone REST APIs, SDK e TAXII senza costi, e ottiene il punteggio pieno su integrazione e API, lo stesso 4 su 4 di CrowdStrike e Feedly, mentre CrowdStrike subordina il feed STIX/TAXII al livello Premium e X-Force restituisce 403 alle chiamate API dal suo livello gratuito.
• Il leader della copertura ha spostato l'intelligence sulle CVE in un prodotto separato. CrowdStrike ha confermato 30 dei 33 criteri con zero capacità assenti, eppure la sua unica lacuna strutturale è l'intelligence sulle vulnerabilità: i dati CVE e il punteggio ExPRT.IA si trovano nello SKU separato Falcon Exposure Management, non in Adversary Intelligence. Sulla profondità delle CVE, i freemium X-Force e Feedly sono più integrati del prodotto più costoso del benchmark.
• Il punteggio più basso non significa il prodotto peggiore. GreyNoise ha confermato 10 capacità con 16 criteri assenti, eppure è la piattaforma specializzata più forte per identificare la scansione internet benigna e ridurre l'affaticamento da alert. I suoi 16 criteri assenti coprono capacità che il prodotto non dichiara nemmeno.
• La piattaforma freemium più completa sta per essere ritirata. X-Force ha offerto l'esperienza freemium più completa del benchmark, ma IBM ha annunciato una data di fine vita al 31 agosto 2026, con i clienti che passeranno a Palo Alto Cortex.¹
• Un ex lettore RSS è arrivato secondo. Feedly, nonostante la sua eredità di lettore consumer, ha confermato 19 capacità tramite estrazione IA di IoC/TTP, intelligence sulle vulnerabilità con punteggio EPSS e la più ampia gamma di export/distribuzione, davanti a X-Force, GreyNoise e OTX.

CrowdStrike Falcon Adversary Intelligence

Figura 1. Vista principale di CrowdStrike Falcon Adversary Intelligence

CrowdStrike copre tutti i 33 criteri a livello di famiglia di prodotti, sebbene 3 siano disponibili solo parzialmente. L'abbiamo testato con una prova Premium nella regione EU-1.² La prova non richiedeva MFA, anche se le sessioni scadevano dopo circa un'ora. Le capacità CTI di CrowdStrike non sono un singolo prodotto ma una famiglia, che comprende Adversary Intelligence (base), Adversary Intelligence Premium, Counter Adversary Operations (CAO) Elite, Recon e Recon+, ed Exposure Management. Il punteggio è misurato a livello di famiglia di prodotti per questo motivo.

Fonti dati

La base è la telemetria dei sensori Falcon di prima parte combinata con la ricerca di Counter Adversary Operations e OverWatch, più la raccolta Recon su web aperto, profondo e dark.

Figura 2. Il dashboard di CrowdStrike Falcon consente di aggiungere pagine riservate

Recon monitora milioni di pagine riservate, forum criminali e piattaforme crittografate, l'unico servizio qui che raggiunge le fonti underground all'interno della famiglia di prodotti.

Copertura e tipi di intelligence

Il modulo malware elenca 4.207 famiglie di malware, ciascuna con capacità (RAT, InfoStealer, raccolta di credenziali, botnet), sistemi target, avversari associati e filtri per vulnerabilità, kill chain e MITRE.

Figura 3. Il modulo malware

MalQuery cerca oltre 3,5B file e Falcon Sandbox è incluso nel livello base. Il monitoraggio del brand, dell'impersonificazione di domini e social media (Recon) e il rilevamento di credenziali esposte con reset forzato di Falcon Identity Protection (Recon) esistono entrambi qui e in nessun altro servizio testato. L'unica lacuna è l'intelligence sulle vulnerabilità: i dati CVE e il punteggio ExPRT.IA si trovano nello SKU separato Exposure Management, quindi collegare un avversario a una CVE richiede due abbonamenti.

Analisi e arricchimento

Ogni profilo di avversario presenta una matrice MITRE ATT&CK e una scheda kill chain direttamente nell'interfaccia, livello base, senza chiamate API e senza barriere Premium. Nessun altro servizio testato visualizza ATT&CK in modo nativo: OTX lo restituisce solo tramite API, X-Force lo riserva ai contenuti Premium e Feedly lo deriva tramite aggregazione.

Figura 4. Matrice ATT&CK per avversario

Intel Explorer unisce avversario, malware, vulnerabilità e report, e la API Indicator Graph espone quelle relazioni. Il rischio IOC utilizza bucket malicious_confidence (alto, medio, basso, non verificato), che sono più grossolani della scala numerica da 1 a 10 di X-Force.

287 avversari nominati, ciascuno con un profilo strutturato che copre origine, motivazione, settori target e oltre 30 paesi target. Nelle nostre sonde, la mappatura degli alias di APT28 (STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, BlueDelta) corrispondeva esattamente alla nostra chiave di risposta.

Attribuzione

La console elencava 287 avversari nominati (i materiali pubblici ne citano oltre 281 per il 2026), ciascuno strutturato con origine, motivazione, settori e paesi target, numero di report di intelligence e ID community.

Figura 5. Avversari di CrowdStrike Falcon

Il profilo di FANCY BEAR (APT28) andava da una prima apparizione nel 2007 all'ultima ad aprile 2026, contrassegnato come sponsorizzato da uno stato, origine Federazione Russa, oltre 30 paesi target, con piena riconciliazione degli alias: STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, Iron Twilight, BlueDelta e APT28, corrispondenti esattamente alla nostra chiave di risposta.

Figura 6. Sintesi della threat intelligence con Fancy Bear

Labyrinth Chollima è stato mappato su Lazarus e Carbon Spider su FIN7; LockBit, Scattered Spider e MuddyWater erano ricercabili tramite ID community. Tutto questo è nel livello base.

Piattaforma

La ricerca sfaccettata degli avversari più FQL a livello di piattaforma e una API SearchIndicators coprono le esigenze di query; l'hub Intelligence offre dashboard, segnalibri e notifiche, con regole di monitoraggio Recon per alert su brand e identità.

