Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition

Cosa comprende Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition?

Server Central Node – Nucleo on-premises che archivia gli avvisi ed esegue le analisi.
Analisi del traffico di rete – Ispeziona il traffico SPAN, ERSPAN e RSPAN duplicato utilizzando regole IDS.
Sandbox avanzata – Esegue il test di sicurezza di file e URL in macchine virtuali Windows configurabili.
Blocco endpoint KEDR – Telemetria degli endpoint, scansione degli IOC e azioni di risposta da remoto.
Feed di intelligence sulle minacce – Dati di reputazione KSN o Private Security Network, mappatura MITRE ATT&CK.
Importante – Le licenze per la protezione degli endpoint non sono incluse; acquistare Kaspersky Endpoint Security separatamente.

Quali sono i principali vantaggi di Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition?

Si tratta di una piattaforma anti-APT on-premise che combina l’analisi del traffico di rete, il sandboxing e il rilevamento e la risposta sugli endpoint in un’unica console web auto-ospitata. La parte relativa agli endpoint è costituita dal blocco funzionale KEDR, precedentemente commercializzato come Kaspersky EDR Expert, un nome che si trova ancora nella documentazione più datata e negli elenchi dei partner.

Un’unica coda di avvisi – I rilevamenti relativi alla rete e agli endpoint vengono visualizzati nella stessa console.
Nessuna dipendenza dal cloud – Opera all’interno del proprio data center, non in un ambiente condiviso con altri clienti del fornitore.
Visibilità dei dispositivi non gestiti – I sensori di rete rilevano gli host privi di agente.
Contenimento più rapido – È possibile isolare un host o bloccare un file direttamente dalla console.
Prove di indagine riutilizzabili – I rapporti sugli avvisi e le tabelle delle sessioni possono essere esportati per la documentazione degli incidenti.
Supporto EPP di terze parti – L’agente EDR funziona in parallelo con la suite per endpoint di un altro fornitore.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove si ferma la protezione integrata di Windows e perché vengono aggiunti ulteriori livelli di rilevamento e risposta.

Per aziende di quali dimensioni è adatta la Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition?

Kaspersky destina questa piattaforma alle grandi imprese dotate di un team dedicato alle operazioni di sicurezza e alle organizzazioni di medie dimensioni che conservano i dati relativi alle minacce all’interno della propria infrastruttura per motivi normativi o di privacy. Il fattore determinante non è il numero di dipendenti, ma il fatto che qualcuno esamini quotidianamente gli avvisi: la piattaforma segnala i rilevamenti e propone azioni di risposta, ma non effettua il triage per conto dell’utente.

Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione introdotto dalla revisione della Legge sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche, ad esempio fornitori di energia e acqua potabile, aziende di trasporto, ospedali elencati, fornitori di data center e servizi cloud, nonché amministrazioni cantonali e comunali, e non a tutte le aziende svizzere. Tali gestori devono segnalare un attacco informatico rilevante all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta, con la possibilità di integrare i dettagli mancanti in un secondo momento. Il contributo di questa piattaforma consiste nel rilevamento e nel contenuto di quella prima segnalazione: un avviso indica gli host colpiti, le sessioni di rete coinvolte e la tecnica MITRE ATT&CK associata; inoltre, i rapporti di avviso possono essere esportati e allegati al fascicolo dell’incidente. Ciò che la piattaforma non fa è valutare se un incidente soddisfi la soglia di segnalazione, inviare alcuna comunicazione al BACS né fornire supporto a livello organizzativo; pertanto, è comunque necessario disporre di una persona responsabile designata, di un percorso di escalation attivo al di fuori dell’orario d’ufficio e di una documentazione scritta relativa alla decisione sulla segnalabilità. Inoltre, non ha alcuna attinenza con l’obbligo separato di notifica in materia di protezione dei dati, che segue criteri propri. Il presente testo non costituisce un parere legale; per chiarire se la vostra organizzazione rientri nell’obbligo di segnalazione, è necessario rivolgersi a un consulente legale o direttamente al BACS.

Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition soddisfa i requisiti della normativa europea in materia di sicurezza informatica?

