Kaspersky APT Intelligence Reporting

Cosa comprende il servizio Kaspersky APT Intelligence Reporting?

Rapporti sulle campagne APT – Analisi tecniche delle campagne di attacchi mirati man mano che vengono individuate.
Indicatori di compromissione (IOC) – Set di IOC forniti nei formati openIOC e STIX.
Regole YARA – Regole di hunting pronte all’uso per i vostri strumenti di rilevamento.
Mappatura MITRE ATT&CK – TTP degli autori mappati per l’analisi delle lacune e l’ottimizzazione del rilevamento.
Portale di Threat Intelligence – Accesso web con filtri geografici e settoriali per i report.
Importante – Nessun agente di protezione, nessuna console, nulla viene bloccato automaticamente.

Quali sono i principali vantaggi di Kaspersky APT Intelligence Reporting?

Kaspersky APT Intelligence Reporting è un servizio di intelligence in abbonamento piuttosto che un software di protezione: fornisce analisi scritte delle campagne di minacce persistenti avanzate (APT) elaborate dal team di ricerca GReAT del fornitore. L’accesso avviene tramite il Kaspersky Threat Intelligence Portal, quindi non è necessario implementare alcun agente né gestire alcuna console di amministrazione.

Indagini riservate – Gli abbonati hanno accesso a campagne che non vengono mai pubblicate apertamente.
Triage più rapido degli avvisi – Il contesto relativo agli attori trasforma un avviso inspiegabile in una campagna identificata.
Analisi delle lacune di rilevamento – La mappatura ATT&CK mostra quali tecniche degli attori non sono visibili.
Rilevanza regionale – Ogni rapporto indica i settori e le regioni colpiti.
Due livelli di lettura – Sintesi esecutiva per il management, dettagli tecnici per gli analisti.
Ricerca retrospettiva – Gli insiemi di IOC pubblicati consentono di effettuare ricerche nei dati storici dei log.

I migliori programmi antivirus per Windows 2025
: spiega come scegliere il software di protezione che questo servizio di intelligence presume tu stia già utilizzando.

A quali dimensioni aziendali è adatto il servizio Kaspersky APT Intelligence Reporting?

Questo servizio è adatto alle organizzazioni che dispongono già di una figura professionale incaricata di analizzare le informazioni sulle minacce e di agire di conseguenza. Un’azienda priva di un analista di sicurezza interno o di un fornitore di servizi di sicurezza gestiti non trarrà alcun valore dall’abbonamento, poiché nessuna delle funzionalità del servizio agisce in modo autonomo.

Kaspersky APT Intelligence Reporting soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione svizzero si applica ai gestori delle infrastrutture critiche indicati nella legge riveduta sulla sicurezza dell’informazione, non a tutte le aziende svizzere. Tali gestori sono tenuti a segnalare un attacco informatico significativo all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua scoperta. Questo servizio facilita il lavoro prima che scatti il termine: i profili degli autori, gli indicatori di compromissione e le regole YARA forniscono agli analisti gli elementi necessari per riconoscere una campagna mirata e descrivere l’autore e il metodo nell’avviso, evitando di presentare una segnalazione incompleta. Il servizio non rileva l’incidente, non genera la segnalazione e non archivia nessuno dei dati di log o di telemetria necessari per un’indagine; pertanto, il rispetto del termine di 24 ore dipende ancora interamente dal vostro sistema di monitoraggio e dalla vostra procedura di gestione degli incidenti. Le aziende al di fuori dei settori indicati non hanno alcun obbligo di segnalazione, ma spesso si trovano a dover soddisfare aspettative simili in virtù dei contratti stipulati con operatori che invece ne sono soggetti. Il presente testo non costituisce un parere legale; per chiarire se la vostra organizzazione sia soggetta all’obbligo di segnalazione, è necessario rivolgersi al proprio consulente legale.

