Per decenni, la sicurezza informatica ha funzionato come un sistema immunitario che riconosce solo le malattie già viste. Se l’attaccante usava un indirizzo IP noto, veniva bloccato. Se ne usava uno nuovo, passava. Se il malware aveva una firma già catalogata, veniva fermato. Se era stato modificato di una riga, no. Questo modello ha un difetto strutturale: funziona solo contro gli attacchi già accaduti. Il framework Mitre ATT&CK rovescia la logica. Invece di inseguire gli indicatori, che cambiano in continuazione, mappa i comportamenti degli attaccanti che, invece, sono sorprendentemente stabili nel tempo.