Kaspersky Threat Data Feeds Transforms for Maltego XM/Classic

Cosa è incluso nei "Kaspersky Threat Data Feeds Transforms" per Maltego?

Set di trasformazioni Maltego – Funziona all’interno del client desktop Maltego, senza bisogno di installare agenti.
Arricchimento degli indicatori – Aggiunge verdetti e contesto a URL, domini, indirizzi IP e hash.
Analisi incrociata delle relazioni – Segue le catene di download, l’hosting e le relazioni tra i file sul grafico.
Collegamenti ai rapporti sulle minacce – Collega gli indicatori ai rapporti Kaspersky sulle minacce APT e finanziarie.
Kaspersky Threat Lookup – Supportato dai dati osservabili raccolti da Kaspersky nel corso di vent’anni.
Importante – Nessun agente, nessuna console, nessun blocco; solo arricchimento.

Quali sono i principali vantaggi di Kaspersky Threat Data Feeds Transforms per Maltego?

Si tratta di un’estensione investigativa per il client di analisi dei collegamenti Maltego, documentata dal fornitore come Kaspersky Transforms for Maltego e venduta nei cataloghi al dettaglio con il nome di Threat Data Feeds. Non è prevista alcuna console di gestione né alcuna politica centrale: ogni analista installa il set di trasformazioni nel proprio client Maltego, pertanto il modello di gestione è autonomo per ogni singola workstation.

Triage più rapido – I verdetti appaiono sul grafico senza dover passare a un portale.
Pivot visivo – Un unico grafico mostra l’infrastruttura alla base di un singolo indicatore.
Contesto di attribuzione – Collega gli indicatori a campagne APT e di criminalità finanziaria ben identificate.
Meno cambi di strumento – Sostituisce il copia-incolla manuale in portali di ricerca separati durante la valutazione.
Filtraggio basato su dati noti – I dati degli oggetti legittimi separano i file puliti da quelli sconosciuti.
Nessuna infrastruttura – Funziona come servizio senza necessità di ospitare nulla localmente.

Per aziende di quali dimensioni è adatto Kaspersky Threat Data Feeds Transforms per Maltego?

Il fattore determinante non è il numero di dipendenti, ma la presenza all’interno dell’organizzazione di qualcuno che analizzi effettivamente gli indicatori. Questo prodotto non genera avvisi autonomi, ma risponde alle domande che un analista si pone già. Senza una persona che apra un grafico e ne esplori i dettagli, la licenza rimane inutilizzata.

I Kaspersky Threat Data Feeds Transforms per Maltego soddisfano i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione introdotto dalla revisione della Legge sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche, tra cui i servizi di approvvigionamento energetico e idrico, le imprese di trasporto, gli ospedali elencati, i fornitori di servizi cloud e di data center, nonché le amministrazioni cantonali e comunali; non si applica alla maggior parte delle aziende ordinarie. Le organizzazioni interessate devono segnalare un attacco informatico rilevante all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta, con un ulteriore periodo di tempo per completare la segnalazione iniziale. Entro quel primo giorno, il team incaricato della segnalazione deve descrivere cosa è stato attaccato e con quali mezzi, ed è proprio in questo punto specifico che il prodotto si rivela utile: un analista può ricondurre un indicatore rilevato alla sua infrastruttura ospitante, alla sua catena di download e a qualsiasi campagna nota, e inserire tale descrizione nella segnalazione. Il prodotto non rileva l’incidente, non conserva i log provenienti dal proprio ambiente, non preserva le prove e non genera né invia il rapporto autonomamente; pertanto, da solo, non soddisfa nessuno degli obblighi previsti. Il rilevamento e la registrazione dei log che generano il rapporto devono provenire da altri sistemi. Il presente testo descrive le funzionalità del prodotto e non costituisce una consulenza legale.