Il modulo Report contiene 429 report di intelligence completati (filtrati per avversario, MITRE, settore, paese e malware), oltre al Threat Hunting Report 2025; la libreria completa è Premium.

Nessun altro servizio testato offre accesso RFI (5 all'anno, Premium) o un analista assegnato (CAO Elite). Poiché la CTI condivide un'unica console con Falcon EDR/XDR, NG-SIEM, Investigate e Fusion SOAR, un cliente Falcon esistente la adotta con un costo di integrazione vicino allo zero.

Integrazione e API.

Una API REST OAuth2 (client Crea API, base api.eu-1) viene fornita con due SDK ufficiali, FalconPy per Python e PSFalcon per PowerShell, l'accesso programmatico più maturo dei 5.

Figura 7. Elenco client OAuth2 REST API di CrowdStrike Falcon

Fusion SOAR è nativo e il feed di intelligence esporta STIX/TAXII/JSON, sebbene il feed STIX/TAXII sia Premium. Solo sull'asse dell'automazione gratuito, OTX è più forte.

Reporting

Lo strumento copre report strategici, operativi, tattici e di settore, con PDF dei report, API, STIX/TAXII e consegna via email o SIEM. Il modulo Report contiene 429 report di intelligence completati (filtri per avversario, MITRE, settore, paese e malware) oltre al Threat Hunting Report 2025; la libreria completa è Premium.

Figura 8. Report Recon completati di CrowdStrike Falcon

Scenari operativi

Recon+ offre un takedown gestito end-to-end (account falsi, phishing, domini) con CSC Global con un clic, l'unico takedown in-piattaforma tra i 5. La caccia gestita OverWatch, Fusion SOAR, FalconPy e il supporto YARA/SNORT abilitano la caccia guidata dall'intelligence (Premium). CrowdStrike perde entrambi i punti parziali per il packaging: la prioritizzazione delle vulnerabilità (ExPRT.IA) si trova in Exposure Management e il monitoraggio della supply chain di Recon si concentra sull'impersonificazione di partner e fornitori piuttosto che su un rating completo del rischio fornitore.

Dove eccelle e dove costa

CrowdStrike cede i suoi 3 punti parziali a scelte di posizionamento piuttosto che a capacità mancanti: l'intelligence sulle CVE si trova in uno SKU separato (2 dei 3) e la copertura della supply chain si ferma all'impersonificazione. I veri compromessi sono la frammentazione degli SKU su più di 4 abbonamenti, il costo totale più alto dei 5, nessun livello di feed gratuito e un punteggio di rischio più grossolano rispetto a X-Force o GreyNoise.

Ideale per: team SOC e CTI maturi con un programma di threat intelligence incentrato sull'attribuzione (tracciamento APT, campagne, ATT&CK) e budget per la protezione dal rischio digitale, soprattutto clienti Falcon EDR/XDR esistenti. I team con budget limitato o che necessitano di una singola capacità ristretta dovrebbero guardare altrove.

Feedly Threat Intelligence

Il livello di aggregazione IA-OSINT e il secondo punteggio più alto dei 5. L'abbiamo testato con una prova di 30 giorni di Threat Intelligence (“Playground”) con login passwordless tramite magic-link. Feedly non produce telemetria di prima parte. La sua IA Leo legge le fonti e il suo Threat Graph contiene oltre 10M di articoli, oltre 681M di IOC, oltre 300K di CVE, 979 attori della minaccia, oltre 12K famiglie di malware e 800 TTP. Il prezzo è di circa $19,2K all'anno per Standard e $38,4K per Advanced, con il Server MCP e l'API avanzata in Advanced o Enterprise.

Fonti dati

La board Today ordina gli articoli in categorie curate dall'IA (vulnerabilità, attacchi informatici, threat intel, notizie di sicurezza, advisory dei fornitori) e deduplica la copertura di un evento tra molte fonti, riducendo una scheda contrassegnata “+426 feed” a un singolo elemento. Dietro di essa si trovano oltre 10.000 fonti curate, del web chiaro e dark, più milioni di feed grezzi. Non è disponibile una rete di sensori propria (l'unica ✗ in questa categoria), e il dark web avviene tramite aggregazione piuttosto che operazione di prima parte.

Figura 9. Workspace di Feedly Threat Intelligence

Copertura e tipi di intelligence

Leo estrae automaticamente gli IOC dal testo degli articoli: una scheda su un ransomware GodDamn era taggata “IoC > 4 IP e 18 hash” e una scheda sulla supply chain di jscrambler “5 indirizzi email e 5 hash”, estraendo strutturalmente 4 tipi di IOC, cosa che i tag dei pulse e le ricerche di reputazione non possono fare.

Figura 10. Board Threat Intel

Nessun altro servizio testato mostra CVSS, EPSS, KEV e lo stato di sfruttamento su un'unica schermata.

Figura 11. Dettaglio elemento CVE

Le due lacune sono il monitoraggio del brand (parziale, basato su parole chiave) e le credenziali trapelate (assenti).

Analisi e arricchimento

Leo tagga gli articoli con le tecniche ATT&CK (“33 TTP”, “24 TTP”, “TA0004”) e li esporta su Navigator, e il Real-Time Threat Graph è un grafico di relazioni funzionante tra articolo, IOC, CVE, TTP, attore e malware. La reputazione di IP e hash grezzi non sono motori propri; fanno riferimento a VirusTotal e GreyNoise. Non esiste un punteggio formale di rischio per gli articoli; il punteggio resta sul lato vulnerabilità tramite EPSS e CVSS.

Attribuzione

Le Threat Actor Insights Card coprono 979 attori, con riconciliazione degli alias e collegamenti a target, TTP, malware e CVE. Tuttavia, i contenuti sono derivati da OSINT piuttosto che di prima parte, quindi Feedly compila l'attribuzione invece di crearla.

