Kaspersky Threat Data Feeds Crimeware IOC

Cosa è incluso nei feed di dati sulle minacce di Kaspersky - IOC relativi al crimeware?

Feed di dati hash sul crimeware – Hash tratti dai rapporti Kaspersky sul crimeware con contesto investigativo.
Feed di dati URL sul crimeware – Domini alla base dell’infrastruttura fraudolenta descritta nei rapporti sul crimeware.
Feed di dati YARA sul crimeware – Regole per l’individuazione di artefatti di crimeware nelle reti locali.
Ciclo di aggiornamento di tre ore – Nuovi record vengono aggiunti dopo ogni pubblicazione dei rapporti sul crimeware.
Distribuzione tramite HTTPS e TAXII – Download con certificato client o accesso TAXII basato su token.
Importante – Non sono inclusi indicatori IP; il feed IP è concesso in licenza separatamente.

Quali sono i principali vantaggi dei Kaspersky Threat Data Feeds - Crimeware IOC?

I Kaspersky Threat Data Feeds - Crimeware IOC sono un abbonamento a tre feed di indicatori leggibili da macchina che coprono campagne di crimine informatico a scopo di lucro. Non dispongono di una console né di un proprio agente: i dati vengono utilizzati dal SIEM, dalla piattaforma di threat intelligence o dai controlli di sicurezza di rete già in uso.

Indicatori collegati ai report – Ogni voce è riconducibile a un report sul crimeware pubblicato.
Formati indipendenti dal fornitore – L’output JSON è convertibile in STIX, OpenIOC, CSV o Snort.
Integrazione con i SIEM esistenti – Sono disponibili connettori per Splunk, QRadar, ArcSight, Sentinel e MISP.
Ricerca retrospettiva – Le regole YARA effettuano la ricerca nei file archiviati dopo la generazione di un avviso.
Priorità degli avvisi – I campi contestuali consentono agli analisti di classificare le corrispondenze prima dell’escalation.
Arricchimento del firewall – Le liste di blocco ad alta affidabilità arricchiscono le politiche dei firewall di nuova generazione.

Per aziende di quali dimensioni è adatto Kaspersky Threat Data Feeds - Crimeware IOC?

Si tratta di un prodotto di dati, non di un prodotto di protezione. È vantaggioso solo se si dispone già di un sistema in grado di confrontare gli indicatori con gli eventi in tempo reale e se un analista esamina i risultati. Un’azienda sprovvista di un SIEM, di una piattaforma di threat intelligence o di un firewall compatibile con gli IOC non ha nulla in cui inserire i dati.

Test dei programmi antivirus: i migliori programmi antivirus per Windows
Per le aziende sprovviste di un SIEM, questo confronto riguarda il livello di protezione degli endpoint che deve essere implementato prima che i dati di intelligence sulle minacce diventino utili.

I Kaspersky Threat Data Feeds - Crimeware IOC soddisfano i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo si applica ai gestori di infrastrutture critiche indicati nella legge riveduta sulla sicurezza dell’informazione, tra cui l’approvvigionamento energetico e idrico, le imprese di trasporto, gli ospedali elencati, i fornitori di servizi cloud e di data center, nonché le amministrazioni cantonali e comunali. A partire dal 1° aprile 2025 queste organizzazioni dovranno segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta, con ulteriori 14 giorni a disposizione per completare una prima segnalazione incompleta. Questo feed supporta il contenuto di tale segnalazione in un modo specifico: una corrispondenza di hash o di dominio che rimanda a un «Kaspersky Crimeware Report» specificato fornisce al team addetto alla segnalazione un’attribuzione e una descrizione della campagna già nelle prime ore, anziché un file binario non identificato. Non rileva l’attacco, non produce dati di telemetria, non conserva una cronologia degli eventi e non offre alcun flusso di lavoro per la segnalazione; pertanto, il rilevamento, la cronologia e la segnalazione stessa provengono comunque dalla vostra protezione degli endpoint, dall’EDR e dal SIEM. L’eventuale assoggettamento della vostra organizzazione all’obbligo di segnalazione dipende dal settore e dalla funzione in cui opera, e il presente testo non costituisce un parere legale.