Kaspersky Threat Data Feeds Transforms per Maltego soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto software rende un’organizzazione conforme alla direttiva NIS 2, poiché la direttiva riguarda la responsabilità gestionale, l’organizzazione e i processi piuttosto che gli strumenti. La NIS 2 richiede una serie di categorie di misure: analisi dei rischi e politiche di sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, sicurezza nell’acquisizione e nella manutenzione dei sistemi, procedure per valutare l’efficacia delle misure, igiene informatica di base e formazione, crittografia, controllo degli accessi e gestione delle risorse, nonché autenticazione a più fattori. Questo prodotto riguarda esattamente una di queste categorie, e solo in parte: supporta la fase di analisi della gestione degli incidenti aggiungendo un contesto esterno agli indicatori già raccolti da un analista. Non apporta alcun contributo alla pianificazione della continuità operativa, alla valutazione della catena di fornitura, al controllo degli accessi, alla crittografia, all’autenticazione a più fattori, alla gestione delle risorse, alla formazione o alle prove documentate dell’efficacia delle misure. Gli acquirenti che lo valutano come elemento costitutivo della NIS 2 dovrebbero considerarlo come un ausilio per una singola attività all’interno di una categoria di misure, non come una copertura completa di tale categoria.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Nel marzo 2022 l’Ufficio federale tedesco per la sicurezza informatica (BSI) ha emesso un avviso pubblico contro l’uso del software antivirus Kaspersky, il primo avviso di questo tipo mai pubblicato nei confronti del segmento di prodotti di un determinato produttore. L’avviso rimane in vigore fino al 2026; il BSI ha confermato di continuare a mantenerlo e fa riferimento alle motivazioni originariamente addotte, che riguardano la fiducia nell’affidabilità del produttore e nella sua capacità di agire in modo indipendente, piuttosto che a qualsiasi difetto specifico riscontrato nel codice. Kaspersky respinge tale valutazione, ha chiesto pubblicamente il ritiro dell’avviso, afferma di aver subito un danno commerciale sostanziale e si è riservata il diritto di intraprendere azioni legali. A parte ciò, nel 2024 gli Stati Uniti hanno vietato la vendita e la distribuzione dei prodotti Kaspersky. Test di laboratorio indipendenti, quali AV-TEST e AV-Comparatives, valutano i prodotti di rilevamento di Kaspersky e non si pronunciano su questo servizio di intelligence, pertanto non forniscono alcuna prova in merito. In pratica ciò riguarda gli acquirenti nell’ambito degli appalti del settore pubblico, gli operatori di infrastrutture critiche e i fornitori i cui grandi clienti impongono restrizioni relative al paese di origine ai fornitori; un’organizzazione commerciale priva di tali requisiti non è legalmente impedita dall’effettuare acquisti in Svizzera o nell’Unione Europea. La decisione spetta all’acquirente e dovrebbe essere documentata insieme a qualsiasi politica esistente relativa alla catena di fornitura.

I feed di dati sulle minacce di Kaspersky trasformati per Maltego aiutano a compilare i questionari sulla sicurezza richiesti dai grandi clienti?

In parte, e solo in un ambito molto specifico. Fornisce una risposta difendibile alle domande che chiedono se si sia abbonati a servizi commerciali di intelligence sulle minacce oltre alle fonti gratuite e se il proprio team sia in grado di indagare e contestualizzare un indicatore di compromissione (IoC) anziché limitarsi a registrarlo. Non risponde a nient’altro. I questionari chiedono abitualmente informazioni sulla protezione degli endpoint implementata, sulla copertura e la conservazione dei dati EDR, sulla frequenza delle patch, sull’autenticazione a più fattori, sulla crittografia dei laptop e dei supporti rimovibili, sulla registrazione centralizzata e sui periodi di conservazione dei log, sui test di backup e ripristino, sulla scansione delle vulnerabilità e sulle revisioni periodiche degli accessi, e questo prodotto non affronta nessuno di questi aspetti. Le lacune riguardano quasi esclusivamente la protezione e il rilevamento degli endpoint, che all’interno dello stesso portafoglio del fornitore si riferiscono alla linea di prodotti Kaspersky Next piuttosto che all’acquisto di un secondo servizio di intelligence. Gli acquirenti soggetti alle norme sugli appalti del settore pubblico o a restrizioni sui fornitori imposte dai clienti dovrebbero partire dal presupposto che dovranno procurarsi quel livello di protezione degli endpoint da un altro produttore e pianificare le risposte al questionario tenendo conto di tale separazione sin dall’inizio, anziché scoprirlo durante un audit.

Qual è la differenza tra l’accesso Demo e l’accesso Commerciale?