Piattaforma

Gli IA Feed accettano query booleane, Ask IA accetta il linguaggio naturale e le Team Board offrono avvisi watchlist. L'intelligence completata è sintesi IA (Ask IA, Insights Card) piuttosto che una libreria scritta da analisti (~), e non ci sono RFI o analisti su richiesta (✗).

Integrazione e API

Una API REST STIX 2.1, oltre 11 connettori SIEM/SOAR (Anomali, MISP, Cortex XSOAR, EclecticIQ, ThreatQ, ThreatConnect, Sentinel, Splunk, OpenCTI), export multi-formato e consegna a Slack, Teams, email e newsletter sono tutti presenti. Il Server MCP, per l'automazione CTI assistita dall'IA, non compare in nessun altro servizio testato.

Reporting

Report Builder e Ask IA generano riassunti esecutivi, advisory sulle vulnerabilità, brief sui TTP degli attori e newsletter, quindi il prodotto produce risultati pronti piuttosto che dati grezzi.

Scenari operativi

Il dashboard delle vulnerabilità è la prioritizzazione integrata EPSS/KEV nel prodotto principale di qualsiasi servizio testato. La corrispondenza degli IOC alimenta SOAR e TIP con contesto, ed esiste un percorso ticket ServiceNow guidato da MCP. Il dashboard delle vulnerabilità è l'unica prioritizzazione integrata EPSS/KEV, integrata nel prodotto principale piuttosto che in un componente aggiuntivo.

Figura 12. Board delle vulnerabilità di Feedly Threat Intelligence

Dove eccelle e dove è carente

I 4 segni ✗ derivano tutti dall'archetipo: nessun sensore di prima parte, nessun database di credenziali trapelate, nessuna RFI, nessun takedown. L'attribuzione resta derivata da OSINT. Trattatelo come un compilatore e un front-end di reporting sopra le fonti primarie, non come un loro sostituto.

Ideale per: team CTI self-service che vogliono accelerare il triage OSINT, tracciare CVE e TTP e produrre risultati di intelligence pronti. Trattatelo come un livello di compilazione sopra le fonti primarie, non come un loro sostituto.

IBM X-Force Exchange (in ritiro a breve)

⚠ IBM ha annunciato la fine del ciclo di vita per X-Force Exchange il 31 agosto 2026, con QRadar e le capacità di threat intelligence che passeranno a Palo Alto Cortex. Valutatelo per ciò che insegna sull'intelligence strutturata sulle minacce, non come base a lungo termine.

Figura 13. Dashboard di IBM X-Force Exchange

Il freemium più strutturato dei 5. L'abbiamo testato sul livello Freemium gratuito con un IBMid.³ Il primo accesso ha imposto l'iscrizione MFA con OTP via email e l'accettazione dei termini di servizio. Il modello a livelli divide le capacità per prezzo: Freemium offre il portale e report campione senza API, Essentials aggiunge la API REST, l'arricchimento e TAXII, Standard aggiunge un feed bulk e Premium sblocca la profondità su gruppi di minacce, settori, malware e ATT&CK.

Fonti dati

Il feed combina i team di ricerca propri di IBM, una partnership malware con ReversingLabs, feed di IP, URL, vulnerabilità e firme, e la telemetria DNS di Quad9… Il volume è inferiore ai circa 20M IOC al giorno di OTX, ma i contenuti sono verificati piuttosto che raccolti in crowdsourcing. Non raggiunge il volume grezzo di OTX, ma non presenta rumore. Il dark web è assente dalla piattaforma; il monitoraggio reale avviene nei servizi separati X-Force IRIS.

Copertura e tipi di intelligence

L'arricchimento è tornato strutturato e senza gratuito rumore: l'IP C2 Conti (162.244.80.235) ha restituito un Rischio numerico 1/10 dopo l'invecchiamento, una cronologia di categorizzazione (contrassegnata “Unsuspicious” al momento del test, dopo che una revisione analitica del 2022 ha rimosso il tag malware), una timeline di 31 eventi, ASN e subnet, WHOIS e DNS passivo. Il dominio SUNBURST⁴ è tornato con Rischio 10/10, Botnet C2, con il sinkhole della FBI Cyber Division registrato nel WHOIS, contro il rumore di 1.487 tag che lo stesso indicatore ha generato su OTX. La capacità di firma è l'X-Force Database, oltre 260K vulnerabilità: una ricerca Log4Shell ha incrociato 50 vulnerabilità, 200 firme, 200 IP sfruttanti, 5 profili di gruppi di minacce, 11 analisi malware e 3 settori, senza alcuno SKU aggiuntivo. L'hash di WannaCry ha restituito famiglia, tipo, piattaforma, 97% di copertura della community e dati ReversingLabs Titanium con date di primo e ultimo avvistamento. Le credenziali trapelate sono assenti e il brand è parziale.

Copertura e tipi di intelligence

L'IP C2 Conti (162.244.80.235) ha restituito un Rischio numerico 1/10 dopo l'invecchiamento, una cronologia di categorizzazione (contrassegnata “Unsuspicious” oggi dopo che una revisione analitica del 2022 ha rimosso il tag malware), una timeline di 31 eventi, ASN e subnet, WHOIS e DNS passivo.

Figura 14. IP Conti C2 di IBM X-Force

Il dominio SUNBURST⁴ è tornato con Rischio 10/10, Botnet C2, con il sinkhole della FBI Cyber Division registrato nel WHOIS, contro i 1.487 tag che lo stesso indicatore ha generato su OTX.

Figura 15. Ricerca URL SUNBURST

La capacità di firma è l'X-Force Database, oltre 260K vulnerabilità: una ricerca Log4Shell ha incrociato 50 vulnerabilità, 200 firme, 200 IP sfruttanti, 5 profili di gruppi di minacce, 11 analisi malware e 3 settori, senza alcuno SKU aggiuntivo.

Figura 16. Monitoraggio di Log4Shell

L'hash di WannaCry ha restituito famiglia, tipo, piattaforma, 97% di copertura della community e dati ReversingLabs Titanium con date di primo e ultimo avvistamento. Le credenziali trapelate sono assenti e il brand è parziale.

