Kaspersky Threat Data Feeds Whitelisting

Cosa comprende la funzione "Whitelisting" dei feed di dati sulle minacce di Kaspersky?

Feed di dati per la whitelist – Informazioni sistematiche e costantemente aggiornate sul software legittimo.
Formati leggibili da macchina – Forniti come file JSON, CSV, OpenIoC o STIX.
Distribuzione tramite HTTPS e TAXII – Recuperati dai vostri sistemi secondo una pianificazione prestabilita.
Supporto SIEM e TIP – Sono supportate le piattaforme QRadar, ArcSight, Splunk, MISP e altre.
Dati di origine verificati – Aggregati dal Kaspersky Security Network e dai team di ricerca.
Importante – Non sono inclusi né console, né agenti, né funzioni di blocco.

Quali sono i principali vantaggi del servizio Kaspersky Threat Data Feeds Whitelisting?

Il Kaspersky Threat Data Feeds Whitelisting è un abbonamento a un singolo feed all’interno della famiglia Kaspersky Threat Intelligence e fornisce dati relativi a software noti come legittimi, anziché al software stesso. Non è presente alcuna console di gestione: il feed viene scaricato dal proprio SIEM, dalla piattaforma di threat intelligence o da Kaspersky CyberTrace, ed è lì che avviene la corrispondenza.

Meno falsi positivi – Gli oggetti noti come sicuri vengono filtrati prima che gli analisti li vedano.
Triage più rapido degli avvisi – Gli analisti smettono di rianalizzare file già dimostratisi non dannosi.
Minore carico di lavoro per il SIEM – Un numero inferiore di eventi raggiunge il livello di correlazione e archiviazione.
Distribuzione solo in formato testo – Nessun codice eseguibile viene eseguito all’interno della vostra infrastruttura.
Integrazione indipendente dal fornitore – Utilizzabile senza che sia installato alcun prodotto Kaspersky per endpoint.
Supporta il controllo delle applicazioni – I feed consentono di definire liste di autorizzazione nelle soluzioni e nei servizi di terze parti.

Per aziende di quali dimensioni è adatto il Kaspersky Threat Data Feeds Whitelisting?

Si tratta di un prodotto per le operazioni di sicurezza, non di un prodotto per piccole imprese. È vantaggioso solo se all’interno della vostra organizzazione è già in funzione un sistema che acquisisce dati sugli indicatori e li confronta con gli eventi. Un’azienda sprovvista di una piattaforma SIEM o di threat intelligence non ha nulla in cui inserirli.

Kaspersky Threat Data Feeds Whitelisting soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

Nessun singolo prodotto di sicurezza soddisfa di per sé i requisiti della legge sulla sicurezza dell’informazione (LSI) nella sua versione aggiornata. Dal 1° aprile 2025, i gestori di infrastrutture critiche in Svizzera devono segnalare gli attacchi informatici che rientrano nei criteri previsti all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta, con ulteriori 14 giorni a disposizione per completare una prima segnalazione che, per forza di cose, era incompleta. Il termine di 24 ore rappresenta un problema di triage prima ancora che di segnalazione, ed è proprio qui che il feed offre il suo contributo: rimuovere dalla coda degli avvisi i file già dimostratisi legittimi riduce il tempo necessario agli analisti per decidere se un evento costituisca un incidente segnalabile. Ciò che il feed non fa è rilevare l’attacco, generare il rapporto, registrare chi ha scoperto cosa e in quale momento, né conservare le prove per la successiva presentazione: questi aspetti sono di competenza della vostra piattaforma di monitoraggio, della protezione degli endpoint e del vostro processo documentato di gestione degli incidenti. Il presente testo costituisce un’informazione generale sul prodotto e non una consulenza legale; per chiarire se la vostra organizzazione sia soggetta all’obbligo di segnalazione, è necessario rivolgersi a un consulente legale qualificato.

