Kaspersky APT & Crimeware Intelligence Reporting

Cosa comprende il servizio di reportistica Kaspersky APT & Crimeware Intelligence?

Sezione rapporti APT – Indagini Kaspersky in corso su campagne mirate e sponsorizzate da Stati.
Sezione rapporti Crimeware – Analisi di campagne di ransomware e malware a scopo di lucro.
Profili degli autori delle minacce – Alias, famiglie di malware e TTP mappati su MITRE ATT&CK.
Indicatori leggibili da macchina – IoC in formato openIOC e STIX, oltre a regole YARA e Suricata.
Portale e API – Archivio di report filtrabile con API RESTful per l’integrazione nei flussi di lavoro.
Importante – Nessun agente, nessuna console e nessuna funzione di protezione o blocco.

Quali sono i principali vantaggi di Kaspersky APT & Crimeware Intelligence Reporting?

Kaspersky APT & Crimeware Intelligence Reporting è un servizio di intelligence che riunisce le due linee di report che Kaspersky vendeva in precedenza separatamente come Kaspersky APT Intelligence Reporting e Kaspersky Crimeware Intelligence Reporting. Il servizio è interamente accessibile tramite il Kaspersky Threat Intelligence Portal, quindi non è necessario installare nulla né gestire alcuna console.
Visibilità prima della divulgazione – Dettagli tecnici sulle campagne prima della pubblicazione dei rapporti pubblici.
Contributo tecnico al rilevamento – Regole YARA e Suricata pronte all’uso che i vostri analisti possono implementare direttamente.
Contesto di triage più rapido – L’attribuzione e la mappatura delle TTP (Tactics, Techniques and Procedures) accorciano i tempi di indagine sugli avvisi poco chiari.
Filtraggio per rilevanza – Filtra per settore di riferimento, paese, attore e data di pubblicazione.
Accesso all’archivio retrospettivo – Tutti i rapporti privati pubblicati in precedenza rimangono disponibili per tutta la durata dell’abbonamento.
Sintesi a livello dirigenziale – Ogni rapporto si apre con un riassunto esecutivo destinato alla dirigenza.

A quali dimensioni aziendali è adatto il servizio Kaspersky APT & Crimeware Intelligence Reporting?

Il fattore determinante non è il numero di dipendenti, ma il fatto che all’interno dell’organizzazione vi sia qualcuno che legga i rapporti sulle minacce come parte delle proprie mansioni. L’intelligence non ha alcun effetto automatico: gli elenchi di IoC, le regole YARA e i profili degli attori modificano il vostro livello di sicurezza solo dopo che un analista li ha caricati in una piattaforma di rilevamento.

Test: I migliori programmi antivirus per Windows 2025
Confronta gli attuali prodotti antivirus per Windows e aiuta le piccole aziende a scegliere una protezione di base prima di investire nell'intelligence sulle minacce.

Il servizio Kaspersky APT & Crimeware Intelligence Reporting soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione svizzero si applica ai gestori di infrastrutture critiche, non a tutte le aziende: la legge sulla sicurezza dell’informazione (LSI) modificata indica organizzazioni quali fornitori di energia e acqua potabile, aziende di trasporto, ospedali accreditati, fornitori di servizi cloud e di data center, nonché amministrazioni cantonali e comunali. Tali gestori devono segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua scoperta, con un ulteriore periodo di tempo per completare la segnalazione iniziale. Questo servizio supporta proprio quelle prime 24 ore, poiché i profili degli attori, gli IoC e la mappatura MITRE ATT&CK consentono a un analista di stabilire se l’attività osservata corrisponda a una campagna nota, che è la classificazione richiesta da una prima segnalazione. Ciò che il servizio non fa è rilevare l’attacco, conservare i log o redigere la segnalazione: il servizio non detiene dati telemetrici provenienti dal vostro ambiente e non genera alcuna traccia probatoria, pertanto il rilevamento e la registrazione dei log devono provenire da un endpoint, da un prodotto EDR o da un sistema SIEM. Il contenuto del rapporto è inoltre contrassegnato secondo il Traffic Light Protocol e la divulgazione successiva è vietata; pertanto, i risultati possono essere utilizzati per il vostro rapporto, mentre i rapporti stessi rimangono interni. Il presente testo costituisce un ausilio all’acquisto e non una consulenza legale; per chiarire se la vostra organizzazione sia soggetta all’obbligo di segnalazione, è necessario rivolgersi al proprio consulente legale.