Kaspersky APT Intelligence Reporting soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’azienda conforme alla Direttiva NIS 2, che richiede misure organizzative da parte dei soggetti operanti nei settori da essa coperti. Tra tali misure figurano l’analisi dei rischi e le politiche di sicurezza delle informazioni, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento, la gestione delle vulnerabilità, la valutazione dell’efficacia delle misure adottate, nonché le pratiche di base di cyberigiene e la formazione. Questo abbonamento contribuisce a due di esse: l’analisi dei rischi, poiché i report identificano quali attori malevoli prendono di mira il vostro settore e la vostra regione, e la valutazione dell’efficacia, poiché la mappatura ATT&CK mostra quali tecniche sfuggirebbero al vostro attuale sistema di rilevamento. Non apporta alcun contributo alla gestione degli incidenti, alla continuità operativa, al controllo degli accessi, alla crittografia, all’audit della catena di fornitura o alla formazione del personale, e non costituisce prova dell’attuazione di alcuna misura. Consideratelo un input per l’analisi dei rischi, non un controllo a sé stante.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Sono rilevanti due valutazioni ufficiali ed entrambe sono ancora in vigore. L’Ufficio federale tedesco per la sicurezza informatica (BSI) ha emesso nel marzo 2022 un avviso formale contro l’uso del software antivirus Kaspersky e ha confermato nel 2026 di mantenere tale avviso e che le ragioni addotte non sono cambiate. Il Dipartimento del Commercio degli Stati Uniti ha emesso una Determinazione Definitiva nel giugno 2024 che vieta a Kaspersky di fornire software antivirus e prodotti o servizi di sicurezza informatica a soggetti statunitensi, con le principali restrizioni in vigore a partire dal 29 settembre 2024; tale decisione esclude espressamente i prodotti e i servizi di Kaspersky Threat Intelligence, la formazione in materia di sicurezza e i servizi puramente informativi o di consulenza, categoria nella quale rientra il presente abbonamento. Kaspersky descrive le valutazioni come di natura politica piuttosto che tecnicamente fondate, gestisce un centro di trasparenza a Zurigo dove è possibile esaminare il codice sorgente e ha pubblicamente chiesto al BSI di ritirare il proprio avviso. La Svizzera non ha emesso alcun avviso analogo: la BACS non pubblica raccomandazioni sui prodotti e ha dichiarato che non le è stato segnalato alcun uso improprio del software Kaspersky in Svizzera. I test di laboratorio indipendenti riguardano i prodotti di protezione Kaspersky piuttosto che questo servizio di segnalazione, pertanto i risultati dei test pubblicati non costituiscono in questo caso un indicatore utile in nessuna delle due direzioni. In pratica, ciò ha maggiore rilevanza se si vendono prodotti al settore pubblico tedesco, si opera secondo una politica IT di gruppo tedesca o si risponde a questionari per i fornitori in cui viene chiesto se un fornitore sia soggetto a un avviso ufficiale; per un’azienda svizzera che non si trova in tale situazione, si tratta di una questione di documentazione piuttosto che di un ostacolo.

Confronto tra Norton e Kaspersky:
Confronta entrambi i fornitori in termini di prestazioni di protezione se la questione relativa al fornitore influisce sul vostro sistema di sicurezza nel suo complesso.

Il servizio Kaspersky APT Intelligence Reporting è utile per i questionari sulla sicurezza dei grandi clienti?

In parte, e solo in un ambito molto ristretto. Risponde alle domande che chiedono se si disponga di una fonte esterna di intelligence sulle minacce, se si monitorino gli autori delle minacce rilevanti per il proprio settore e la propria regione, se la copertura del rilevamento sia valutata in base al modello MITRE ATT&CK e se esista un processo per l’acquisizione di indicatori esterni di compromissione. Non fornisce alcuna risposta in merito alla protezione degli endpoint, all’EDR, alla conservazione dei log, alla gestione delle patch, alla crittografia, all’autenticazione a più fattori, al backup, alla scansione delle vulnerabilità, alla prontezza nella risposta agli incidenti, alla formazione sulla consapevolezza o alle certificazioni, e non produce alcun documento che si possa allegare come prova dell’implementazione di un controllo. C’è una restrizione che è facile trascurare: i termini del prodotto vietano la divulgazione delle informazioni contenute nei report, quindi il contenuto dei report non può essere inoltrato a un cliente né citato in un documento di gara. Colmate prima le lacune più grandi all’interno della stessa famiglia, poiché Kaspersky Threat Data Feeds, Threat Lookup e Digital Footprint Intelligence funzionano sullo stesso Threat Intelligence Portal e sono solitamente più economici da aggiungere rispetto a un secondo fornitore con un proprio contratto, una propria revisione della sicurezza e un proprio lavoro di integrazione.