Kaspersky Threat Data Feeds - Crimeware IOC soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto garantisce di per sé la conformità alla direttiva NIS 2, poiché la direttiva riguarda le misure organizzative e la responsabilità gestionale piuttosto che le funzionalità del software. La NIS 2 richiede alle entità interessate di disporre di politiche di analisi dei rischi, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di fornitura, sicurezza nell’acquisizione e nello sviluppo, procedure per valutare l’efficacia delle misure, cyberigiene e formazione, crittografia, controllo degli accessi e autenticazione a più fattori. Questo feed contribuisce a due di queste categorie: la gestione degli incidenti, abbreviando la fase di identificazione grazie al contesto degli indicatori, e la sicurezza della catena di fornitura, coprendo l’infrastruttura fraudolenta utilizzata contro i fornitori e i loro clienti. Non apporta alcun contributo alla continuità operativa, al controllo degli accessi, all’autenticazione multifattoriale, alla crittografia, alla formazione o alla gestione e divulgazione delle vulnerabilità. Inoltre, non fornisce alcuna prova della valutazione dell’efficacia delle misure prevista dalla direttiva, che rimane un compito di documentazione a carico della vostra organizzazione.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Sono in vigore due provvedimenti ufficiali riguardanti il fornitore. L’Ufficio federale tedesco per la sicurezza informatica ha emesso un avviso il 15 marzo 2022 raccomandando di sostituire le applicazioni del portafoglio di software antivirus di Kaspersky con prodotti alternativi; l’ufficio ha dichiarato di non aver effettuato alcuna valutazione di altri prodotti Kaspersky. Tale avviso rimane pubblicato e, poiché la legge modificata è entrata in vigore il 6 dicembre 2025, è disciplinato dall’articolo 13 della BSIG. Separatamente, il 20 giugno 2024 il Bureau of Industry and Security del Dipartimento del Commercio degli Stati Uniti ha emesso una decisione definitiva che vieta a Kaspersky di stipulare nuovi accordi con soggetti statunitensi a partire dal 20 luglio 2024 e di fornire aggiornamenti delle firme e del codice sorgente o di gestire il Kaspersky Security Network negli Stati Uniti a partire dal 29 settembre 2024; tre entità di Kaspersky sono state aggiunte all’Entity List. Kaspersky respinge l’avvertimento tedesco in quanto ingiustificato e ha continuato a intraprendere azioni legali contro di esso, affermando al momento della decisione statunitense che tale provvedimento non incide sulla sua capacità di vendere servizi di intelligence sulle minacce e formazione negli Stati Uniti. Nessuna delle due misure si basa sulla constatazione che i dati di ricerca di Kaspersky siano tecnicamente inesatti; entrambe riguardano la giurisdizione del fornitore e la fiducia nei suoi confronti. In pratica ciò è particolarmente rilevante per gli appalti del settore pubblico, per i fornitori degli enti federali tedeschi e per le organizzazioni i cui clienti applicano criteri relativi all’origine del fornitore negli appalti, e la decisione spetta all’acquirente.

Norton contro Kaspersky: quale programma antivirus offre la migliore protezione?
Un confronto diretto tra i prodotti di protezione dei due fornitori, utile se l’ufficio appalti vi ha chiesto di documentare che è stata valutata un’alternativa.

I «Kaspersky Threat Data Feeds - Crimeware IOC» sono d’aiuto per i questionari sulla sicurezza dei grandi clienti?

In parte, e solo nella sezione dedicata alla threat intelligence. Risponde alle domande relative all’eventuale abbonamento a servizi commerciali di threat intelligence, ai tipi di indicatori acquisiti, alla frequenza di aggiornamento dei contenuti di rilevamento e al fatto che gli indicatori riportino una provenienza che un analista possa ricondurre a un rapporto di origine. Non fornisce alcuna risposta nel resto, di gran lunga più ampio, di un questionario tipico: nessuna copertura per la protezione degli endpoint, nessuna gestione delle patch, nessuna crittografia, nessuna autenticazione a più fattori, nessun backup e ripristino, nessun controllo degli accessi, nessun periodo di conservazione dei log, nessun processo documentato di risposta agli incidenti, nessuna certificazione del sistema di gestione dell’acquirente stesso e nessun elenco dei sub-responsabili del trattamento. Inoltre, può sollevare una domanda anziché risolverne una, poiché nelle domande ai fornitori compaiono sempre più spesso voci relative all’origine del fornitore e questo feed introduce nella risposta un fornitore con sede in Russia. Il modo più economico per colmare le lacune tecniche è solitamente optare per un’edizione superiore all’interno della famiglia Kaspersky Next, che copre endpoint, EDR e reportistica di gestione in un’unica risposta del fornitore, anziché combinare i feed di un fornitore con la protezione di un altro e dover fornire spiegazioni per entrambi.