Kaspersky APT & Crimeware Intelligence Reporting soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’azienda conforme alla direttiva NIS 2, poiché la direttiva riguarda le misure organizzative, la governance e la responsabilità del management piuttosto che un elenco di funzionalità software. La direttiva NIS 2 richiede che i soggetti essenziali e importanti stabiliscano politiche di analisi dei rischi e di sicurezza delle informazioni, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, gestione e divulgazione delle vulnerabilità, procedure per valutare l’efficacia delle misure, igiene informatica e formazione, crittografia e controllo degli accessi, compresa l’autenticazione a più fattori. Questo servizio contribuisce a tre di queste categorie: l’analisi dei rischi, poiché i report possono essere filtrati per settore e paese di riferimento; la gestione degli incidenti, poiché l’attribuzione e la mappatura delle TTP accelerano la classificazione; e la gestione delle vulnerabilità, poiché i report descrivono gli exploit osservati in campagne in corso. Non apporta alcun contributo alla continuità operativa, al backup, alla crittografia, al controllo degli accessi, all’autenticazione a più fattori, alla gestione delle risorse o alla formazione del personale, né rileva né contiene un incidente. Gli acquirenti che necessitano di copertura per tali categorie dovrebbero considerare questo servizio come un’integrazione a una soluzione di protezione e rilevamento piuttosto che come un suo sostituto.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Il 20 giugno 2024 il Dipartimento del Commercio degli Stati Uniti ha emesso una Determinazione Definitiva che vietava a Kaspersky di stipulare nuovi accordi con soggetti statunitensi a partire dal 20 luglio 2024 e di fornire aggiornamenti delle firme antivirus e del codice sorgente negli Stati Uniti a partire dal 29 settembre 2024, e ha aggiunto tre entità di Kaspersky alla Entity List. L’Ufficio federale tedesco per la sicurezza informatica ha sconsigliato l’uso del software antivirus di Kaspersky a partire dal 15 marzo 2022. Entrambe le misure sono tuttora pubblicate e in vigore. Kaspersky respinge entrambe le misure, descrive la decisione statunitense come un riflesso del clima geopolitico piuttosto che come una valutazione dei propri prodotti, ha dichiarato che intende avvalersi delle vie legali a sua disposizione e ha affermato pubblicamente che tale decisione non incide sulla sua capacità di vendere servizi di intelligence sulle minacce e corsi di formazione negli Stati Uniti. Nel valutare questo particolare prodotto è importante tenere presenti due distinzioni: entrambe le misure sono rivolte ai software antivirus e di protezione piuttosto che ai servizi di intelligence, e nessuna delle due costituisce un divieto di vendita a livello svizzero o dell’Unione Europea; pertanto, il servizio viene venduto normalmente in Svizzera e nell’Unione Europea. In pratica, le misure hanno un impatto su di voi se siete titolari di contratti federali statunitensi, vendete al settore pubblico statunitense o dovete soddisfare i requisiti della catena di approvvigionamento di clienti che, per politica aziendale, escludono i fornitori con sede in Russia; laddove nessuna di queste condizioni si applichi, la scelta dipende da considerazioni tecniche e commerciali.

Norton vs. Kaspersky: quale programma antivirus offre la migliore protezione?
Un confronto diretto tra i prodotti di protezione di entrambi i fornitori per i lettori che valutano la scelta del fornitore alla luce delle valutazioni ufficiali descritte sopra.

I rapporti di Kaspersky su APT e crimeware sono utili per compilare i questionari sulla sicurezza richiesti dai grandi clienti?

In parte, e solo all’interno di una sezione di un questionario tipico. Fornisce risposte relative alle fonti esterne di intelligence sulle minacce, all’uso di un framework riconosciuto per la gestione delle minacce, alla consapevolezza degli attori delle minacce nel proprio settore e nella propria regione, e al fatto che la logica di rilevamento venga aggiornata sulla base di intelligence esterna, poiché le regole YARA e Suricata vengono fornite insieme ai report. Non fornisce alcuna risposta in merito alla copertura della protezione degli endpoint, all’implementazione dell’EDR e alla conservazione dei log, ai livelli di patch, alla crittografia del disco, all’autenticazione a più fattori, ai test di backup e ripristino, alle procedure di risposta agli incidenti o alle certificazioni come la ISO 27001, e tali voci costituiscono la maggior parte della maggior parte dei questionari. C’è un aspetto che spesso mette in difficoltà gli acquirenti: il contenuto dei rapporti è classificato secondo il TLP (Classificazione del Livello di Protezione) e la divulgazione è vietata; pertanto, è possibile dichiarare di essere abbonati a un servizio di intelligence commerciale, ma non è possibile allegare i rapporti stessi come prova. Per colmare le lacune operative, passare a un livello superiore all’interno della famiglia Kaspersky Threat Intelligence è solitamente più conveniente che aggiungere un secondo fornitore, poiché i pacchetti di Threat Intelligence più completi includono Threat Lookup, sandboxing su cloud e Digital Footprint Intelligence, mentre la linea Kaspersky Next copre gli endpoint, l’EDR e gli aspetti relativi alla reportistica che i questionari effettivamente richiedono.