Qual è la differenza tra i report di intelligence su APT, crimeware e ICS?

La differenza fondamentale risiede nella categoria di minacce coperta da ciascun abbonamento, non nella profondità delle informazioni o nel metodo di distribuzione. L’APT Intelligence Reporting copre campagne di spionaggio legate agli Stati e altre campagne altamente mirate; il Crimeware Intelligence Reporting copre campagne di malware a scopo di lucro rivolte principalmente alle istituzioni finanziarie; l’ICS Intelligence Reporting copre le minacce contro gli ambienti tecnologici industriali e operativi. Si tratta di tre abbonamenti distinti forniti tramite lo stesso Kaspersky Threat Intelligence Portal, pertanto l’acquisto di uno non dà accesso agli altri. Questa scheda riguarda esclusivamente l’abbonamento ai rapporti APT.

Quali limitazioni è necessario conoscere prima dell'acquisto?

Il malinteso più comune è anche il più grave: questo abbonamento non protegge nulla. Non prevede alcun agente, nessuna scansione, nessun blocco e nessuna console di gestione, pertanto deve essere integrato con una protezione degli endpoint, un sistema di registrazione degli eventi e uno strumento di rilevamento in grado di utilizzare effettivamente gli indicatori e le regole YARA. Senza un analista o un fornitore di servizi di sicurezza gestiti che legga i rapporti e carichi gli indicatori in una piattaforma SIEM o EDR, l’abbonamento produce solo materiale di lettura e nessun risultato misurabile. Un aspetto regionale è importante per i gruppi internazionali: poiché la threat intelligence di Kaspersky è espressamente esclusa dal divieto degli Stati Uniti, mentre i prodotti di protezione Kaspersky non lo sono, un gruppo svizzero con una filiale statunitense può abbonarsi a questo servizio ma non può standardizzare l’uso dei prodotti Kaspersky per gli endpoint in tutto il gruppo. Infine, i termini del prodotto limitano la divulgazione del contenuto dei rapporti, il che esclude la possibilità di trasmettere i rapporti a clienti, revisori o al pubblico nell’ambito della propria rendicontazione.

Perché Windows Defender da solo non è sufficiente
Illustra quali livelli di protezione devono essere presenti affinché l’intelligence sulle minacce produca dei benefici.

Domande frequenti su Kaspersky APT Intelligence Reporting

In che modo gli abbonati ricevono i rapporti?

È possibile accedere ai report tramite il Kaspersky Threat Intelligence Portal, con filtri per regione e settore. Ogni report si apre con un riassunto esecutivo redatto per la direzione, seguito dall’analisi tecnica con i relativi indicatori di compromissione e le regole YARA.

È possibile inoltrare i rapporti a clienti o revisori?

No. I termini del prodotto vietano la divulgazione delle informazioni contenute nei rapporti, pertanto il contenuto non può essere condiviso al di fuori dell’organizzazione abbonata. Verificate i termini attuali prima di pianificare l’utilizzo di qualsiasi materiale tratto dai rapporti in una gara d’appalto o in una risposta a un audit.

È necessario disporre dei prodotti di protezione Kaspersky sui nostri endpoint?

No. Gli indicatori sono forniti nei formati standard openIOC e STIX e le regole sono YARA standard, quindi possono essere caricate nel SIEM, nell’EDR o negli strumenti di hunting già in uso, indipendentemente dal fornitore.