Kaspersky Threat Data Feeds Transforms for Maltego XM/Classic

Was ist in den „Kaspersky Threat Data Feeds Transforms“ für Maltego enthalten?

Maltego-Transformationssatz – Läuft innerhalb des Maltego-Desktop-Clients, es müssen keine Agenten installiert werden.
Anreicherung von Indikatoren – Fügt URLs, Domains, IP-Adressen und Hashes Bewertungen und Kontext hinzu.
Beziehungsanalyse – Verfolgt Download-Ketten, Hosting- und Dateibeziehungen im Graphen.
Links zu Bedrohungsberichten – Verknüpft Indikatoren mit den APT- und Finanzbedrohungsberichten von Kaspersky.
Kaspersky Threat Lookup – Basiert auf Beobachtungsdaten, die Kaspersky seit zwanzig Jahren sammelt.
Wichtig – Keine Agenten, keine Konsole, keine Blockierung; ausschließlich Anreicherung.

Was sind die Hauptvorteile von „Kaspersky Threat Data Feeds Transforms for Maltego“?

Es handelt sich um ein Ermittlungs-Add-on für den Maltego-Client zur Link-Analyse, das vom Anbieter als „Kaspersky Transforms for Maltego“ dokumentiert und in Verkaufskatalogen unter dem Namen „Threat Data Feeds“ vertrieben wird. Es gibt keine Verwaltungskonsole und keine zentrale Richtlinie: Jeder Analyst installiert das Transformationsset in seinem eigenen Maltego-Client, sodass das Verwaltungsmodell pro Arbeitsplatz eigenständig ist.

Schnellere Triage – Beurteilungen werden direkt im Diagramm angezeigt, ohne dass ein Wechsel zu einem Portal erforderlich ist.
Visuelle Pivot-Analyse – Ein Diagramm zeigt die Infrastruktur hinter einem einzelnen Indikator.
Zuordnungskontext – Verknüpft Indikatoren mit benannten APT- und Finanzkriminalitätskampagnen.
Weniger Tool-Wechsel – Ersetzt das manuelle Kopieren und Einfügen in separate Nachschlageportale während der Triage.
Filterung nach „Known-Good“-Daten – Legitime Objektdaten trennen saubere Dateien von unbekannten.
Keine Infrastruktur – Läuft als Dienst, ohne dass lokal etwas gehostet werden muss.

Für welche Unternehmensgröße eignet sich „Kaspersky Threat Data Feeds Transforms for Maltego“?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob tatsächlich jemand in der Organisation Indikatoren untersucht. Dieses Produkt erzeugt keine eigenen Warnmeldungen; es beantwortet Fragen, die ein Analyst bereits hat. Ohne eine Person, die ein Diagramm öffnet und darin navigiert, bleibt die Lizenz ungenutzt.

Erfüllt «Kaspersky Threat Data Feeds Transforms for Maltego» die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die durch das revidierte Informationssicherheitsgesetz eingeführte Meldepflicht gilt für Betreiber kritischer Infrastrukturen, darunter Energie- und Wasserversorger, Verkehrsunternehmen, gelistete Spitäler, Cloud- und Rechenzentrumsanbieter sowie kantonale und kommunale Verwaltungen; sie gilt nicht für die meisten gewöhnlichen Unternehmen. Betroffene Organisationen müssen einen meldepflichtigen Cyberangriff innerhalb von 24 Stunden nach seiner Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden, wobei eine weitere Frist für die Vervollständigung des Erstberichts eingeräumt wird. Innerhalb dieses ersten Tages muss das Meldeteam beschreiben, was angegriffen wurde und mit welchen Mitteln – und genau hier setzt das Produkt an: Ein Analyst kann einen erfassten Indikator auf seine Host-Infrastruktur, seine Download-Kette und etwaige bekannte Kampagnen zurückführen und diese Beschreibung in den Bericht aufnehmen. Es erkennt den Vorfall nicht, speichert keine Protokolle aus Ihrer eigenen Umgebung, sichert keine Beweise und erstellt oder übermittelt den Bericht nicht selbst; daher erfüllt es für sich genommen keine der Verpflichtungen. Die Erkennung und Protokollierung, die überhaupt erst zur Erstellung eines Berichts führen, müssen von anderen Systemen stammen. Dieser Text beschreibt die Produktfunktionen und stellt keine Rechtsberatung dar.

