Kaspersky Anti Targeted Attack Platform Advanced

Cosa include Kaspersky Anti Targeted Attack Platform Advanced?

Analisi del traffico di rete  – Regole IDS, identificazione tramite impronta digitale TLS e reputazione degli URL sul traffico replicato.
Sandbox avanzata – Esegue il test di sicurezza su oggetti sospetti provenienti da web, posta elettronica ed endpoint.
Console web centrale –  Un'unica interfaccia on-premise per avvisi, indagini e risposta.
Arricchimento delle informazioni sulle minacce – Dati di Kaspersky Security Network mappati sulle tecniche MITRE ATT&CK.
Risposta a livello di gateway – L’integrazione ICAP blocca gli oggetti a livello di proxy e gateway di posta.
Importante – Non sono inclusi antivirus, gestione delle patch, crittografia né copertura per dispositivi mobili.

Il miglior antivirus? Perché Windows Defender da solo non basta.
Spiega perché una piattaforma di rilevamento si sovrappone a un livello di protezione degli endpoint anziché sostituirlo.

Quali sono i principali vantaggi di Kaspersky Anti Targeted Attack Platform Advanced?

Kaspersky Anti Targeted Attack Platform è una soluzione anti-APT on-premise che combina il rilevamento e la risposta di rete con una sandbox integrata, gestita da un’unica console web centrale sui propri server fisici o virtuali. In precedenza, Kaspersky commercializzava la soluzione come KATA Platform in bundle con Kaspersky EDR Expert; quella linea di prodotti per gli endpoint è ora venduta separatamente come Kaspersky Next EDR Expert.

Visibilità completa della rete – Rilevamento IDS sul traffico mirrorato senza agenti endpoint installati.
Esecuzione isolata dei file – Valutazioni della sandbox senza esporre i sistemi di produzione ai campioni.
Priorità degli avvisi – Il punteggio automatizzato riduce il lavoro manuale di triage per gli analisti.
Integrazione nativa con Kaspersky – Funziona con Secure Mail Gateway e Web Traffic Security.
Elaborazione locale dei dati – Funziona sui propri server fisici o virtuali.
Acquisizione dei pacchetti collegata agli avvisi – Il file PCAP allegato agli avvisi IDS documenta ciò che è realmente accaduto.

Per aziende di quali dimensioni è adatta la piattaforma Kaspersky Anti Targeted Attack Platform Advanced?

Questa piattaforma presuppone che qualcuno legga gli avvisi di rete e agisca di conseguenza. Kaspersky la propone alle grandi imprese dotate di un SOC o di un team dedicato alla sicurezza informatica, nonché alle organizzazioni di medie dimensioni che non possono avvalersi di analisi basate sul cloud. Un’azienda priva di personale di sicurezza interno genererà avvisi che nessuno analizzerà.

Kaspersky Anti Targeted Attack Platform Advanced soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla revisione della legge sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche, non a tutte le aziende svizzere, ed è in vigore dal 1° aprile 2025. Le organizzazioni interessate devono presentare una segnalazione iniziale all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta di un attacco informatico, seguita da una segnalazione completa entro 14 giorni. La piattaforma supporta direttamente la fase di rilevamento: gli avvisi IDS, i verdetti della sandbox e la cattura dei pacchetti archiviata con ciascun avviso forniscono una registrazione con indicazione temporale di ciò che è stato rilevato sulla rete, che costituisce la materia prima per la segnalazione entro 24 ore e per il follow-up dettagliato. Non rileva ciò che non può vedere, quindi i segmenti senza mirroring del traffico e gli endpoint privi di un agente Kaspersky rimangono al di fuori del suo campo visivo, e non copre affatto l’aspetto organizzativo: nessun processo di risposta agli incidenti, nessun flusso di lavoro definito per la segnalazione, nessun responsabile designato, nessuna segnalazione al BACS. Inoltre, non sostituisce la protezione degli endpoint, il backup o il controllo degli accessi, che sono le misure che determinano in primo luogo se un incidente viene contenuto. Questa descrizione non costituisce un parere legale; è necessario chiarire con il proprio consulente legale se la vostra organizzazione sia soggetta all’obbligo di segnalazione.

