Kaspersky Threat Data Feeds

Cosa è incluso nei feed di dati sulle minacce di Kaspersky?

Feed di indicatori di rete – URL dannosi, di phishing e C&C di botnet con maschere e host.
Feed sulla reputazione degli IP – Indirizzi IP sospetti e dannosi con contesto della minaccia.
Feed di hash dannosi – Hash di file relativi a Windows, Linux, macOS, Android e iOS.
IOC relativi ad APT e crimeware – Indicatori di hash, URL, IP e YARA provenienti dalla ricerca di Kaspersky.
Feed di dati specialistici – DNS passivo, URL IoT, regole Suricata, dati sulle vulnerabilità e open source.
Importante – Nessun agente, nessuna console; sono i vostri strumenti a occuparsi del confronto e del blocco.

Quali sono i principali vantaggi dei Kaspersky Threat Data Feeds?

I Kaspersky Threat Data Feeds sono un abbonamento a elenchi di indicatori leggibili da macchina che potete scaricare tramite HTTPS e caricare nel vostro SIEM, firewall o piattaforma di threat intelligence. La documentazione di Kaspersky fa riferimento allo stesso servizio anche come Kaspersky Threat Intelligence Data Feeds, mentre lo strumento di corrispondenza associato, Kaspersky CyberTrace, era precedentemente denominato Kaspersky Threat Feed Service.

Triage più rapido degli avvisi – Il contesto di ciascun record indica quali avvisi meritano un’escalation.
Minore carico sul SIEM – CyberTrace effettua la corrispondenza degli eventi esternamente anziché all’interno del SIEM.
Elenchi di blocco per firewall – Gli elenchi di rifiuto dinamici alimentano NGFW, proxy e gateway di posta.
Formati indipendenti dal fornitore – JSON, CSV, STIX e OpenIoC evitano il vincolo a un unico strumento.
Connettori pronti all’uso – Sono supportati QRadar, ArcSight, Splunk, MISP, Sentinel e Suricata.
Nulla esce dalla vostra rete – Kaspersky fornisce solo testo; la corrispondenza avviene da parte vostra.

Per aziende di quali dimensioni sono adatti i Kaspersky Threat Data Feeds?

Il fattore determinante non è il numero di dipendenti, ma se all’interno della vostra organizzazione sia già in uso un SIEM, una piattaforma di threat intelligence o un firewall di nuova generazione con liste di blocco dinamiche. In assenza di uno di questi strumenti, i feed non hanno alcun elemento con cui effettuare la corrispondenza e non producono alcun risultato.

I Kaspersky Threat Data Feeds soddisfano i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla revisione della Legge sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche, tra cui aziende di energia e di approvvigionamento idrico, società di trasporto, ospedali elencati, fornitori di servizi cloud e di data center, nonché amministrazioni cantonali e comunali. A partire dal 1° aprile 2025, queste organizzazioni dovranno segnalare un attacco informatico rilevante all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua individuazione, con ulteriori 14 giorni per completare la segnalazione. I Kaspersky Threat Data Feeds supportano tale scadenza in un modo specifico: ogni record contiene informazioni contestuali quali il nome della minaccia, i timestamp, gli indirizzi IP risolti e la geolocalizzazione, ovvero il materiale di cui un analista ha bisogno per descrivere cosa è stato osservato e quando. Il servizio non rileva l’incidente al posto vostro, non produce una cronologia dell’incidente, né prove forensi né un modulo di segnalazione, e non archivia la cronologia del caso; pertanto, la segnalazione stessa viene comunque compilata dal vostro SIEM, dai vostri strumenti per gli endpoint o da un fornitore di servizi di risposta agli incidenti. Inoltre, non copre nessuno degli obblighi organizzativi, come l’individuazione dei responsabili o la gestione di un processo di escalation. Il presente testo non costituisce una consulenza legale; per chiarire se la vostra organizzazione sia soggetta all’obbligo di segnalazione, è necessario rivolgersi ai propri consulenti legali.