Nessun prodotto di sicurezza rende un’organizzazione conforme alla Direttiva NIS 2, poiché la direttiva riguarda la responsabilità gestionale, i processi e le prove piuttosto che gli strumenti. La NIS 2 richiede misure in categorie definite: analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, sicurezza nell’acquisizione e nella manutenzione, compresa la gestione delle vulnerabilità, procedure per valutare l’efficacia delle misure, igiene informatica e formazione, crittografia, controllo degli accessi e gestione delle risorse, nonché autenticazione a più fattori o comunicazioni sicure. Questa piattaforma si applica alla gestione e al rilevamento degli incidenti e contribuisce alla categoria della valutazione dell’efficacia, poiché gli avvisi, le tabelle delle sessioni di rete e le azioni di risposta vengono registrati e sono esportabili in un sistema SIEM. Non apporta alcun contributo alla crittografia, all’autenticazione a più fattori, al controllo degli accessi, alla formazione, alla continuità operativa o alla valutazione della catena di fornitura, e non esegue scansioni delle vulnerabilità né applica patch; pertanto, tali categorie devono essere coperte da altri strumenti e da processi documentati.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Il Dipartimento del Commercio degli Stati Uniti, Ufficio per l’Industria e la Sicurezza, ha annunciato una Determinazione Definitiva il 20 giugno 2024 che vieta a Kaspersky di stipulare nuovi accordi con soggetti statunitensi a partire dal 20 luglio 2024 e, a partire dal 29 settembre 2024, di fornire aggiornamenti delle firme o del codice sorgente, di gestire la Kaspersky Security Network negli Stati Uniti, né di consentire la rivendita o l’integrazione del proprio software da parte di terzi. Tre entità di Kaspersky sono state aggiunte alla Entity List e il 21 giugno 2024 il Tesoro degli Stati Uniti ha designato alcuni membri della dirigenza dell’azienda. In Germania, l’Ufficio federale per la sicurezza informatica ha emesso un avviso nel marzo 2022 raccomandando la sostituzione dei prodotti Kaspersky e ha confermato, dopo l’annuncio degli Stati Uniti, che l’avviso rimane valido; la Germania non ha imposto un divieto di vendita. L’Italia e i Paesi Bassi hanno limitato l’uso di Kaspersky negli appalti pubblici piuttosto che nel commercio in generale, mentre la Svizzera non ha emanato alcun divieto di vendita né restrizioni all’acquisto, pertanto i prodotti vengono venduti e aggiornati normalmente in questo Paese e in tutta l’Unione Europea. Kaspersky respinge la decisione degli Stati Uniti, considerandola una valutazione di natura geopolitica piuttosto che tecnica, e ha intrapreso azioni legali; fa riferimento alla sua «Iniziativa globale per la trasparenza», in base alla quale i dati sulle minacce condivisi dagli utenti europei vengono elaborati in due centri dati a Zurigo e il codice sorgente può essere esaminato nei suoi «Centri per la trasparenza». In pratica, ciò è rilevante se si detengono contratti con il settore pubblico statunitense, si gestiscono entità negli Stati Uniti, si partecipa a gare d’appalto in paesi con restrizioni sugli appalti o si risponde a questionari per fornitori che chiedono informazioni sul paese di origine del fornitore; per un acquirente svizzero del settore privato senza alcun legame con gli Stati Uniti, attualmente non si applica alcuna restrizione.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Confronta Kaspersky con un fornitore alternativo in termini di risultati di rilevamento e portata del prodotto.

Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition è utile per compilare i questionari di sicurezza richiesti dai grandi clienti?

Sì, per quanto riguarda il blocco di rilevamento e risposta, ma non va molto oltre. Risponde alle voci relative alla copertura di rilevamento e risposta sugli endpoint, al rilevamento delle intrusioni di rete, al sandboxing del malware, all’arricchimento delle informazioni sulle minacce, all’esportazione dei log verso un SIEM in formato Common Event, alle azioni di risposta documentate come l’isolamento dell’host e alla visibilità delle risorse, poiché la mappa di rete e il rilevamento dello shadow IT individuano dispositivi che non dispongono di alcun agente. Non risponde a nessuna delle seguenti domande: gestione delle patch, crittografia di dischi e supporti rimovibili, autenticazione a più fattori, backup e ripristino, scansione delle vulnerabilità, gestione degli accessi, formazione sulla consapevolezza della sicurezza e copertura di monitoraggio 24 ore su 24, poiché la piattaforma rileva ma nessuno la monitora al di fuori del proprio orario di lavoro. All’interno della gamma Kaspersky, queste lacune vengono colmate da Kaspersky Endpoint Security for Business per la gestione delle patch e della crittografia e da Kaspersky MDR per il monitoraggio continuo; inoltre, affidarsi a un unico fornitore consente di mantenere un’unica console e un unico formato di esportazione per le prove, il che rappresenta solitamente la soluzione più economica rispetto all’aggiunta di un secondo stack di gestione.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni di servizio.
Tratta l’aspetto del backup e del ripristino che una piattaforma di rilevamento non affronta.