Kaspersky Anti Targeted Attack Platform Advanced soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’azienda conforme alla direttiva NIS 2, poiché la direttiva riguarda l’organizzazione e la sua gestione dei rischi, non il singolo software. La direttiva NIS 2 richiede che gli enti essenziali e importanti mettano in atto misure in categorie definite: analisi dei rischi e politiche di sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, sicurezza nell’acquisizione e nella manutenzione delle reti e dei sistemi informativi, procedure per valutare l’efficacia delle misure, cyberigiene e formazione, crittografia, sicurezza delle risorse umane e controllo degli accessi, nonché autenticazione a più fattori. Questa piattaforma contribuisce in modo sostanziale a due di esse. Supporta la gestione degli incidenti rilevando indicatori a livello di rete quali il traffico di comando e controllo, i movimenti laterali e l’esfiltrazione dei dati, e supporta la valutazione dell’efficacia generando dati di allerta che indicano se il monitoraggio sta effettivamente funzionando. Le restanti categorie non vengono affrontate: la piattaforma non fornisce alcuna funzionalità di crittografia, autenticazione a più fattori, backup o continuità operativa, controllo degli accessi, gestione delle vulnerabilità o delle patch, né alcuna componente formativa. La sicurezza della catena di fornitura è un aspetto particolare da approfondire in questa sede, poiché la questione relativa al fornitore descritta di seguito rientra essa stessa in tale categoria.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Sono state verificate e sono tuttora in vigore due misure adottate dalle autorità nei confronti del fornitore. Il Dipartimento del Commercio degli Stati Uniti, tramite il proprio Ufficio per l’Industria e la Sicurezza, ha emesso una Determinazione Definitiva il 20 giugno 2024 che vieta a Kaspersky di stipulare nuove transazioni con soggetti statunitensi a partire dal 20 luglio 2024, nonché di fornire aggiornamenti delle firme e del codice sorgente o di gestire il Kaspersky Security Network per soggetti statunitensi a partire dal 29 settembre 2024. L’Ufficio federale tedesco per la sicurezza informatica (BSI) ha sconsigliato l’uso del software antivirus Kaspersky sin dal 15 marzo 2022; tale avviso rimane pubblicato e, a seguito del decreto di attuazione tedesco entrato in vigore il 6 dicembre 2025, è ora emanato ai sensi dell’articolo 13 della legge sul BSI. Kaspersky respinge l’avvertimento tedesco ritenendolo ingiustificato e afferma che non si basava su un’analisi tecnica del proprio software, richiamandosi alla propria Iniziativa di Trasparenza Globale, in base alla quale i dati relativi alle minacce provenienti dagli utenti europei vengono elaborati in due centri dati a Zurigo dal novembre 2018 e il codice sorgente può essere esaminato presso i propri centri di trasparenza. Entrambe le azioni delle autorità riguardano la fiducia nel fornitore e il rischio legato alla catena di approvvigionamento piuttosto che le prestazioni di rilevamento pubblicate, e nessuna delle due autorità ha affermato che la tecnologia di rilevamento in sé sia carente. In pratica, ciò è particolarmente rilevante per tre gruppi: gli enti del settore pubblico e i loro fornitori, le aziende i cui grandi clienti impongono requisiti relativi all’origine del fornitore tramite contratti o questionari, e qualsiasi gruppo che includa entità statunitensi o persone statunitensi nel proprio ambito di applicazione. Per un’azienda privata svizzera o dell’UE priva di tali requisiti, si tratta di una decisione da documentare piuttosto che di un ostacolo.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Un confronto diretto tra i due fornitori in termini di protezione, utile come base di riferimento se la scelta del fornitore è oggetto di discussione a livello interno.

Kaspersky Anti Targeted Attack Platform Advanced è d’aiuto per i questionari sulla sicurezza richiesti dai grandi clienti?

Sì, per quanto riguarda il blocco relativo al rilevamento e al monitoraggio, ma non va molto oltre. Risponde a domande sul monitoraggio della sicurezza di rete, sul rilevamento delle intrusioni, sulla capacità di analisi del malware, sull’uso delle informazioni sulle minacce, sulla registrazione degli eventi di sicurezza e sulla possibilità di indagare e rispondere centralmente agli incidenti rilevati. La mappatura al framework MITRE ATT&CK è spesso accettata come prova per la domanda relativa ai framework di copertura del rilevamento. Non risponde a nessuna delle seguenti domande: implementazione della protezione degli endpoint e tasso di copertura, gestione delle patch e delle vulnerabilità, crittografia dei dati inattivi e in transito, autenticazione a più fattori, test di backup e ripristino, gestione delle identità e degli accessi, completezza dell’inventario delle risorse e formazione sulla consapevolezza della sicurezza. Non risponde inoltre alle domande relative alla provenienza del fornitore, all’esposizione a sanzioni o alle restrizioni della catena di approvvigionamento, che compaiono sempre più spesso nei questionari dei grandi clienti e dei clienti del settore pubblico, e in cui le valutazioni sopra descritte costituiscono il contributo rilevante. Per colmare le lacune tecniche, la soluzione più economica consiste solitamente nel rimanere all’interno della stessa famiglia: Kaspersky Endpoint Security copre gli aspetti relativi alla protezione degli endpoint e alla gestione della crittografia, mentre il passaggio al livello KATA Ultra aggiunge le funzionalità Expert EDR e XDR native che rispondono alle domande relative al rilevamento degli endpoint, anziché aggiungere un secondo fornitore e una seconda console.