Figura 17. Report malware WannaCry

Analisi e arricchimento

Il punteggio numerico Rischio da 1 a 10 include una timeline temporale con revisione analitica, l'unico modello di punteggio numerico in un livello gratuito: OTX non offre alcun punteggio numerico e GreyNoise usa 4 categorie. ATT&CK non è sulla pagina IOC; appare nei contenuti Premium e non c'è un grafico visuale delle relazioni.

Attribuzione

Esistono profili strutturati Threat Group e IRIS ITG, e il flusso di advisory 2026 è aggiornato (APT28 PRISMEX, Early Warning). Ma il livello Freemium mostra solo campioni, i profili approfonditi sono Premium e la maggior parte degli APT principali non ha un profilo dedicato nella denominazione ITG di IBM, quindi la riconciliazione degli alias spetta all'analista. Questo è inferiore ai 287 profili di avversari di CrowdStrike con ATT&CK nativo nell'interfaccia.

Piattaforma

La ricerca sfaccettata (oltre 10 tipi più un filtro sul rischio), una Watchlist incentrata sulle vulnerabilità, Collection e Notifiche rendono il portale gratuito il più maturo tra i livelli freemium e community. La lacuna è l'accesso agli analisti: nessuna RFI nel prodotto.

Reporting

La libreria di intelligence completata comprende oltre 8 tipi di report (Threat Group, OSINT, Malware, Industry, Threat Index) e resta aggiornata per tutto il 2026, con un profilo del settore Financial Services che suddivide settore e geografia. La prioritizzazione delle vulnerabilità è incompleta: lo sfruttamento CVSS e i riferimenti incrociati sono forti, ma non c'è EPSS né un flusso prodottizzato.

Figura 18. Report di profilo del settore Financial Services

Integrazione e API

L'export STIX 2 per singolo report funziona nel Freemium e l'integrazione con QRadar è nativa, ma l'API e TAXII iniziano con Essentials e il feed bulk con Standard, quindi il livello gratuito restituisce 403 alle chiamate API. X-Force è l'immagine speculare di OTX: una ricca UI gratuito con automazione a pagamento.

Scenari operativi

Il monitoraggio del dark web, le credenziali trapelate, i takedown e le RFI sono fuori dalla piattaforma, alcuni in servizi X-Force IR e TI separati. La caccia alle minacce si basa su Collection, export STIX e QRadar, con l'operatività in blocco legata all'API a pagamento.

Dove eccelle e dove è carente

Il database di vulnerabilità XFDB, l'arricchimento con rischio numerico e l'attuale libreria di intelligence completata collocano X-Force sopra OTX e sotto CrowdStrike, nella fascia medio-alta. Punti deboli: la data di fine vita, l'automazione a pagamento, l'assenza di un livello di azione in piattaforma e l'attribuzione vincolata al Premium. Nessun team dovrebbe costruire una pipeline pluriennale su di esso, data la fine del ciclo di vita nel 2026.

Ideale per: analisti che necessitano di arricchimento IOC gratuito e strutturato e di ricerca sulle vulnerabilità all'interno dell'ecosistema IBM/QRadar, fino alla migrazione. Chi seleziona una piattaforma pluriennale dovrebbe pianificare ora la sua sostituzione.

GreyNoise

Figura 19. Dashboard di destinazione di GreyNoise

GreyNoise è il più ristretto dei 5 e il più profondo nella sua unica corsia. Abbiamo testato il livello Community gratuito⁵ tramite login Auth0 senza MFA. GreyNoise risponde a una domanda: questo IP sta eseguendo scansioni di massa su internet, è dannoso, benigno, sospetto o sconosciuto, e cosa sta cercando. I dati provengono dalla propria Global Observation Grid: oltre 5.000 sensori in circa 80 paesi, da 500M a 1B di sessioni al giorno e oltre 50M di IP osservati. Una query last_seen:1d nel giorno del test ha restituito 699.076 IP scanner attivi. Il modello a livelli delimita profondità e finestra temporale, non le capacità: Community offre un lookback di 10 giorni e un arricchimento di base, con RIOT, la faccetta CVE: e finestre più lunghe nei livelli superiori; 17 dei 33 criteri sono raggiungibili con Community.

Fonti dati

GreyNoise possiede la propria telemetria di scansione, cosa che il feed in crowdsourcing di OTX e l'aggregazione di Feedly non hanno, e che si colloca su un asse diverso rispetto alla telemetria degli endpoint di CrowdStrike. Il resto della categoria è ristretto: la fonte è di un solo tipo (IP di scansione), i metadati IP-geo sono tecnici piuttosto che un profilo regionale della minaccia e il dark web è fuori ambito.

Figura 20. Risultati di ricerca per last_seen:1d

Copertura e tipi di intelligence

La categoria più debole per GreyNoise. GreyNoise gestisce un solo tipo di indicatore, gli indirizzi IP, più i dati CVE, tag e JA4 collegati agli IP, senza reputazione nativa per hash, domini o URL. Una query per 8.8.8.8 (DNS di Google) ha correttamente restituito NOT OBSERVED, poiché un server DNS non è uno scanner. I dati sulle vulnerabilità sono un segnale di sfruttamento piuttosto che un database: la faccetta cve: è vincolata ai livelli superiori a Community, ma la vista Trends elenca comunque quali CVE sono sotto sfruttamento di massa ora, senza dati CVSS, EPSS o patch.

Figura 21. Sfruttamento di tendenza mappato su CVE

Analisi e arricchimento

Un IP dannoso (139.59.140.35) ha restituito una timeline di classificazione, 34 tag, un flag spoofabile, geolocalizzazione (Germania, Assia, Francoforte, AS14061 DigitalOcean), carrier e rDNS, più contesto per IP di qualsiasi altro servizio testato. Il rischio usa un modello categorico a 4 classi (dannoso, benigno, sospetto, sconosciuto) con corrispondenza di beni noti RIOT piuttosto che un punteggio numerico; nel giorno del test, la distribuzione live era di 84K dannosi, 20K benigni, 68K sospetti e circa 528K sconosciuti. Non c'è mappatura ATT&CK.