Qual è la differenza tra IOC relativi al crimeware e IOC relativi alle APT?

La differenza determinante è l’autore dell’attacco oggetto di monitoraggio, non la qualità dei dati. Gli IOC relativi al crimeware coprono le campagne motivate da fini finanziari descritte nei Kaspersky Crimeware Reports, ovvero quelle che la maggior parte delle aziende commerciali si trova effettivamente ad affrontare. Gli IOC APT riguardano campagne mirate condotte da attori di minacce persistenti avanzate (APT) e sono rilevanti nei casi in cui un’organizzazione abbia motivo di aspettarsi un interesse legato a entità statali. La seconda differenza pratica riguarda la copertura degli indicatori di rete: il pacchetto APT include un feed IP, mentre quello Crimeware no.

Quali limitazioni è necessario conoscere prima dell'acquisto?

Per quanto riguarda la disponibilità a livello regionale, il divieto statunitense sopra descritto costituisce la restrizione rilevante: Kaspersky non può stipulare nuovi accordi con soggetti statunitensi e, sebbene il fornitore affermi che le informazioni sulle minacce non ne siano influenzate, un acquirente con entità statunitensi o personale con sede negli Stati Uniti dovrebbe chiarire questo aspetto prima dell’acquisto. Il pacchetto contiene esclusivamente hash, domini e regole YARA; il feed di dati IP sul crimeware è presente nel catalogo Kaspersky ma è concesso in licenza separatamente, il che rappresenta l’acquisto aggiuntivo più comune. Poiché i nuovi record compaiono al momento della pubblicazione di un «Crimeware Report» anziché in modo continuo, si tratta di un feed curato per campagne specifiche e non di una lista di blocco di massa ad alto volume, ruolo ricoperto dai feed separati «Malicious URL» e «Malicious Hash». L’utilizzo delle regole YARA richiede un motore di scansione in grado di eseguirle, cosa che non tutti i SIEM forniscono. Infine, il feed da solo non protegge nulla: senza una protezione degli endpoint o un EDR a supporto, una corrispondenza segnala che si è verificato un incidente ma non è in grado di fermarlo.

Il miglior antivirus: perché Windows Defender da solo non basta
Spiega perché il livello di protezione integrato in Windows presenta delle lacune che le fonti di rilevamento aggiuntive sono destinate a colmare.

Domande frequenti sui feed di dati sulle minacce di Kaspersky - IOC relativi al crimeware

Questo feed sostituisce l’antivirus o l’EDR?

No. Contiene dati, non un motore di protezione, e non installa alcun agente su alcun dispositivo. Viene acquistato in aggiunta alla protezione degli endpoint, non al posto di essa.

È possibile utilizzare il feed senza Kaspersky CyberTrace?

Sì. Il feed viene fornito tramite HTTPS con un certificato client Kaspersky, e i feed più richiesti sono disponibili anche tramite TAXII con autenticazione basata su token, quindi qualsiasi sistema in grado di gestire tali formati funzionerà. Kaspersky CyberTrace è un prodotto separato che esegue la corrispondenza prima che gli eventi raggiungano il SIEM, riducendo così il carico sul SIEM, ma non è obbligatorio.

In che modo si differenzia dai feed «Malicious Hash» e «Malicious URL»?

I feed «Malicious Hash» e «Malicious URL» coprono in modo ampio il malware prevalente ed emergente e sono progettati per il blocco di grandi volumi. Crimeware IOC ha un ambito più ristretto ed è orientato agli analisti: ogni indicatore appartiene a una campagna di frode documentata, il che rende possibile l’attribuzione durante un’indagine.