Come verifichiamo — e perché puoi fidarti

Solo fonti primarie, sempre

Ogni dossier si basa su fonti primarie verificate: advisory di CISA, FBI, NCSC ed ENISA; report dei vendor che hanno condotto l'incident response; pagine ufficiali MITRE ATT&CK; record del registro CVE ufficiale. La regola non negoziabile è minimo due fonti indipendenti per dossier. Se il materiale solido non c'è, il dossier non esce.

Ogni CVE è verificata contro il registro ufficiale

Non ci fidiamo di un titolo o di un aggregatore. Ogni CVE-ID citato viene controllato contro il registro ufficiale del CVE Program (cveawg.mitre.org): se non risulta PUBLISHED, non lo trattiamo come confermato. Questa verifica è automatizzata da VulnFeed, la nostra pipeline interna, che assegna a ogni voce uno stato — confermata, pre-divulgazione, in attesa di registro, o scartata — e ne registra la motivazione in un log di audit consultabile.

Gli ID ATT&CK si copiano, non si deducono

Gli identificatori delle tecniche MITRE ATT&CK vengono copiati dagli advisory che li riportano. Quando una mappatura è nostra e ragionata, lo dichiariamo esplicitamente nel testo: non spacciamo una deduzione per un dato ufficiale.

Le incertezze si dichiarano nel corpo

Attribuzione contestata, fonte singola, CVSS non ancora validato da NVD, punteggi CNA divergenti: lo scriviamo dentro l'articolo. Preferiamo un dossier che ammette cosa non sa a uno che finge certezze che non ha.

Difensivo, non offensivo

Descriviamo tattiche e tecniche allo stesso livello di dettaglio di un advisory pubblico. Non pubblichiamo codice exploit, payload o istruzioni passo-passo di sfruttamento.

Trasparenza sull'AI

La ricerca e la stesura sono assistite da strumenti di AI e la voce dei video è sintetica, dichiarata come tale anche su TikTok. L'automazione non tocca la regola sopra: ogni fatto pubblicato è verificato su fonti primarie citate in fondo alla pagina. La responsabilità editoriale resta umana.