Attribuzione

In questa categoria osserviamo quattro assenze per progettazione. Non ci sono APT nominati; i tag attore nominano scanner benigni come Shodan e Censys, non gruppi di minacce.

Piattaforma

GNQL è un linguaggio di query basato su Lucene su IP, classificazione, tag, attore, CVE e campi di metadati, la superficie di query più espressiva nel dominio del rumore IP. Gli avvisi (una query GNQL salvata verso email), una blocklist basata su query e una dashboard Trends coprono il monitoraggio, sebbene la dashboard sia limitata. L'intelligence completata e le RFI sono entrambe assenti.

Integrazione e API

Oltre cinquanta integrazioni comprendono SIEM, SOAR, TIP e firewall (Splunk, Sentinel, QRadar, Tines, ThreatConnect, MISP, OpenCTI, Palo Alto, Fortinet), tre livelli API (Community, Enterprise, On-Prem) con l'SDK ufficiale pygreynoise, e ogni query GNQL funge anche da URL di blocklist live compatibile con i firewall. La lacuna è STIX/TAXII nativo, che richiede un bridge MISP o OpenCTI.

Reporting

L'export avviene in JSON e CSV più l'URL della blocklist e la consegna degli avvisi, e i dati sono quasi in tempo reale, ma non c'è un formato di report né reporting di intelligence completata o di settore.

Scenari operativi

Lo scenario principale è ridurre il rumore degli avvisi SOC classificando gli scanner noti come benigni prima che raggiungano il SIEM, più l'analisi IP in blocco. Nessuno degli altri 4 fa questo. Il segnale di sfruttamento Trends integra i punteggi basati sulla probabilità, con il prodotto completo in un add-on a pagamento. Takedown e supply chain sono fuori ambito.

Figura 22. Risultati di ricerca per benign last_seen:1d

Dove eccelle e dove è carente

GreyNoise manca di 16 criteri che non ha mai cercato di soddisfare. I punti deboli rispetto a un'aspettativa di piattaforma completa sono l'ambito limitato agli IP, l'assenza di attribuzione, l'assenza di intelligence completata o RFI, l'assenza di punteggio di rischio numerico e l'assenza di STIX/TAXII nativo. Funziona come un livello, non come una piattaforma.

Ideale per: un livello complementare davanti a un SIEM o uno stack di threat intelligence esistente: triage degli avvisi, analisi IP in blocco e verifiche del tipo “questa CVE è davvero sfruttata?”. Non può fungere da piattaforma di threat intelligence autonoma, e non lo dichiara.

AlienVault OTX

Figura 23. Dashboard principale di AlienVault OTX

Il feed gratuito e il motore di automazione, gestito da LevelBlue (ex AT&T Cybersecurity / AlienVault). Abbiamo testato la console del livello Community,⁶ l'accesso più semplice dei 5, senza carta di credito, senza contatore di prova, senza MFA e con una sessione persistente. Una chiave API si ottiene con un clic da Impostazioni, e DirectConnect documenta la API REST, gli SDK e il server TAXII.

Fonti dati

OTX trasporta circa 20M di IOC al giorno da circa 200K partecipanti, con 95M di indicatori sfogliabili. Tutte e 4 le sonde IOC storiche sono state trovate. L'IP C2 Conti (162.244.80.235, CISA AA21-265A) ha restituito un verdetto dannoso, ASN AS19624, DNS passivo con date di primo e ultimo avvistamento e 28 pulse.

Figura 24. Analisi IP C2 Conti

La ricerca di prima parte è limitata. I pulse verificati di Alien Labs si dissolvono nel flusso della community e l'intelligence curata di prima parte si trova nel prodotto a pagamento USM. Il dark web è assente dal core gratuito; vive nella AlienApp di monitoraggio del dark web USM Anywhere separata con SpyCloud.

Copertura e tipi di intelligence

Ogni sonda storica ha restituito da 28 a 50 corrispondenze pulse rispetto a 95M di indicatori sfogliabili. La pagina gratuito Submit Sample esegue analisi sandbox statiche e dinamiche su file e URL con supporto YARA, un'alternativa valida alle sandbox a pagamento.

Figura 25. Invio di Files e URL per l'analisi

I dati sulle vulnerabilità sono uno scheletro parziale (una pagina indicatore CVE con Exploits 40 e Targeted Products 373, più CVSS nell'API) senza EPSS, KEV o prioritizzazione. Brand e credenziali trapelate sono entrambi assenti.

Analisi e arricchimento

Non c'è un profilo attore strutturato, nessun punteggio di rischio regolabile, nessun grafico visuale, e i dati ATT&CK sono disponibili nell'API ma non nell'interfaccia. Gli alias della community corrispondevano alla nostra chiave di risposta: Sofacy per APT28, Anunak per FIN7, Muddled Libra per Scattered Spider, UTA0218 per l'attività PAN-OS e Lace Tempest per MOVEit. Al contrario, il dominio SUNBURST presentava 1.487 tag, la voce killswitch di WannaCry conteneva etichette false generate da LLM, la maggior parte dei pulse sugli attori risale al periodo 2015-2017 e il tag avversario LockBit era vuoto. Senza un punteggio di rischio numerico, il triage automatizzato è difficile.

Attribuzione

I tag e i pulse degli avversari esistono e gli alias sono buoni, ma non c'è un profilo strutturato e la maggior parte dei contenuti è obsoleta.

Piattaforma

C'è una dashboard e la sottoscrizione ai pulse, ma nessun monitoraggio di asset o parole chiave, nessuna libreria di intelligence completata né RFI. OTX è una fonte di feed piuttosto che una console di ricerca.

Integrazione e API

Questa parte è l'unico chiaro vantaggio di OTX tra i 5. Una API REST, SDK Python, Java e Go, un server TAXII nativo e l'export STIX/JSON/CSV/OpenIOC/MAEC lo rendono l'unico servizio tra i 5 ad aprire l'accesso programmatico completo senza costi.

