Kaspersky ICS Threat Data Feeds Vulnerability Feed

Cosa comprende il "Vulnerability Feed" dei Kaspersky ICS Threat Data Feeds?

Record relativi alle vulnerabilità ICS – Falle nei sistemi di controllo industriale e nel software IT collegato.
Contesto CVE e patch – Identificatori CVE, timestamp e informazioni sulle patch disponibili per ogni voce.
Hash di file ed exploit – Hash dei file interessati e dei relativi campioni di exploit.
Linee guida per la mitigazione – Misure raccomandate nei casi in cui non sia disponibile una patch del fornitore.
Formato di distribuzione leggibile da macchina – JSON, CSV, STIX e OpenIoC per l’acquisizione automatizzata.
Importante – Non sono inclusi né console, né agenti, né motori di scansione.

Quali sono i principali vantaggi del feed sulle vulnerabilità di Kaspersky ICS Threat Data Feeds?

Si tratta di un feed di dati di intelligence sulle minacce proveniente dal portafoglio Kaspersky Threat Intelligence, elencato nella documentazione Kaspersky con il nome di ICS Vulnerability Data Feed. Non dispone di una propria console di gestione: i dati vengono acquisiti da un SIEM, da una piattaforma di intelligence sulle minacce o da Kaspersky CyberTrace, ed è lì che avviene il confronto con i dati relativi alle risorse e agli eventi dell’utente.

Confronto delle risorse – Confronta l’elenco delle risorse OT dell’utente con le vulnerabilità note.
Priorità delle patch – I dati relativi alla gravità e agli exploit aiutano a ordinare le finestre di manutenzione.
Copertura dei fornitori OT – Include prodotti di Siemens, Schneider Electric, Yokogawa ed Emerson.
Fonti del Kaspersky ICS CERT – Il team di ricerca monitora MITRE, NVD e gli avvisi dei fornitori.
Riutilizzo degli strumenti esistenti – Funziona con QRadar, Splunk, MISP, Sentinel e altri.
Accesso tramite API REST – Dati recuperati tramite l’API REST di Kaspersky Threat Intelligence.

Il miglior antivirus? Perché Windows Defender da solo non basta
: spiega perché la protezione integrata deve essere integrata da ulteriori livelli di sicurezza.

Per aziende di quali dimensioni è adatto il Kaspersky ICS Threat Data Feeds Vulnerability Feed?

Le dimensioni dell’azienda non sono il fattore determinante in questo caso. Ciò che conta è se si gestiscono sistemi di controllo industriale e se si utilizza già una piattaforma SIEM o di threat intelligence in grado di integrare un feed. Un piccolo fornitore municipale di acqua può rientrare nell’obbligo di segnalazione svizzero, mentre un grande rivenditore al dettaglio può esserne escluso; pertanto, il settore è più importante del numero di dipendenti.

Il Kaspersky ICS Threat Data Feeds Vulnerability Feed soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla legge riveduta sulla sicurezza dell’informazione è in vigore dal 1° aprile 2025 e riguarda i gestori di infrastrutture critiche, compresi i fornitori di energia e acqua, operatori dei trasporti e amministrazioni cantonali e comunali, con una segnalazione iniziale all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta e una segnalazione completa entro 14 giorni. Questo feed supporta la fase preparatoria di tale obbligo: fornisce una fonte documentata e datata delle vulnerabilità note nel proprio sistema ICS e nel software IT collegato, il che elimina il dubbio se un incidente sia correlato a una falla di cui si era già a conoscenza. Non rileva l’attacco, non redige il rapporto e non tiene traccia della scadenza delle 24 ore; pertanto, il processo di rilevamento e gestione degli incidenti deve avvenire tramite il proprio SIEM, il monitoraggio OT e il proprio runbook. Inoltre, non fornisce alcun contributo per il rapporto di follow-up entro 14 giorni, che richiede dati sulla cronologia dell’incidente e sul suo impatto che il feed non rileva mai. Questo testo descrive le funzionalità del prodotto e non costituisce una consulenza legale; per chiarire se la vostra organizzazione rientri nell’ambito di applicazione dell’obbligo di segnalazione, è necessario rivolgersi al proprio ufficio legale o di conformità.

