Kaspersky Anti Targeted Attack Platform Standard

Cosa comprende la piattaforma Kaspersky Anti Targeted Attack Platform Standard?

Nodo centrale – Server principale che memorizza i verdetti ed esegue i motori di rilevamento.
Sensore di rete – Riceve il traffico SPAN replicato e lo analizza con le regole IDS.
Sandbox avanzata – Esegue l’esecuzione di oggetti sospetti in sistemi operativi virtuali isolati.
Analisi della reputazione degli URL – Verifica file e link confrontandoli con la Kaspersky Security Network.
Risposta guidata dalla rete – Blocco a livello di gateway tramite integrazione ICAP con i server proxy.
Importante – EDR, protezione degli endpoint e gestione delle patch non sono incluse.

Quali sono i principali vantaggi di Kaspersky Anti Targeted Attack Platform Standard?

Kaspersky Anti Targeted Attack Platform Standard è una piattaforma anti-APT on-premise che analizza il traffico di rete replicato ed esegue il test di sicurezza degli oggetti sospetti in una sandbox; Kaspersky ora commercializza la linea semplicemente come Kaspersky Anti Targeted Attack, quindi le vecchie schede di prodotto che riportano il suffisso «Platform» si riferiscono alla stessa famiglia. Ogni componente viene amministrato da un’unica console web self-hosted sul server del nodo centrale, senza il coinvolgimento di alcun tenant cloud.

Rileva i dispositivi non gestiti – Copre gli host su cui non è possibile installare alcun agente endpoint.
Nessuna dipendenza dal cloud – Funziona interamente on-premise con i dati che rimangono all’interno dell’azienda.
Integra i sistemi SIEM esistenti – Pubblica avvisi tramite syslog e un’API REST.
Integrazione con il sensore di posta – Secure Mail Gateway può fungere da sensore di rete.
Multitenancy per i provider – Separa i tenant tra Nodi Centrali Primari e Secondari.
Traccia documentata degli avvisi – Avvisi con data e ora utilizzabili come prove nei rapporti sugli incidenti.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega quali fasi dell’attacco sfuggono all’antivirus degli endpoint e perché è necessario aggiungere un livello di rilevamento a livello di rete.

Per aziende di quali dimensioni è adatta la Kaspersky Anti Targeted Attack Platform Standard?

La piattaforma presuppone che qualcuno legga gli avvisi. È adatta alle organizzazioni dotate di un team di sicurezza o di un SOC esterno che già effettua quotidianamente il triage degli eventi; un’azienda priva di tale capacità genererà avvisi a cui nessuno darà seguito.

Kaspersky Anti Targeted Attack Platform Standard soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

Dal 1° aprile 2025 la revisione della Legge sulla sicurezza dell’informazione (LSI) obbliga i gestori di infrastrutture critiche in Svizzera a segnalare gli attacchi informatici significativi all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla loro individuazione, con ulteriori 14 giorni a disposizione per completare la segnalazione. L’obbligo riguarda settori quali l’energia, l’approvvigionamento idrico, la sanità, la finanza, le telecomunicazioni, i trasporti e le amministrazioni cantonali e comunali, piuttosto che tutte le aziende, e dal 1° ottobre 2025 la mancata segnalazione potrà essere sanzionata con una multa fino a 100'000 CHF. All’interno di quella finestra temporale di 24 ore, la piattaforma contribuisce alla fase di rilevamento: gli avvisi IDS con data e ora, i verdetti della sandbox e la cattura dei pacchetti allegata a un avviso forniscono al team addetto alla segnalazione un’ora approssimativa di inizio dell’attacco, gli indirizzi interni interessati e un hash dell’oggetto. La piattaforma non presenta la segnalazione, non decide se un incidente superi la soglia di segnalazione e, in questo livello, non memorizza il traffico grezzo per analisi retrospettive; pertanto, qualsiasi evento precedente all’avviso corrente deve essere ricostruito a partire da altri log. Il presente testo costituisce un’informazione per l’acquirente e non una consulenza legale; per chiarire se la propria organizzazione rientri nell’obbligo di segnalazione, è necessario rivolgersi al proprio consulente legale.