Figura 26. DirectConnect API di AlienVault OTX

L'API restituisce dati più ricchi rispetto all'interfaccia, inclusi ID ATT&CK e famiglie di malware. Un limite di velocità non documentato è il vincolo pratico. Le query in blocco sono andate in timeout, 4 su 13 nel primo round, e hanno richiesto retry e backoff.

Reporting

Esportazione forte dei feed IOC in più formati, ma nessuna consegna di report e nessun reporting di settore o personalizzabile.

Scenari operativi

La caccia alle minacce è operativizzata tramite l'gratuito API, l'endpoint OTX basato su osquery e le sottoscrizioni ai pulse che alimentano le blocklist del SIEM. Takedown, prioritizzazione delle vulnerabilità e supply chain sono tutti assenti, presenti in prodotti separati a pagamento LevelBlue, USM, SpyCloud o Tenable.

Dove eccelle e dove è carente

Dieci criteri sono assenti dal core gratuito (dark web, credenziali trapelate, brand, takedown, intelligence completata, RFI, report di settore, prioritizzazione delle vulnerabilità e supply chain), la maggior parte presenti in prodotti separati a pagamento LevelBlue, USM o SpyCloud; OTX è la base gratuito di quella famiglia. Punti deboli: zero punteggi pieni in analisi e attribuzione, alto rumore della community senza punteggio di rischio e un limite di velocità API non documentato. OTX alimenta bene le macchine; non supporta da solo il processo decisionale umano.

Ideale per: team che necessitano di un feed IOC gratuito e ad alto volume verso un SIEM, MISP o TIP, più automazione e caccia senza costi. OTX alimenta bene le macchine; non supporta da solo il processo decisionale umano.

Quale servizio si adatta a quale scenario

• Eseguite Falcon EDR/XDR e tracciate gli APT: CrowdStrike, per l'intelligence sugli avversari da un'unica console, ATT&CK e il contesto delle campagne.
• Avete bisogno di copertura dark web, credenziali trapelate, takedown o analisti su richiesta: CrowdStrike Recon/Recon+/CAO Elite, l'unica opzione tra i 5.
• Il vostro SOC annega negli avvisi degli IP di scansione: GreyNoise davanti al SIEM per classificare il rumore e ridurre i falsi positivi.
• Dovete prioritizzare migliaia di vulnerabilità divulgate: Feedly (EPSS + KEV + CVSS in una scheda) o l'XFDB di X-Force finché dura; validate con le osservazioni di sfruttamento di GreyNoise.
• Non avete budget ma servono feed di threat intelligence e automazione: gratuito API, SDK e server TAXII di OTX.
• Servono report completati e newsletter senza assumere analisti: Report Builder e Ask IA di Feedly.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

Lo stack a strati: come si combinano i 5 servizi

Tra i 5 servizi, le nostre sonde hanno prodotto 83 pieni, 47 parziali e 35 assenti, e nessun singolo prodotto costituisce un programma di threat intelligence completo. Un'architettura realistica li tratta come livelli complementari piuttosto che come rivali:

1. Base di feed gratuita: OTX fornisce volume grezzo di IOC e automazione senza costi verso SIEM/TIP.
2. Filtro del rumore: GreyNoise si colloca davanti al SIEM, elimina gli avvisi degli scanner benigni e segnala lo sfruttamento attivo.
3. Aggregazione e consegna: Feedly compila OSINT, estrae IOC/TTP e produce report; il suo arricchimento incrocia GreyNoise e VirusTotal.
4. Ricerca e arricchimento: X-Force copre ricerche strutturate gratuito e la ricerca sulle vulnerabilità fino ad agosto 2026, dopodiché il suo posto richiede un successore.
5. Attribuzione premium e rischio digitale: CrowdStrike è in cima allo stack per l'intelligence sugli avversari nominati, il monitoraggio del dark web, i takedown e l'accesso agli analisti.

La domanda giusta non è “qual è la migliore piattaforma di threat intelligence?”, ma “quale livello sto riempiendo con quale prodotto, e cosa sostituisce X-Force dopo la sua fine vita?”

Metodologia del benchmark di cyber threat intelligence

Abbiamo confrontato cinque servizi di cyber threat intelligence: AlienVault OTX (Community), IBM X-Force Exchange (Freemium), CrowdStrike Falcon Adversary Intelligence (prova Premium), GreyNoise (Community) e Feedly Threat Intelligence (prova di 30 giorni).

Ogni servizio è stato valutato in base agli stessi 33 criteri in 8 categorie e interrogato con un set di sonde identico. Le 8 categorie si mappano sul ciclo di vita della threat intelligence. Fonti dati e copertura misurano la raccolta, analisi e attribuzione misurano la fase di analisi, mentre integrazione, reporting e scenari operativi misurano distribuzione e azione.

Categoria 1: Fonti dati e raccolta (4 criteri)

Da dove nasce l'intelligence, prima di qualsiasi elaborazione.

• DK-01 — Copertura OSINT e dei feed tecnici: ampiezza delle fonti open source e dei feed tecnici ingeriti.
• DK-02 — Accesso al dark e deep web: forum, marketplace, siti di leak e piattaforme crittografate.
• DK-03 — Rete di sensori di prima parte e ricerca originale: telemetria generata dal fornitore stesso, al contrario del materiale raccolto da altri.
• DK-04 — Copertura linguistica e geografica: portata regionale e multilingue della raccolta.

Questa categoria separa i produttori dai compilatori. Una query last_seen:1d su GreyNoise ha restituito 699.076 IP scanner attivi dalla propria rete di sensori nel giorno del test, mentre la copertura di Feedly si basa su oltre 10.000 fonti curate senza una rete di sensori propria.

Categoria 2: Copertura e tipi di intelligence (5 criteri)

Quali tipi di minaccia copre il servizio, testato contro il set di sonde piuttosto che contro la scheda tecnica.