La differenza fondamentale sta nel set di dati che risponde alla vostra query. L’accesso Demo esegue le trasformazioni utilizzando il Kaspersky Open Threat Intelligence Portal, il servizio di ricerca pubblico gratuito, mentre l’accesso Commerciale le esegue utilizzando il Kaspersky Threat Intelligence Portal completo, basato su Threat Lookup. L’accesso Demo limita inoltre il numero di trasformazioni di relazione che possono essere eseguite, il che rende il pivoting dei grafi poco pratico al di là di una breve valutazione. L’accesso commerciale è ciò che rende il prodotto utilizzabile per il lavoro quotidiano sui casi ed è anche il livello al quale gli indicatori possono essere collegati ai report di Kaspersky APT Intelligence e Financial Threat Intelligence.

Quali limitazioni è necessario conoscere prima dell'acquisto?

Si tratta di un componente aggiuntivo e non di un acquisto autonomo: richiede un client Maltego funzionante con una licenza Maltego valida, e l’uso commerciale richiede l’accesso al Kaspersky Threat Intelligence Portal; pertanto, un acquirente che non possiede né l’uno né l’altro dovrà effettuare tre acquisti distinti anziché uno solo. La disponibilità a livello regionale è limitata in un modo che potrebbe sorprendere alcuni acquirenti: i prodotti Kaspersky non potranno essere venduti o distribuiti negli Stati Uniti a seguito del divieto del 2024, il che è rilevante per le organizzazioni con filiali americane o società madri americane, anche quando l’entità svizzera o europea è libera di effettuare l’acquisto. I nomi delle edizioni riportati nel titolo di vendita al dettaglio si riferiscono a Maltego Classic e Maltego XL, edizioni di licenza che Maltego ha smesso di vendere nel 2020 e non rinnova; pertanto, chiunque acquisti oggi una nuova licenza Maltego riceverà invece un piano attuale e dovrà verificare la compatibilità delle trasformazioni prima di effettuare l’ordine. Le query stesse escono dalla rete, il che è un aspetto da tenere in seria considerazione quando l’indicatore oggetto di indagine è di per sé sensibile. Infine, si tratta di uno strumento analitico interattivo piuttosto che di un feed automatizzato, quindi non invia gli indicatori a un SIEM o a un firewall e non riduce di per sé il volume degli avvisi.

Domande frequenti sui feed di dati sulle minacce di Kaspersky (Kaspersky Threat Data Feeds) per Maltego

Con quali versioni di Maltego funziona?

Il set di trasformazioni viene distribuito tramite il Maltego Transform Hub e si installa nel client desktop di Maltego. Maltego Classic e Maltego XL, citati nel titolo del prodotto al dettaglio, non sono più in vendita dal 2020 e non possono essere rinnovati, sebbene le chiavi esistenti continuino a funzionare fino alla scadenza dell’abbonamento. Gli acquirenti che iniziano da zero dovrebbero verificare con il fornitore su quale piano Maltego attuale siano supportate le trasformazioni prima dell’acquisto.

Gli indicatori che analizziamo escono dalla nostra rete?

Sì. Quando viene eseguita una trasformazione, la richiesta viaggia dal client Maltego al Maltego Transform Distribution Server, quindi al servizio Kaspersky, che interroga il Threat Intelligence Portal e restituisce il risultato seguendo lo stesso percorso. Kaspersky crittografa il traffico ma dichiara esplicitamente di non essere responsabile dei dati inviati dal client Maltego al server di distribuzione delle trasformazioni; pertanto, i team che indagano su incidenti riservati dovrebbero considerare gli indicatori inviati come divulgati a due parti esterne.

Si tratta dello stesso servizio dei Kaspersky Threat Data Feeds per un SIEM?

No, anche se la denominazione commerciale li fa sembrare simili. I "Threat Data Feeds" leggibili da macchina sono un’offerta separata nel portafoglio di Kaspersky Threat Intelligence, progettata per essere integrata in modo continuo da un SIEM o da una piattaforma di sicurezza. Questo prodotto è l’integrazione interattiva con Maltego: un analista richiede informazioni su un indicatore specifico e ottiene una risposta su un grafico. Le organizzazioni che desiderano una correlazione automatizzata tra tutti i propri log necessitano dell’abbonamento al feed in sostituzione o in aggiunta a questa soluzione.