I Kaspersky Threat Data Feeds soddisfano i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto software rende un’organizzazione conforme alla direttiva NIS 2, poiché la direttiva riguarda le responsabilità e i processi di gestione piuttosto che gli strumenti. La NIS 2 richiede che gli enti essenziali e importanti mettano in atto analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, gestione e divulgazione delle vulnerabilità, procedure per valutare l’efficacia delle misure, igiene informatica e formazione, crittografia, controllo degli accessi, gestione delle risorse e autenticazione a più fattori. Kaspersky Threat Data Feeds contribuisce a tre di queste categorie: gestione degli incidenti, attraverso il confronto degli indicatori e la prioritizzazione degli avvisi; gestione delle vulnerabilità, tramite il Vulnerability Data Feed; e sicurezza della catena di fornitura, tramite l’Open Source Software Threats Data Feed utilizzato all’interno di una pipeline di compilazione. Non apporta alcun contributo al controllo degli accessi, all’autenticazione multifattoriale, alla crittografia, alla continuità operativa, al backup, alla formazione del personale, all’inventario delle risorse o alla documentazione delle politiche, e non protegge alcun endpoint, server o casella di posta. Consideratelo come un elemento di input per un processo di rilevamento che deve già esistere.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Due provvedimenti ufficiali sono rilevanti ed entrambi sono ancora in vigore. L’Ufficio federale tedesco per la sicurezza informatica (BSI) ha sconsigliato l’uso del software antivirus Kaspersky dal 15 marzo 2022 e raccomanda di sostituirlo con prodotti alternativi; a seguito della legge di attuazione tedesca della direttiva NIS 2, entrata in vigore il 6 dicembre 2025, l’avviso è ora emanato ai sensi della Sezione 13 della BSIG. Il BSI precisa che l’avviso riguarda la gamma di software antivirus e che non ha rilasciato alcuna dichiarazione in merito ad altri prodotti della linea. Negli Stati Uniti, il Dipartimento del Commercio (BIS) ha emesso il 20 giugno 2024 una decisione definitiva che vieta a Kaspersky di fornire prodotti o servizi antivirus e di sicurezza informatica a soggetti statunitensi, con piena efficacia a partire dal 29 settembre 2024; tale decisione non si applica espressamente ai prodotti e servizi Kaspersky Threat Intelligence, alla formazione sulla sicurezza di Kaspersky, né ai servizi di consulenza e assistenza di natura puramente informativa o formativa. La posizione di Kaspersky è che l’avviso del BSI non sia giustificato e non si basi su un’analisi tecnica del proprio software, e fa riferimento alla propria Iniziativa Globale per la Trasparenza, in base alla quale i dati relativi alle minacce provenienti dagli utenti europei vengono elaborati in due centri dati di Zurigo dal novembre 2018 e le revisioni del codice sorgente vengono offerte presso i propri Centri per la Trasparenza. In pratica, ciò è particolarmente rilevante per gli acquirenti del settore pubblico, i fornitori nel campo della difesa e delle infrastrutture critiche, nonché per qualsiasi azienda i cui clienti impongano regole relative al paese di origine ai fornitori di soluzioni di sicurezza; un’azienda privata svizzera priva di tali requisiti contrattuali è interessata in modo diverso rispetto a un’amministrazione cantonale. Un dettaglio tecnico va sottolineato in questa decisione: i feed sono file di testo da scaricare e Kaspersky precisa che la verifica deve essere eseguita dagli strumenti dell’utente stesso, quindi nessun software del fornitore viene eseguito sui sistemi dell’utente e nessuna telemetria viene inviata a Kaspersky tramite questo prodotto.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Un confronto diretto tra i due fornitori in termini di qualità del rilevamento, funzionalità e praticità d’uso.

I feed di dati sulle minacce di Kaspersky sono utili per rispondere ai questionari sulla sicurezza dei grandi clienti?

In parte, e solo per quanto riguarda il rilevamento. Fornisce una risposta documentata a domande quali: se si è abbonati a servizi commerciali di intelligence sulle minacce, se gli indicatori di compromissione vengono confrontati con i dati di log, se si monitorano i componenti open source utilizzati nello sviluppo e se si ricevono informazioni strutturate sulle vulnerabilità. Le statistiche sull’utilizzo dei feed in CyberTrace consentono inoltre di mostrare quali fonti abbiano effettivamente generato rilevamenti, il che risulta più convincente rispetto alla semplice indicazione del nome di un fornitore. Non risponde a nessuna delle seguenti domande, e i questionari le pongono tutte: protezione degli endpoint e dei server, EDR o rilevamento gestito, gestione delle patch, crittografia del disco, autenticazione a più fattori, controllo degli accessi privilegiati, test di backup e ripristino, periodi di conservazione dei log, formazione sulla sensibilizzazione, contratto di assistenza per la risposta agli incidenti e certificazione secondo la norma ISO 27001 o simili. Si tenga presente che molti questionari per le aziende e il settore pubblico ora includono una domanda di avvertimento sull’origine del fornitore o sull’autorità, che questo prodotto non elimina; si veda la sezione precedente. Il modo più economico per colmare le lacune tecniche è solitamente quello di rimanere all’interno di un’unica famiglia di prodotti piuttosto che mescolare diversi fornitori; pertanto, è consigliabile abbinare i feed a un livello Kaspersky Next per la copertura degli endpoint e dell’EDR e a CyberTrace o a un SIEM per il livello di corrispondenza, invece di acquistare un secondo abbonamento di intelligence.