Il servizio di whitelisting dei feed di dati sulle minacce di Kaspersky soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto garantisce di per sé la conformità alla direttiva NIS 2, e qualsiasi fornitore che affermi il contrario sta descrivendo una strategia di marketing piuttosto che la direttiva stessa. La direttiva NIS 2 richiede alle entità essenziali e importanti di attuare misure di gestione del rischio che coprano la gestione degli incidenti, la sicurezza delle reti e dei sistemi informativi, la sicurezza della catena di approvvigionamento, la continuità operativa e la segnalazione di incidenti significativi. Questo feed riguarda solo una parte circoscritta di ciò: migliora il rapporto segnale-rumore nel monitoraggio della sicurezza, in modo che gli eventi che meritano di essere segnalati siano più facili da distinguere dall’attività di routine. Non apporta alcun contributo ai flussi di lavoro relativi alla gestione degli incidenti, al controllo degli accessi, alla crittografia, alla pianificazione della continuità operativa, alla formazione del personale o alla valutazione dei rischi dei fornitori, e di per sé non genera alcuna traccia di audit. Consideratelo come un contributo che migliora una capacità di rilevamento che già utilizzate, non come una misura che potete presentare di per sé.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

In Svizzera, l’Ufficio federale per la sicurezza informatica (BACS) non emette raccomandazioni a favore o contro singoli prodotti e non ha pubblicato alcun avviso riguardante Kaspersky; ha dichiarato che informerebbe il pubblico qualora ricevesse prove confermate di un uso improprio. In Germania, l’Ufficio federale per la sicurezza informatica (BSI) ha sconsigliato l’uso del software antivirus Kaspersky a partire dal 15 marzo 2022. Tale avviso è ancora in vigore nel 2026, si riferisce specificatamente al software antivirus piuttosto che all’intera gamma di prodotti Kaspersky, e Kaspersky l’ha contestata pubblicamente, sottolineando l’archiviazione dei dati in Svizzera, i propri centri di trasparenza e l’assenza di qualsiasi incidente confermato, e segnalando l’intenzione di intraprendere azioni legali all’inizio del 2026 qualora l’avviso non venisse ritirato. Negli Stati Uniti, il Dipartimento del Commercio ha emesso una «Determinazione definitiva» il 20 giugno 2024 che vieta a Kaspersky di fornire software antivirus e prodotti di sicurezza informatica a soggetti statunitensi, con il divieto di rivendita, integrazione e concessione di licenze a partire dal 29 settembre 2024. Un dettaglio di tale decisione è particolarmente rilevante in questo contesto: essa non si applica esplicitamente ai prodotti e servizi di Kaspersky Threat Intelligence di natura puramente informativa, categoria alla quale appartiene questo feed. In pratica, ciò riguarda tre gruppi di acquirenti: le organizzazioni con entità statunitensi o con obblighi contrattuali nei confronti di soggetti statunitensi, gli enti del settore pubblico tedesco e le organizzazioni che seguono le linee guida del BSI, nonché qualsiasi fornitore i cui grandi clienti verifichino il paese di origine del fornitore nelle procedure di appalto. I test di rilevamento indipendenti condotti dai laboratori antivirus riguardano i motori endpoint di Kaspersky e non fanno alcun riferimento a un feed di dati testuali; pertanto, non costituiscono un indicatore utile per questo prodotto in alcun modo. La decisione spetta a voi, in base ai vostri requisiti contrattuali e di settore.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Un confronto diretto tra i due fornitori in termini di prestazioni di rilevamento e funzionalità.

La funzione di whitelisting dei feed di dati sulle minacce di Kaspersky è utile per i questionari sulla sicurezza dei grandi clienti?

In parte, e solo in una sezione di un questionario tipico. Fornisce una risposta concreta alle domande che chiedono se si utilizzano fonti esterne di intelligence sulle minacce, se il monitoraggio si avvale di dati di reputazione provenienti da una fonte esterna al proprio ambiente e se si adottano misure attive per ridurre l’affaticamento da allarmi durante il triage. Non risponde a nient’altro. Le domande relative alla copertura della protezione degli endpoint, allo stato delle patch, alla crittografia dei dispositivi mobili, ai test di backup e ripristino, all’autenticazione a più fattori, alle revisioni degli accessi, ai periodi di conservazione dei log, ai tempi di risposta agli incidenti e alla formazione sulla consapevolezza del personale rimangono tutte senza risposta, così come qualsiasi domanda che richieda di fornire prove o rapporti, poiché questo prodotto non ne genera alcuno. Esiste inoltre un tipo di domanda in cui il feed può giocare a vostro sfavore: alcuni questionari vi chiedono di dichiarare il paese di origine dei vostri fornitori di sicurezza, e un fornitore con sede in Russia richiederà una spiegazione indipendentemente da come viene fornito il prodotto. Se le lacune sono effettivamente quelle che dovete colmare, un abbonamento più ampio a Kaspersky Threat Intelligence, che copre i feed degli indicatori di minacce e la reportistica, di solito costa meno e causa meno problemi di integrazione rispetto all’assemblaggio di una copertura equivalente da diversi fornitori.