Qual è la differenza tra Kaspersky APT & Crimeware Intelligence Reporting e Kaspersky APT & Crimeware & Industrial Intelligence Reporting?

L’unica differenza determinante è la copertura del settore industriale. Kaspersky APT & Crimeware Intelligence Reporting contiene solo i tracciati APT e Crimeware, mentre Kaspersky APT & Crimeware & Industrial Intelligence Reporting aggiunge il tracciato ICS Threat Intelligence Reporting con MRTI. Tutto il resto, compresi i profili degli attori, la mappatura MITRE ATT&CK e gli indicatori leggibili da macchina, è identico in entrambi i pacchetti. Se il vostro ambiente include linee di produzione, sistemi di controllo degli edifici, tecnologie energetiche o idriche, il pacchetto industriale è il punto di partenza corretto, poiché l’analisi delle vulnerabilità ICS non può essere aggiunta successivamente al pacchetto più piccolo senza cambiare prodotto.

Quali limitazioni è necessario conoscere prima dell’acquisto?

Si tratta di un servizio di intelligence, non di un prodotto di sicurezza: non rileva nulla, non blocca nulla e non installa nulla, quindi offre valore solo quando qualcuno della vostra organizzazione legge e applica i rapporti. Il pacchetto industriale non fa parte di questo bundle e l’acquisto successivo della copertura ICS comporta il passaggio a un bundle più ampio anziché l’aggiunta di un singolo componente, che rappresenta l’acquisto successivo più comune in questa categoria. Il contenuto dei report è contrassegnato secondo il Traffic Light Protocol ed è vietata la divulgazione a terzi, il che esclude la possibilità di trasmettere il materiale dei report ai clienti o di inserirlo nella documentazione di audit. Per quanto riguarda la disponibilità a livello regionale, il divieto statunitense sopra descritto è la prima cosa da verificare se si opera negli Stati Uniti, mentre in Svizzera e nell’Unione Europea il servizio viene venduto senza restrizioni. I rapporti sono redatti per gli analisti, quindi un’organizzazione sprovvista di un SOC, di un fornitore di sicurezza gestita o almeno di un ingegnere di sicurezza dedicato non trarrà alcun valore dagli elenchi IoC e dalle regole YARA.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove la protezione integrata di Windows raggiunge i propri limiti, utile se avete ancora bisogno del livello di rilevamento alimentato da questo servizio di intelligence.

Domande frequenti sui report di Kaspersky APT & Crimeware Intelligence

È necessario un prodotto di protezione Kaspersky per utilizzare questo servizio?

No. Il servizio viene fornito tramite il Kaspersky Threat Intelligence Portal e funziona indipendentemente dal fornitore della protezione degli endpoint. Poiché gli indicatori vengono emessi in formati standard, possono essere caricati in un EDR o SIEM di terze parti senza che sia presente alcun agente Kaspersky nell’ambiente.

In quali formati vengono forniti i report e gli indicatori?

I report sono disponibili in formato PDF, gli indicatori di compromissione (IoC) in openIOC e STIX, mentre la logica di rilevamento è disponibile sotto forma di regole YARA e Suricata. I download consolidati dei file master YARA e master IoC coprono tutti i report in una sola volta ed è disponibile un’API RESTful per il recupero automatizzato.

Il servizio include i rapporti pubblicati prima della sottoscrizione?

Sì. Per tutta la durata dell’abbonamento è garantito l’accesso retrospettivo a tutti i report privati pubblicati in precedenza. L’archivio può essere filtrato in base al settore di riferimento, alla geolocalizzazione, all’autore della minaccia, alla data di pubblicazione e al tipo di report.