Qual è la differenza tra l’URL Bundle e il Total Security Feeds Bundle?

L’unica differenza determinante è che l’URL Bundle fornisce informazioni solo sugli indirizzi web pericolosi, mentre il Total Security Feeds Bundle aggiunge intelligence a livello di file e a livello di aggressore. Kaspersky pubblica cinque pacchetti: URL, URL & IP, URL & IP & Hashes, Expert Security e Total Security. Il pacchetto Expert Security è quello in cui compaiono gli indicatori relativi ad APT, crimeware e minacce mobili, mentre il pacchetto Total Security aggiunge a questi elementi DNS passivo, regole Suricata, URL IoT, dati sulle vulnerabilità e dati sulle minacce open source. Se il vostro caso d’uso è una lista di esclusione per firewall o proxy, il pacchetto URL è sufficiente; se invece si tratta di indagini SOC e attribuzione, i pacchetti inferiori non vi forniranno hash e regole YARA. La tabella sottostante mette a confronto tre dei cinque pacchetti.

Quali limitazioni è bene conoscere prima dell’acquisto?

La causa più comune di un acquisto successivo è il livello di corrispondenza: i feed sono file di indicatori grezzi e occorre qualcosa che li confronti con i propri log. Kaspersky CyberTrace è disponibile in una versione gratuita per la comunità proprio a questo scopo, ma l’edizione a pagamento aggiunge il grafico di ricerca, il database degli indicatori e la multi-tenancy di cui i fornitori di servizi finiscono solitamente per aver bisogno. Per quanto riguarda la disponibilità a livello regionale, il divieto statunitense emanato dal Dipartimento del Commercio esclude i prodotti Kaspersky Threat Intelligence dal proprio ambito di applicazione; tuttavia, Kaspersky ha cessato le proprie attività negli Stati Uniti a partire da luglio 2024, pertanto le entità con sede negli Stati Uniti appartenenti a un gruppo internazionale dovrebbero confermare la disponibilità prima di standardizzare l’utilizzo dei feed; l’avviso del BSI tedesco si applica al portafoglio di prodotti antivirus e, in Svizzera e nella maggior parte dell’Unione Europea, rappresenta una questione di approvvigionamento piuttosto che tecnica. La copertura dei feed è disomogenea tra i diversi pacchetti, e gli indicatori più ricercati dagli investigatori, ovvero gli hash di APT e Crimeware con regole YARA, sono presenti solo nei due pacchetti di livello più alto. Infine, gli intervalli di aggiornamento variano a seconda del feed anziché essere uniformemente in tempo reale: i feed degli URL si aggiornano all’incirca ogni 10-20 minuti, i dati relativi ai C&C delle botnet e alle vulnerabilità ogni ora, mentre i dati sulle minacce open source ogni poche ore.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega perché un unico livello di protezione lascia delle lacune e quali vantaggi offre in pratica una configurazione a più livelli.

Domande frequenti sui feed di dati sulle minacce di Kaspersky

I feed di dati sulle minacce di Kaspersky sostituiscono l’antivirus o l’EDR?

No. I feed non contengono alcun motore di protezione, non installano nulla su una workstation o su un server e non bloccano nulla di per sé. Forniscono indicatori ai controlli di sicurezza già in uso, pertanto un prodotto per endpoint o EDR rimane un acquisto separato.

Ti aiutiamo a decidere. Test: Programmi antivirus: i migliori programmi antivirus per Windows 2025
Un confronto tra gli attuali prodotti antivirus per Windows per aiutarti a scegliere il livello di protezione su cui si basano i feed.

È necessario Kaspersky CyberTrace per utilizzare i feed?

Non necessariamente. Qualsiasi strumento in grado di elaborare JSON, CSV, STIX o OpenIoC funzionerà, inclusi QRadar, ArcSight, Splunk, Azure Sentinel, MISP, ThreatConnect, EclecticIQ e Suricata. CyberTrace è il motore di correlazione proprietario di Kaspersky e vale la pena prenderlo in considerazione soprattutto perché esegue la correlazione al di fuori del SIEM, riducendo così il consumo di licenze per gli eventi e il carico di indicizzazione.

Quando utilizziamo i feed, alcuni dei nostri dati vengono inviati a Kaspersky?

Kaspersky dichiara di fornire esclusivamente feed testuali e che la correlazione delle minacce viene eseguita dagli strumenti del cliente stesso. Il flusso di dati avviene tramite download unidirezionale su HTTPS, pertanto i dati di log e i risultati dei rilevamenti rimangono all’interno della vostra infrastruttura.