Il Kaspersky ICS Threat Data Feeds Vulnerability Feed soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto garantisce di per sé la conformità alla direttiva NIS 2, poiché la direttiva riguarda le misure organizzative di gestione del rischio piuttosto che uno strumento specifico. La direttiva NIS 2 richiede categorie di misure che includono l’analisi dei rischi e le politiche di sicurezza, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento, la sicurezza nell’acquisizione, nello sviluppo e nella manutenzione dei sistemi (compresa la gestione e la divulgazione delle vulnerabilità), la cyberigiene e la formazione, la crittografia, il controllo degli accessi e l’autenticazione a più fattori. Questo feed contribuisce esattamente a una di queste categorie, ovvero la gestione delle vulnerabilità, fornendo un registro costantemente aggiornato e leggibile da macchina delle falle note degli ICS con riferimenti CVE e stato delle patch. Non apporta alcun contributo alla gestione degli incidenti, alla continuità operativa, al controllo degli accessi, alla crittografia, alla formazione o alla valutazione dei fornitori, né produce autonomamente report pronti per l’audit, poiché qualsiasi prova deve essere generata dal SIEM o dalla piattaforma che utilizza i dati.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Due provvedimenti ufficiali riguardanti il fornitore sono rilevanti ed entrambi sono ancora in vigore. Nel marzo 2022 l’Ufficio federale tedesco per la sicurezza informatica (BSI) ha emesso un avviso pubblico contro il software antivirus Kaspersky, l’unico avviso pubblico di questo tipo che l’autorità abbia mai emesso; esso è ora disciplinato dall’articolo 13 della BSIG e il BSI ha confermato nel 2026 che tale avviso rimane in vigore. Kaspersky respinge le motivazioni, ha richiesto formalmente il ritiro dell’avviso e si è riservata il diritto di intraprendere azioni legali. Separatamente, nel giugno 2024 il Bureau of Industry and Security del Dipartimento del Commercio degli Stati Uniti ha emesso una «Determinazione definitiva» che vieta i prodotti di sicurezza informatica e antivirus di Kaspersky negli Stati Uniti, con il divieto totale in vigore dal 29 settembre 2024; tale determinazione non si applica esplicitamente ai prodotti e ai servizi di Kaspersky Threat Intelligence, ovvero al portafoglio a cui appartiene questo feed. In Svizzera, la BACS non ha emesso alcun avviso né alcuna restrizione, afferma che non le è stato segnalato alcun uso improprio e rimanda le organizzazioni alla propria analisi dei rischi. In pratica ciò riguarda gli acquirenti con contratti nel settore pubblico tedesco, gli acquirenti i cui clienti impongono ai fornitori regole relative al paese di origine e i gruppi con entità statunitensi che rientrano nell’ambito di applicazione della decisione del Dipartimento del Commercio; per un operatore industriale puramente svizzero privo di tale esposizione contrattuale, attualmente non si applica alcuna restrizione legale.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Confronta i due fornitori in termini di prestazioni di rilevamento e differenze pratiche.

Il feed sulle vulnerabilità di Kaspersky ICS Threat Data Feeds è utile per i questionari sulla sicurezza dei grandi clienti?

In parte, e solo in una sezione di un questionario tipico. Fornisce una risposta concreta alle domande relative all’identificazione delle vulnerabilità e all’approvvigionamento di informazioni sulle minacce: è possibile indicare un feed commerciale specifico per ICS, la sua frequenza di aggiornamento, il contesto relativo a CVE e patch, nonché il team di ricerca che lo gestisce, il che è più efficace che rispondere semplicemente che si monitorano manualmente gli avvisi pubblici. Non risponde alle domande relative alla protezione degli endpoint, al rilevamento e alla risposta, alla distribuzione delle patch, alla crittografia, all’autenticazione a più fattori, al backup, alla conservazione dei log, al controllo degli accessi, alla formazione del personale o alla certificazione ISMS, e non produce documenti di politica aziendale né rapporti di audit. Inoltre, non è in grado di rispondere alla domanda sul paese di origine del fornitore, che compare sempre più spesso nei questionari dei clienti dei settori regolamentati o pubblici e alla quale nessuna edizione di Kaspersky può dare una risposta. Per quanto riguarda le lacune tecniche, l’aggiunta di ulteriori feed o di Kaspersky CyberTrace, appartenente alla stessa famiglia di soluzioni di Threat Intelligence, risulta solitamente più economica e richiede un minor lavoro di integrazione rispetto all’assemblaggio di una copertura equivalente da diversi fornitori; per quanto riguarda la questione del paese di origine, la risposta deve essere una decisione di approvvigionamento piuttosto che una scelta legata al prodotto.