Erfüllt „Kaspersky Threat Data Feeds Transforms for Maltego“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Softwareprodukt sorgt dafür, dass eine Organisation die Anforderungen der NIS-2-Richtlinie erfüllt, da sich die Richtlinie auf Managementverantwortung, Organisation und Prozesse und nicht auf Werkzeuge bezieht. NIS 2 schreibt eine Reihe von Maßnahmenkategorien vor: Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme, Vorfallbearbeitung, Geschäftskontinuität und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei der Beschaffung und Wartung von Systemen, Verfahren zur Bewertung der Wirksamkeit von Maßnahmen, grundlegende Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Bestandsverwaltung sowie Multi-Faktor-Authentifizierung. Dieses Produkt betrifft genau eine dieser Kategorien, und das auch nur teilweise: Es unterstützt die Analysephase der Vorfallbearbeitung, indem es den Indikatoren, die ein Analyst bereits erfasst hat, externen Kontext hinzufügt. Es leistet keinen Beitrag zur Kontinuitätsplanung, zur Bewertung der Lieferkette, zur Zugriffskontrolle, zur Kryptografie, zur Multi-Faktor-Authentifizierung, zur Bestandsverwaltung, zur Schulung oder zu den dokumentierten Nachweisen für die Wirksamkeit der Maßnahmen. Käufer, die es als Baustein der NIS 2 bewerten, sollten es als Hilfsmittel für eine einzelne Aktivität innerhalb einer Maßnahmenkategorie betrachten, nicht als Abdeckung dieser Kategorie.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Im März 2022 gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine öffentliche Warnung vor der Nutzung von Kaspersky-Antivirensoftware heraus – die erste derartige Warnung, die es jemals gegen das Produktsegment eines Herstellers veröffentlicht hat. Die Warnung bleibt bis 2026 in Kraft; das BSI hat bestätigt, dass es sie weiterhin aufrechterhält, und verweist auf die ursprünglich genannten Gründe, die das Vertrauen in die Zuverlässigkeit des Herstellers und dessen Fähigkeit, unabhängig zu handeln, betreffen – und nicht etwa einen spezifischen, im Code festgestellten Fehler. Kaspersky weist die Einschätzung zurück, hat öffentlich die Rücknahme der Warnung gefordert, erklärt, erheblichen wirtschaftlichen Schaden erlitten zu haben, und sich das Recht auf rechtliche Schritte vorbehalten. Unabhängig davon haben die Vereinigten Staaten im Jahr 2024 den Verkauf und Vertrieb von Kaspersky-Produkten verboten. Unabhängige Labortests wie AV-TEST und AV-Comparatives bewerten die Erkennungsprodukte von Kaspersky, beurteilen diesen Nachrichtendienst jedoch nicht und liefern daher in dieser Frage keine Anhaltspunkte. In der Praxis betrifft dies Käufer im öffentlichen Beschaffungswesen, Betreiber kritischer Infrastrukturen sowie Lieferanten, deren Großkunden Herkunftslandbeschränkungen für Anbieter auferlegen; einem kommerziellen Unternehmen ohne solche Anforderungen steht der Kauf in der Schweiz oder in der Europäischen Union rechtlich nicht im Wege. Die Entscheidung liegt beim Käufer und sollte im Einklang mit etwaigen bestehenden Richtlinien zur Lieferkette dokumentiert werden.

Sind die „Kaspersky Threat Data Feeds Transforms“ für Maltego bei Sicherheitsfragebögen großer Kunden hilfreich?

Teilweise, und zwar nur in einem engen Bereich. Es liefert eine vertretbare Antwort auf Fragen, ob Sie kommerzielle Bedrohungsinformationen abonnieren, die über kostenlose Quellen hinausgehen, und ob Ihr Team einen Indikator für eine Kompromittierung untersuchen und in einen Kontext einordnen kann, anstatt ihn lediglich zu erfassen. Auf alles andere gibt es keine Antwort. In Fragebögen wird routinemäßig nach dem eingesetzten Endpoint-Schutz, der EDR-Abdeckung und -Aufbewahrung, der Patch-Häufigkeit, der Multi-Faktor-Authentifizierung, der Verschlüsselung von Laptops und Wechseldatenträgern, der zentralisierten Protokollierung und den Aufbewahrungsfristen für Protokolle, Tests zur Datensicherung und -wiederherstellung, Schwachstellenscans sowie regelmäßigen Zugriffsprüfungen gefragt – und dieses Produkt deckt keinen dieser Punkte ab. Die Lücken liegen fast ausschließlich im Bereich Endgeräteschutz und Erkennung, was innerhalb des Portfolios desselben Anbieters die Produktlinie „Kaspersky Next“ bedeutet und nicht den Kauf eines zweiten Intelligence-Lösungsanbieters. Käufer, die den Beschaffungsvorschriften des öffentlichen Sektors oder von Kunden auferlegten Anbieterbeschränkungen unterliegen, sollten davon ausgehen, dass sie diese Endpunkt-Ebene von einem anderen Hersteller beziehen müssen, und sollten die Beantwortung des Fragebogens von Anfang an auf diese Aufteilung ausrichten, anstatt dies erst während eines Audits festzustellen.

Was ist der Unterschied zwischen einem Demo-Zugang und einem kommerziellen Zugang?