Test: Programmi antivirus: I migliori programmi antivirus per Windows 2025
Confronta i prodotti di protezione degli endpoint Windows che si collocherebbero al di sotto di questa piattaforma e rispondono alle questioni relative agli endpoint che essa lascia aperte.

Qual è la differenza tra KATA, KATA NDR Enhanced e KATA Ultra?

L’unica differenza determinante è che solo KATA Ultra include le capacità Expert EDR e la funzionalità XDR nativa; gli altri due livelli operano esclusivamente sul lato rete. La seconda differenza riguarda la profondità dell’analisi di rete: il livello base KATA rileva il traffico nord-sud tramite regole IDS, fingerprinting TLS e reputazione degli URL, mentre KATA NDR Enhanced aggiunge l’ispezione approfondita dei pacchetti, il rilevamento est-ovest, la mappa di rete e il modulo di inventario, il rilevamento delle anomalie e dello shadow IT, nonché il traffico grezzo archiviato per l’analisi retrospettiva. La sandbox avanzata, l’arricchimento delle informazioni sulle minacce e la risposta tramite gateway ICAP sono presenti in tutti e tre i livelli. Kaspersky non rende noto a quale livello corrisponda un’offerta al dettaglio etichettata come “Advanced”, pertanto è necessario verificare l’ambito funzionale prima di effettuare l’ordine.

Quali limitazioni è necessario conoscere prima dell’acquisto?

Il punto più importante a livello regionale: i prodotti di sicurezza informatica e antivirus di questo fornitore non possono essere venduti né aggiornati per soggetti statunitensi, il che riguarda qualsiasi gruppo che includa un’entità statunitense, e Kaspersky Security Network non funziona sui sistemi statunitensi. Il secondo punto riguarda l’ambito di applicazione. Si tratta di una piattaforma di rilevamento, non di protezione degli endpoint; pertanto, per fornire i dati di telemetria degli endpoint, richiede la presenza di Kaspersky Endpoint Security sugli host e di Kaspersky Security Center versione 14.2 o superiore, e il componente EDR (KATA) non può essere eseguito sullo stesso endpoint di EDR Optimum o EDR Expert. Il monitoraggio degli endpoint copre Windows e Linux; macOS e i dispositivi mobili sono completamente esclusi dall’ambito della telemetria, e la gestione delle patch e la crittografia non fanno parte del prodotto in nessun livello. L’implementazione avviene in locale sui propri server fisici o virtuali, il che significa che è necessario il mirroring delle porte o un tap di rete sui segmenti che si desidera monitorare, oltre a personale addetto al dimensionamento e alla manutenzione dei server dei sensori e del nodo centrale. Infine, poiché “Advanced” è un’etichetta commerciale piuttosto che un nome ufficiale di livello Kaspersky, verificate con il vostro fornitore quale dei tre livelli funzionali sia effettivamente coperto dall’offerta prima di effettuare l’ordine.

Domande frequenti su Kaspersky Anti Targeted Attack Platform Advanced

Questa piattaforma sostituisce l’antivirus sulle workstation e sui server?

No. Analizza il traffico di rete e neutralizza gli oggetti sospetti, ma non protegge gli endpoint. Kaspersky Endpoint Security rimane necessario sugli host, e i suoi componenti File Threat Protection, Behavior Detection e Host Intrusion Prevention sono prerequisiti indispensabili affinché la funzionalità dell’agente KATA possa funzionare.

Dove vengono elaborati i dati?

Gli avvisi, i metadati del traffico e i risultati della sandbox rimangono sui vostri server, poiché la piattaforma viene implementata in locale. Le ricerche di reputazione inviate a Kaspersky Security Network sono una questione a parte: i dati relativi alle minacce provenienti dagli utenti europei vengono elaborati in due data center a Zurigo dal novembre 2018 nell’ambito della Global Transparency Initiative del fornitore.

È possibile inoltrare gli avvisi a un sistema SIEM esistente?

Sì. La piattaforma offre un’integrazione nativa con i sistemi SIEM, inclusi Kaspersky SIEM e strumenti di terze parti, e supporta ICAP e un’API per la scansione degli oggetti, l’inoltro degli avvisi e le azioni di risposta da sistemi esterni. Questo è importante se il vostro SOC effettua già la correlazione in uno strumento centrale e non desidera una seconda console come area di lavoro principale.