Qual è la differenza tra l’ICS Vulnerability Feed e l’ICS Vulnerability Feed in formato OVAL?

La differenza fondamentale sta in ciò che utilizza i dati. Il feed standard delle vulnerabilità ICS fornisce record di vulnerabilità con hash, CVE, timestamp e contesto delle patch per l’acquisizione da parte di una piattaforma di intelligence sulle minacce o di un SIEM, dove vengono confrontati con l’inventario delle risorse e gli eventi in arrivo. La variante OVAL è un feed separato contenente regole di scansione per rilevare software ICS vulnerabile su sistemi Microsoft Windows utilizzando scanner che supportano lo standard OVAL; si tratta di un flusso di lavoro diverso e di un acquisto distinto. L’ICS Hash Feed è un terzo feed distinto che copre i file dannosi utilizzati per attaccare l’infrastruttura ICS piuttosto che le vulnerabilità, quindi risponde a una domanda completamente diversa.

Quali limitazioni è necessario conoscere prima dell’acquisto?

Si tratta di dati, non di un prodotto di sicurezza: senza un SIEM, una piattaforma di threat intelligence o Kaspersky CyberTrace per acquisirli e metterli in relazione, il feed non produce nulla, quindi acquistarlo prima che esista quel livello è lo spreco più comune in questa categoria. La copertura dei fornitori è determinata dalla domanda dei clienti: Kaspersky ha indicato Siemens, Schneider Electric, Yokogawa ed Emerson, e altri fornitori verranno aggiunti nel tempo; ciò significa che dovreste verificare se i vostri fornitori di PLC, SCADA e DCS rientrano nella copertura attuale prima di effettuare l’ordine, piuttosto che dopo. Se il proprio flusso di lavoro prevede la scansione a livello di file delle workstation di ingegneria Windows, la variante OVAL è un feed separato e questo non è adatto a tale scopo. Per quanto riguarda la disponibilità regionale, non si applicano restrizioni svizzere e i prodotti Kaspersky Threat Intelligence non rientrano nell’ambito del divieto degli Stati Uniti; tuttavia, l’avviso del BSI tedesco contro il software Kaspersky e le clausole relative al paese di origine nei contratti con i clienti o nel settore pubblico possono comunque bloccare l’acquisto, pertanto è necessario verificare i vincoli contrattuali prima della valutazione tecnica.

Test: Programma antivirus: I migliori programmi antivirus per Windows 2025
Esamina le attuali opzioni di protezione Windows per le workstation non coperte da un feed.

Domande frequenti sui feed di dati sulle minacce ICS di Kaspersky e sul feed delle vulnerabilità

Questo feed sostituisce uno scanner di vulnerabilità OT?

No. Il feed fornisce informazioni su quali versioni del software siano vulnerabili; non entra mai in contatto con la rete e non interroga mai un dispositivo. Per abbinare tali informazioni alla base installata effettiva è necessario un inventario delle risorse proveniente dal proprio SIEM, CMDB o strumento di monitoraggio OT.

Sono necessari i prodotti Kaspersky per endpoint per utilizzare questo feed?

No. Il feed è fornito in formato JSON, CSV, STIX e OpenIoC ed è progettato per piattaforme di terze parti, con integrazioni documentate che includono IBM QRadar, Splunk Enterprise Security, ArcSight ESM, RSA NetWitness, MISP, Anomali ThreatStream, ThreatQ, EclecticIQ e Microsoft Sentinel. Il software di protezione Kaspersky non è un prerequisito.

Cosa succede se disponiamo anche del feed generale dei dati sulle vulnerabilità?

Kaspersky specifica, nella documentazione relativa all’integrazione con ThreatConnect, che qualora un’autorizzazione copra sia il feed di dati sulle vulnerabilità ICS sia il feed di dati sulle vulnerabilità generale, viene elaborato solo il feed ICS. Verificate il comportamento della vostra piattaforma prima di acquistare entrambe le licenze, in modo da non pagare due volte per dati che vengono utilizzati una sola volta.