Der entscheidende Unterschied liegt darin, welcher Datensatz Ihre Abfrage beantwortet. Der Demo-Zugang führt Transformationen anhand des „Kaspersky Open Threat Intelligence Portal“ durch, dem kostenlosen öffentlichen Abfragedienst, während der kommerzielle Zugang diese anhand des vollständigen „Kaspersky Threat Intelligence Portal“ durchführt, das auf „Threat Lookup“ basiert. Der Demo-Zugang begrenzt zudem die Anzahl der ausführbaren Beziehungstransformationen, was die Analyse von Graphen über eine kurze Evaluierungsphase hinaus unpraktisch macht. Der kommerzielle Zugang macht das Produkt für die tägliche Fallbearbeitung nutzbar und ist zudem die Stufe, auf der Indikatoren mit den Berichten von „Kaspersky APT Intelligence“ und „Financial Threat Intelligence“ verknüpft werden können.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Es handelt sich hierbei um ein Add-on und nicht um einen eigenständigen Kauf: Es erfordert einen funktionierenden Maltego-Client mit einer gültigen Maltego-Lizenz, und für die kommerzielle Nutzung ist der Zugriff auf das Kaspersky Threat Intelligence Portal erforderlich. Ein Käufer, der weder über das eine noch über das andere verfügt, muss also drei separate Anschaffungen tätigen statt nur einer. Die regionale Verfügbarkeit unterliegt Einschränkungen, die manche Käufer überraschen: Kaspersky-Produkte dürfen nach dem Verbot ab 2024 nicht mehr in den Vereinigten Staaten verkauft oder vertrieben werden. Dies ist für Organisationen mit amerikanischen Tochtergesellschaften oder amerikanischen Muttergesellschaften von Bedeutung, selbst wenn die Schweizer oder europäische Niederlassung den Kauf frei vornehmen kann. Die im Verkaufstitel genannten Editionen beziehen sich auf „Maltego Classic“ und „Maltego XL“ – Lizenzeditionen, deren Verkauf Maltego im Jahr 2020 eingestellt hat und die nicht mehr verlängert werden. Wer heute eine neue Maltego-Lizenz erwirbt, erhält stattdessen einen aktuellen Tarif und sollte vor der Bestellung die Kompatibilität der Transformationen überprüfen. Die Abfragen selbst verlassen Ihr Netzwerk, was ein wichtiger Aspekt ist, wenn der untersuchte Indikator selbst sensibel ist. Schließlich handelt es sich hierbei um interaktive Analystentools und nicht um einen automatisierten Feed, sodass keine Indikatoren an ein SIEM oder eine Firewall weitergeleitet werden und das Alarmvolumen dadurch nicht von selbst reduziert wird.

Häufig gestellte Fragen zu den Kaspersky Threat Data Feeds Transforms für Maltego

Mit welchen Maltego-Versionen funktioniert es?

Das Transformationsset wird über den Maltego Transform Hub bereitgestellt und im Maltego-Desktop-Client installiert. Maltego Classic und Maltego XL, die im Namen des Endkundenprodukts genannt werden, werden seit 2020 nicht mehr verkauft und können nicht verlängert werden, obwohl bestehende Lizenzen bis zum Ablauf des Abonnements weiterhin funktionieren. Neukunden sollten sich vor dem Kauf beim Anbieter vergewissern, in welchem aktuellen Maltego-Tarif die Transformationen unterstützt werden.

Verlassen die von uns untersuchten Indikatoren unser Netzwerk?

Ja. Wenn eine Transformation ausgeführt wird, wird die Anfrage vom Maltego-Client an den Maltego Transform Distribution Server und anschließend an den Kaspersky-Dienst weitergeleitet, der das Threat Intelligence Portal abfragt und das Ergebnis auf demselben Weg zurücksendet. Kaspersky verschlüsselt den Datenverkehr, weist jedoch ausdrücklich darauf hin, dass das Unternehmen nicht für Daten verantwortlich ist, die vom Maltego-Client an den Transform Distribution Server gesendet werden. Teams, die vertrauliche Vorfälle untersuchen, sollten übermittelte Indikatoren daher so behandeln, als würden sie an zwei externe Parteien weitergegeben.

Ist dies dasselbe wie die Kaspersky Threat Data Feeds für ein SIEM?

Nein, auch wenn die Bezeichnungen im Handel den Eindruck einer Ähnlichkeit erwecken. Maschinell lesbare „Threat Data Feeds“ sind ein separates Angebot im Kaspersky Threat Intelligence-Portfolio, das für die kontinuierliche Erfassung durch ein SIEM oder eine Sicherheitsplattform konzipiert ist. Bei diesem Produkt handelt es sich um die interaktive Maltego-Integration: Ein Analyst stellt eine Anfrage zu einem bestimmten Indikator und erhält eine Antwort in Form eines Diagramms. Unternehmen, die eine automatisierte Korrelation über alle ihre Protokolle hinweg wünschen, benötigen anstelle dessen oder zusätzlich dazu das Feed-Abonnement.