Qual è la differenza tra KATA, KATA NDR Enhanced e KATA Ultra?

L’unica differenza determinante è la presenza o meno della licenza per il blocco degli endpoint: solo il livello più alto include il rilevamento e la risposta a livello di endpoint, mentre in assenza di tale funzionalità si ottiene un rilevamento a livello di rete senza telemetria degli agenti né azioni di risposta a livello di endpoint. Kaspersky descrive attualmente tre livelli, con la sandbox di rete presente in tutti e il set di funzionalità NDR che si potenzia nel livello intermedio. Le schede di prodotto al dettaglio riportano ancora la vecchia struttura a livelli, e il nome “Enterprise EDR Edition” si riferisce alla configurazione in cui sono attivi sia il blocco di rete KATA che il blocco degli endpoint KEDR. Tutti i livelli vengono implementati sulla propria infrastruttura; nessuno di essi è un servizio ospitato su cloud.

Quali limitazioni è necessario conoscere prima dell'acquisto?

La restrizione più rilevante è di natura regionale: in seguito alla decisione dell’Ufficio per l’Industria e la Sicurezza degli Stati Uniti, il software Kaspersky non può essere venduto ex novo a soggetti statunitensi e non riceve più aggiornamenti delle firme o del codice sorgente negli Stati Uniti dal 29 settembre 2024; pertanto, un gruppo svizzero o europeo con entità negli Stati Uniti non può standardizzare l’uso di questa piattaforma in tutta l’organizzazione, e le versioni al dettaglio sono inoltre vendute come edizioni specifiche per regione. La copertura della piattaforma è disomogenea: l’agente per gli endpoint è integrato in Kaspersky Endpoint Security per Windows e Linux, la configurazione dell’agente EDR autonomo che coesiste con una suite di protezione per endpoint di terze parti è una funzionalità di Windows, mentre i dispositivi mobili non sono affatto coperti. L’implementazione è un’operazione di ingegneria di rete piuttosto che una semplice installazione software, poiché la piattaforma necessita che il traffico le venga replicato da uno switch, un packet broker o un network tap prima di poter rilevare qualsiasi cosa sul lato della rete. La configurazione dell’agente EDR non include componenti di protezione o controllo, pertanto la prevenzione continua a essere garantita da Kaspersky Endpoint Security o da un’altra suite per endpoint. Gli acquisti successivi che spesso colgono di sorpresa gli acquirenti riguardano le licenze di protezione degli endpoint, la gestione delle patch e della crittografia, nonché un servizio gestito qualora sia necessario monitorare gli avvisi al di fuori dell’orario di lavoro.

Domande frequenti su Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition

Questo prodotto sostituisce Kaspersky Endpoint Security for Business?

No. L’agente endpoint raccoglie dati telemetrici ed esegue attività di risposta; nella configurazione autonoma dell’agente EDR non include alcun componente di protezione o controllo. Il blocco, il controllo dei dispositivi e il controllo delle applicazioni continuano a essere garantiti da una suite completa per endpoint.

Può funzionare insieme a una suite per endpoint di terze parti?

Sì. La configurazione dell’agente EDR è progettata per coesistere con una piattaforma di protezione degli endpoint di terze parti, il che consente di aggiungere funzionalità di rilevamento e risposta senza sostituire il fornitore esistente. L’agente viene distribuito e integrato tramite la console Kaspersky Security Center e richiede la presenza del Network Agent sul computer di destinazione.

Dove vengono elaborati i dati sulle minacce se sono abilitate le ricerche di reputazione nel cloud?

I dati relativi alle minacce condivisi dagli utenti europei con il Kaspersky Security Network vengono elaborati in due data center a Zurigo. Le organizzazioni che non possono inviare dati al di fuori della propria infrastruttura possono utilizzare invece il Kaspersky Private Security Network, che mantiene il database di reputazione in locale.