• KP-01 — Copertura e volume degli IOC: IP, domini, hash e URL.
• KP-02 — Intelligence su malware e strumenti: famiglie, analisi sandbox e supporto YARA.
• KP-03 — Intelligence sulle vulnerabilità: dati CVE, punteggi e contesto di sfruttamento.
• KP-04 — Brand e rischio digitale: typosquatting, impersonificazione e monitoraggio dei domini.
• KP-05 — Credenziali trapelate e dati esposti: ricerche su violazioni ed esposizione di credenziali.

Questa è la categoria in cui i confini tra archetipi appaiono più nettamente. Una query per 8.8.8.8 su GreyNoise ha restituito NOT OBSERVED, che è la risposta corretta per un server DNS piuttosto che per uno scanner, e dimostra anche che il prodotto gestisce un solo tipo di indicatore.

Categoria 3: Analisi e arricchimento (4 criteri)

Quanta interpretazione il servizio aggiunge a un indicatore grezzo.

• AN-01 — Profondità di arricchimento degli IOC: cosa restituisce una singola ricerca di un indicatore.
• AN-02 — Punteggio di rischio e prioritizzazione: numerico, categorico o assente.
• AN-03 — Mappatura MITRE ATT&CK: se le tecniche sono mappate e se la mappatura è nell'interfaccia o nell'API.
• AN-04 — Analisi di relazioni e grafi: pivot tra entità e presenza di un grafico visuale.

La sonda dell'IP C2 Conti ha reso leggibili le differenze. X-Force ha restituito un Rischio numerico 1/10 dopo l'invecchiamento, una cronologia di categorizzazione, una timeline di 31 eventi, ASN e subnet, WHOIS e DNS passivo. OTX ha restituito un verdetto dannoso, ASN AS19624, DNS passivo e 28 pulse rispetto a 157 tag.

Categoria 4: Attribuzione e tracciamento degli attori (4 criteri)

Se il servizio nomina gli avversari e su quale base metodologica.

• AT-01 — Tracciamento di avversari nominati e APT: profili attore strutturati.
• AT-02 — Tracciamento di campagne e operazioni: campagne nominate con timeline.
• AT-03 — Profili TTP e metodologia di attribuzione: il ragionamento che collega un'attività a un attore, più la riconciliazione degli alias.
• AT-04 — Profilazione settoriale e geografica della minaccia: quali settori e paesi un attore prende di mira.

Questa categoria ha prodotto la più ampia dispersione delle otto. La sonda a sei attori è stata valutata contro la chiave di risposta, quindi un servizio che elencava un set di alias corrispondente alla chiave ha ottenuto un punteggio diverso da uno che restituiva un tag avversario vuoto.

Categoria 5: Piattaforma e usabilità (4 criteri)

Se il prodotto è una fonte di dati o una console in cui un analista può lavorare.

• PL-01 — Ricerca e linguaggio di query: operatori, faccette o un vero linguaggio di query.
• PL-02 — Dashboard, watchlist e avvisi: superfici di monitoraggio e regole di notifica.
• PL-03 — Libreria di intelligence completata: report scritti da analisti disponibili nel prodotto.
• PL-04 — RFI e accesso agli analisti: la possibilità di porre una domanda a un analista umano.

PL-03 e PL-04 sono i due criteri in cui i livelli gratuito e a pagamento divergono più coerentemente tra i cinque prodotti.

Categoria 6: Integrazione e API (4 criteri)

Come l'intelligence raggiunge il resto dello stack di sicurezza.

• EN-01 — Supporto STIX e TAXII: server nativo, STIX consegnato via REST o bridge richiesto.
• EN-02 — Integrazione SIEM, SOAR e TIP: connettori disponibili.
• EN-03 — Copertura API REST, SDK e documentazione: superficie programmatica e librerie client ufficiali.
• EN-04 — Distribuzione e formati dei feed: formati di esportazione e canali di consegna.

Abbiamo testato questa categoria a mano dove il livello lo consentiva. Su OTX abbiamo prelevato una chiave API da Impostazioni ed eseguito le sonde degli indicatori tramite DirectConnect, che ha restituito ID ATT&CK, tag avversario e famiglie di malware che l'interfaccia non mostrava. Su CrowdStrike abbiamo creato un client OAuth2 API contro la base api.eu-1. Su X-Force il livello Freemium restituiva 403, quindi l'export STIX per singolo report era l'estensione di ciò che funzionava senza pagamento.

Categoria 7: Reporting e intelligence completata (4 criteri)

Il livello che separa l'intelligence elaborata dai dati grezzi.

• RP-01 — Tipi di report: copertura strategica, operativa e tattica.
• RP-02 — Frequenza di pubblicazione e tempestività: quanto è aggiornata la libreria.
• RP-03 — Personalizzazione e reporting di settore: suddivisioni per settore e regione.
• RP-04 — Esportazione e consegna: formati e canali di consegna per il prodotto finale.

Categoria 8: Scenari operativi (4 criteri)

Se l'intelligence si trasforma in azione all'interno di un flusso di lavoro SOC o di risposta agli incidenti.

• OP-01 — Servizio di takedown e bonifica: rimozione gestita di infrastrutture dannose.
• OP-02 — Flusso di prioritizzazione delle vulnerabilità: un percorso prodottizzato dall'elenco CVE all'ordine di patch.
• OP-03 — Caccia alle minacce e operativizzazione degli IOC: alimentazione degli indicatori in caccia, blocklist e SIEM.
• OP-04 — Intelligence sul rischio di terze parti e supply chain: esposizione di fornitori e partner.

OP-04 è stato il criterio più debole dell'intero benchmark, senza che nessun prodotto raggiungesse un punteggio confermato.

Cos'è la cyber threat intelligence?

La cyber threat intelligence (CTI) si riferisce alla raccolta e all'analisi di dati grezzi sulle minacce attuali ed emergenti, producendo approfondimenti utili che aiutano i team di sicurezza a prevenire, rilevare e rispondere agli attacchi informatici. I servizi CTI raccolgono dati sulle minacce da fonti come reti di sensori, open source intelligence, forum del dark web e database di vulnerabilità, quindi li elaborano in indicatori di minaccia, profili degli attori e report che informano le decisioni.