Qual è la differenza tra il feed di dati di whitelist e i feed di indicatori di attività dannose?

La differenza fondamentale sta nella direzione: il feed di dati per la whitelist indica ai vostri sistemi ciò che è noto essere sicuro, mentre i feed relativi agli indicatori di attività dannosa indicano loro ciò che è noto essere pericoloso. Ciò significa che il feed per la whitelist non è in grado di rilevare nulla da solo: può solo sopprimere il rumore generato da qualcos’altro. Gli acquirenti che lo acquistano aspettandosi una copertura di rilevamento hanno acquistato il feed sbagliato. Entrambi sono forniti negli stessi formati leggibili da macchina ed entrambi richiedono un motore di corrispondenza da parte vostra, quindi il lavoro di integrazione è lo stesso in entrambi i casi.

Quali limitazioni è necessario conoscere prima dell’acquisto?

L'acquisto successivo più comune è proprio il livello di corrispondenza: il feed è costituito da dati testuali e occorre uno strumento che li confronti con il flusso di eventi dell'utente, il che in pratica significa un SIEM esistente, una piattaforma di intelligence sulle minacce o Kaspersky CyberTrace come componente separato. Il secondo aspetto riguarda l’ambito di applicazione: questo feed riduce il rumore ma non aggiunge alcuna capacità di rilevamento, quindi un centro operativo di sicurezza che lo acquisti isolatamente avrà comunque bisogno dei feed degli indicatori di attività dannose per ottenere una copertura completa. Per quanto riguarda la disponibilità a livello regionale, la "Final Determination" statunitense contro Kaspersky esclude espressamente i prodotti di intelligence sulle minacce puramente informativi; tuttavia, un’entità statunitense del vostro gruppo dovrebbe comunque confermare la propria posizione prima dell’implementazione, mentre le organizzazioni che seguono le linee guida del BSI tedesco avranno bisogno di una giustificazione interna, anche se tale avviso riguarda il software antivirus piuttosto che i feed di dati. Infine, l’attuale panoramica pubblica dei feed di Kaspersky promuove un sottoinsieme diverso dei suoi oltre 25 feed e non elenca il feed di whitelisting per nome; pertanto, è necessario confermare l’esatto pacchetto attuale con il proprio distributore prima di pianificare un’integrazione basata su di esso.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove la protezione integrata presenta delle lacune e quali livelli di protezione un’azienda deve ancora aggiungere autonomamente.

Domande frequenti sui feed di dati sulle minacce di Kaspersky e sulla whitelist

Questo feed sostituisce il controllo delle applicazioni o il software di whitelisting?

No. Il software di controllo delle applicazioni applica una politica su un endpoint e blocca ciò che non è consentito. Questo feed fornisce dati di riferimento sul software legittimo che un sistema di questo tipo, o un servizio di terze parti, può consultare al momento di prendere tale decisione. La componente di applicazione rimane un prodotto da acquistare e gestire separatamente.

Cosa succede se un file legittimo non è presente nel feed?

Non viene bloccato nulla, poiché il feed non esegue blocchi. Un file non presente nell’elenco semplicemente non riceve alcuna conferma di legittimità, quindi rimane in coda e viene gestito dal normale processo di analisi. Le applicazioni interne, gli script personalizzati e i file binari appena compilati rientreranno regolarmente in questa categoria, cosa di cui vale la pena tenere conto quando si stima il volume di triage che il feed eliminerà effettivamente.