Kaspersky Anti Targeted Attack Platform Standard soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto garantisce la conformità alla direttiva NIS 2, poiché la direttiva impone obblighi alle organizzazioni e ai loro dirigenti, non ai fornitori di software. La NIS 2 richiede categorie di misure che includono analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, sicurezza nell’acquisizione e nella manutenzione, procedure per valutare l’efficacia delle misure, cyberigiene e formazione, crittografia, controllo degli accessi e gestione delle risorse, nonché autenticazione a più fattori. Questo prodotto si concentra sulla gestione degli incidenti e sulla parte relativa al rilevamento della sicurezza delle reti e dei sistemi informativi: monitora il traffico replicato alla ricerca di intrusioni, assegna priorità agli avvisi e li esporta tramite syslog in modo che possano essere correlati a livello centrale. Non apporta alcun contributo alla continuità operativa e al backup, alla crittografia, al controllo degli accessi, alla gestione delle risorse o all’autenticazione a più fattori, e non copre gli endpoint a meno che non si disponga di una licenza di livello superiore. La sicurezza della catena di approvvigionamento viene affrontata solo indirettamente, attraverso la visibilità sul traffico tra la rete dell’utente e le connessioni esterne.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Il 20 giugno 2024 il Dipartimento del Commercio degli Stati Uniti ha emesso una Determinazione Definitiva nell’ambito della propria autorità sulla catena di approvvigionamento ICTS che vieta a Kaspersky di stipulare nuovi accordi con soggetti statunitensi a partire dal 20 luglio 2024, e, a partire dal 29 settembre 2024, vietando inoltre gli aggiornamenti delle firme antivirus e del codice sorgente, il funzionamento del Kaspersky Security Network negli Stati Uniti, nonché la rivendita, la concessione in licenza o l’integrazione del software di sicurezza informatica di Kaspersky da parte di soggetti statunitensi. L’Ufficio federale tedesco per la sicurezza informatica ha messo in guardia contro l’uso del software antivirus Kaspersky dal 15 marzo 2022; tale avviso è ancora pubblicato ed è stato emesso ai sensi della sezione 13 della BSIG dal 6 dicembre 2025. Entrambe le misure rimangono in vigore. La Svizzera non ha adottato alcuna misura analoga: la BACS ha dichiarato che non esistono direttive interne né divieti relativi ai prodotti Kaspersky e che emette avvertimenti solo laddove disponga di prove tecniche confermate di un rischio per la sicurezza. Kaspersky respinge tali valutazioni, descrive l’avviso tedesco come non basato su un’analisi tecnica oggettiva del proprio software e fa riferimento ai propri centri di trasparenza e alle verifiche condotte da terzi. Il riconoscimento del prodotto in sé è una questione distinta dalla valutazione politica: Kaspersky è stata nominata «Leader» nella SPARK Matrix del QKS Group per il rilevamento e la risposta di rete nel 2025. In pratica, le restrizioni incidono sugli acquirenti con una società madre statunitense, contratti federali statunitensi o clienti i cui requisiti di fornitura escludono i fornitori soggetti a un avviso nazionale; un’azienda svizzera o dell’UE senza tale esposizione non incontra ostacoli legali all’acquisto, ma deve aspettarsi che la questione venga sollevata durante gli audit e nei questionari per i fornitori.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Confronta le prestazioni di rilevamento di entrambi i fornitori, utile se si sta valutando un fornitore alternativo alla luce delle valutazioni di cui sopra.

La piattaforma Kaspersky Anti Targeted Attack Platform Standard è d’aiuto per i questionari sulla sicurezza dei grandi clienti?

In parte, e solo dal punto di vista della rete. Risponde direttamente se il traffico di rete viene monitorato continuamente per individuare eventuali intrusioni, se i file sospetti vengono analizzati in una sandbox prima che raggiungano gli utenti, se gli avvisi sono contrassegnati con data e ora e inoltrati a un SIEM e se la risposta agli incidenti si basa su un rilevamento tecnico. Non risponde a nessuna delle voci relative agli endpoint — protezione degli endpoint, telemetria EDR, controllo dei dispositivi e delle applicazioni, stato delle patch, crittografia del disco, gestione dei dispositivi mobili — né a nulla riguardante il backup, la continuità operativa, la gestione delle identità o degli accessi. In questo livello, inoltre, non è in grado di rispondere a domande relative all’analisi retrospettiva del traffico o a un inventario completo delle risorse di rete, poiché l’archiviazione del traffico grezzo, la tabella delle sessioni di rete e il modulo di inventario appartengono al livello NDR Enhanced. Per colmare le lacune relative agli endpoint, passare a KATA Ultra o aggiungere Kaspersky Next EDR Expert della stessa famiglia è in genere più economico rispetto all’abbinamento di un prodotto di rete di un fornitore con un prodotto per endpoint di un altro, poiché i risultati rimangono in un’unica console invece di dover essere correlati manualmente.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni di servizio.
Tratta le questioni relative alla continuità operativa e al backup a cui questa piattaforma non risponde, ma che compaiono in quasi tutti i questionari dei fornitori.

Qual è la differenza tra le edizioni KATA, NDR Enhanced e Ultra?

La differenza fondamentale sta nel punto in cui avviene il rilevamento. Il livello base ispeziona il traffico nord-sud che passa attraverso il sensore, NDR Enhanced aggiunge il traffico est-ovest, l’ispezione approfondita dei pacchetti, una mappa di rete e un modulo di inventario, mentre Ultra aggiunge anche il rilevamento e la risposta sugli endpoint. Il livello base non archivia il traffico grezzo, quindi una volta scaduto un avviso non rimane nulla da riesaminare; anche il rilevamento delle anomalie e quello dello shadow IT iniziano a partire da NDR Enhanced. Gli scenari XDR nativi, in cui i verdetti relativi alla rete e agli endpoint si correlano automaticamente, sono disponibili solo nella versione Ultra. La documentazione ufficiale di Kaspersky denomina i tre livelli KATA, KATA NDR Enhanced e KATA Ultra; pertanto, prima di effettuare l’ordine, è opportuno verificare quale dei tre sia incluso nell’offerta al dettaglio.

Quali limitazioni è necessario conoscere prima dell’acquisto?

La restrizione regionale in questo caso è opposta a quella usuale: il software non può essere venduto, rivenduto, concesso in licenza o integrato in prodotti destinati a soggetti statunitensi, pertanto un gruppo svizzero o dell’UE con filiali negli Stati Uniti non può standardizzarlo in tutte le sedi. La piattaforma rileva solo il traffico che raggiunge effettivamente il sensore, il che significa che è necessario configurare prima il mirroring SPAN, ERSPAN o RSPAN sugli switch, mentre il traffico crittografato viene ispezionato solo se sul proxy è già in esecuzione la sostituzione del certificato SSL. Non esiste una console cloud: Central Node, Sensor e Sandbox girano sui propri server o macchine virtuali, il che aiuta a garantire la residenza dei dati ma comporta un dispendio di tempo amministrativo per i team che non vogliono gestire gli appliance. L’acquisto successivo più frequente riguarda la copertura degli endpoint, poiché gli avvisi indicano regolarmente un host che questo livello non è in grado né di esaminare né di isolare. La mancanza di rilevamento delle anomalie, di rilevamento dello shadow IT e di analisi retrospettiva dei pacchetti sono gli altri motivi comuni per cui gli acquirenti passano a un livello superiore poco dopo l’implementazione.

Domande frequenti su Kaspersky Anti Targeted Attack Platform Standard

È possibile utilizzarla senza inviare dati ai servizi cloud di Kaspersky?

Sì. Le ricerche di reputazione per file e URL possono essere indirizzate alla Kaspersky Private Security Network (KPSN) anziché alla Kaspersky Security Network pubblica, il che mantiene le richieste all’interno della propria infrastruttura. Questa è la configurazione usuale per le organizzazioni che non possono inviare metadati a un servizio di reputazione esterno.

Un server di posta può fungere da sensore?

Sì. Kaspersky Secure Mail Gateway e Kaspersky Security for Linux Mail Server possono essere configurati come sensori di posta e inoltrare copie dei messaggi al nodo centrale per la scansione e l’esecuzione in ambiente sandbox. È supportata anche l’integrazione con un server di posta tramite POP3.