La cyber threat intelligence aiuta le organizzazioni ad anticipare le minacce future piuttosto che reagire agli incidenti di sicurezza dopo che il danno si è verificato. Sposta le aziende verso una difesa informatica proattiva: identificare gli asset esposti per ridurre la superficie d'attacco, individuare le tendenze emergenti degli hacker prima di un attacco e dare priorità agli investimenti in sicurezza contro le minacce specifiche che prendono di mira il loro settore.

Tipi di threat intelligence

La threat intelligence può essere classificata in 4 framework, e un programma maturo di threat intelligence li consuma tutti e 4:

• Threat intelligence strategica offre una visione di alto livello del panorama delle minacce informatiche per i dirigenti e traduce le complessità tecniche in rischio commerciale per gli stakeholder rilevanti. Esempio dal nostro benchmark: il Threat Index di IBM e il Threat Hunting Report di CrowdStrike.
• Threat intelligence tattica si concentra su tattiche, tecniche e procedure (TTP) degli attaccanti, tipicamente mappate su MITRE ATT&CK. Esempio: le matrici ATT&CK per avversario di CrowdStrike e l'estrazione automatica di TTP di Feedly.
• Threat intelligence operativa copre campagne e attacchi specifici in corso, fornendo ai team di risposta agli incidenti un contesto in tempo reale. Esempio: i report di analisi delle minacce di X-Force e le campagne Early Warning.
• Threat intelligence tecnica è costituita da indicatori di compromissione (IOC) come IP, domini, hash e URL che alimentano il rilevamento automatico. Esempio: i pulse OTX e le classificazioni IP di GreyNoise.

Il ciclo di vita della threat intelligence

Il ciclo di vita della threat intelligence ha 6 fasi che trasformano i dati grezzi in threat intelligence azionabile:

1. Requisiti: definire ciò che il team di sicurezza e gli stakeholder devono sapere.
2. Raccolta dati: raccogliere dati grezzi da feed, sensori, OSINT e dark web.
3. Elaborazione: normalizzare, deduplicare e strutturare i dati raccolti.
4. Analisi: convertire i dati elaborati in valutazioni, punteggi e report.
5. Distribuzione: consegnare l'intelligence alle persone e agli strumenti che la utilizzano, come SIEM, SOAR e firewall.
6. Feedback: gli stakeholder segnalano cosa ha funzionato, informando gli aggiustamenti affinché il programma si adatti alle minacce in evoluzione.

Le nostre 8 categorie di benchmark si mappano su questo ciclo di vita: fonti dati e copertura misurano la raccolta, analisi e attribuzione misurano la fase di analisi, e integrazione, reporting e scenari operativi misurano distribuzione e azione.

Perché integrare la threat intelligence con le operazioni di sicurezza?

• Avvisi precoci: combinare i feed di threat intelligence con un SIEM classifica l'attività ad alto rischio quando appare nei log, prima che un incidente si aggravi.
• Meno falsi positivi: avvisi ad alta fedeltà, come la classificazione degli scanner benigni di GreyNoise, riducono al minimo l'affaticamento da avvisi, così gli analisti di sicurezza indagano sulle minacce reali.
• Risposta agli incidenti più rapida: il contesto immediato sulle operazioni malware e sugli attori della minaccia migliora le capacità di risposta agli incidenti e aiuta a isolare i sistemi violati prima del movimento laterale.
• Patching informato sulle minacce: ogni anno vengono divulgate migliaia di vulnerabilità software; i punteggi consapevoli dello sfruttamento (EPSS, KEV, ExPRT.IA, osservazioni GreyNoise) danno priorità a quelle effettivamente sfruttate.
• Allocazione informata delle risorse: le organizzazioni che usano la threat intelligence possono indirizzare le risorse di cybersecurity verso i vettori di attacco e i potenziali attori della minaccia rilevanti per il loro settore.

FAQ

Cita questo benchmark

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dogan2026,
  author = {Dogan, Sedat and PhD., Ezgi Arslan,},
  title  = {{I 5 migliori servizi di Cyber Threat Intelligence a confronto}},
  year   = {2026},
  month  = aug,
  howpublished    = {\url{https://aimultiple.com/cyber-threat-intelligence-services}},
  note   = {AIMultiple. Consultato il 31 Agosto 2026}
}

Collegamenti di riferimento

1.

End-of-Life Summary - Palo Alto Networks

2.

Login | Falcon

3.

IBM X-Force Exchange

4.

avsvmcloud.com

5.

GreyNoise Visualizer | GreyNoise Visualizer

6.

LevelBlue - Open Threat Exchange

Sedat Dogan

CTO

Segui

Sedat è un leader tecnologico e della sicurezza informatica con 20 anni di esperienza nello sviluppo software, nelle infrastrutture di rete e nella cybersecurity. Sedat:
- Ha 20 anni di esperienza come hacker white-hat e guru dello sviluppo, con una vasta competenza nei linguaggi di programmazione e nelle architetture dei server.
- È consulente del consiglio di amministrazione presso una società di venture capital che investe in aziende tecnologiche in fase iniziale e presso Ödeal, una piattaforma di pagamento digitale regionale che serve 125.000 commercianti.
- Ha guidato l'infrastruttura tecnologica e la cybersecurity di sette elezioni nazionali ed è stato riconosciuto nella Hall of Fame della cybersecurity da leader tecnologici globali tra cui Twitter.

Visualizza il profilo completo

Ricercato da

Ezgi Arslan, PhD.

Analista di settore

Segui

Ezgi ha conseguito un PhD in Economia aziendale con specializzazione in finanza e ricopre il ruolo di analista di settore presso AIMultiple. Conduce ricerche e approfondimenti all'intersezione tra tecnologia e business, con competenze che spaziano dalla sostenibilità alle indagini e all'analisi del sentiment, dalle applicazioni di agenti AI nella finanza all'ottimizzazione dei motori di risposta, dalla gestione dei firewall alle tecnologie di procurement.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento