Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base

Cosa include Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base?

Protezione degli endpoint ICS – Protezione da malware, crittografi e prevenzione degli exploit per i nodi Windows.
Agente EDR – Telemetria, percorso di diffusione degli attacchi e azioni di risposta per ciascun nodo.
Controllo delle applicazioni e dei dispositivi – Controllo dell’avvio, regole USB, gestione Wi-Fi e firewall.
Verifica dell’integrità dei progetti PLC – Rileva le modifiche ai progetti Siemens, Schneider Electric e CODESYS.
Gestione centralizzata – Politiche e attività da Kaspersky Security Center in locale.
Importante – Solo nodi workstation; i server ICS e Linux richiedono licenze separate.

Quali sono i principali vantaggi di Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base?

Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise è il livello di protezione, rilevamento e risposta degli endpoint della piattaforma Kaspersky Industrial CyberSecurity, concesso in licenza per nodi di classe workstation Windows quali pannelli operatore, HMI e workstation di progettazione. Viene gestito centralmente da Kaspersky Security Center, che si esegue sulla propria infrastruttura, e la versione Base identifica una nuova licenza anziché la variante Renewal o Cross-grade dello stesso prodotto.

Risposta senza rischi per il processo – Le azioni non interferiscono con il processo industriale senza l’intervento dell’operatore.
Individuazione della causa principale in poche ore – Il percorso di diffusione dell’attacco sostituisce la ricostruzione manuale dei log dopo gli incidenti.
Scansione IoC su tutti gli endpoint – Un unico indicatore controlla ogni nodo con licenza anziché singolarmente.
Implementazione senza riavvio – Installazione, aggiornamento e upgrade senza la necessità di un riavvio durante la finestra di manutenzione.
Aggiornamenti in modalità "air-gapped" – I database possono essere aggiornati in reti prive di accesso a Internet.
Supporto per nodi legacy – Funziona su macchine con Windows XP SP2 ancora in uso nella produzione.

Il miglior antivirus? Perché Windows Defender da solo non basta.
Spiega dove si ferma la protezione integrata in Windows e cosa aggiunge un prodotto dedicato agli endpoint.

Per aziende di quali dimensioni è adatto Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base?

Il numero di dipendenti non è il parametro giusto in questo caso. Ciò che conta è se gestite un ambiente ICS o SCADA basato su Windows e se all’interno della vostra organizzazione c’è qualcuno che effettivamente aprirà e gestirà gli avvisi EDR generati dal prodotto.

Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L'obbligo di segnalazione si applica ai gestori di infrastrutture critiche, non a tutte le aziende industriali: fornitori di energia e acqua, operatori dei trasporti, autorità cantonali e comunali e determinati fornitori di hardware e software utilizzati da tali gestori. A partire dal 1° aprile 2025, la legge riveduta sulla sicurezza dell’informazione richiede una segnalazione iniziale all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta di un attacco informatico significativo, seguita da una segnalazione completa entro 14 giorni; la mancata segnalazione è soggetta a sanzioni a partire dal 1° ottobre 2025. L’agente EDR supporta tale scadenza in un modo specifico: i dati di telemetria raccolti e il percorso di diffusione dell’attacco consentono a un team OT di stabilire cosa sia stato eseguito, su quale nodo e in quale ordine, ovvero esattamente ciò da cui dipende la decisione da prendere entro 24 ore. Il monitoraggio dell’integrità dei file, l’ispezione del registro eventi di Windows e il controllo dell’integrità dei progetti PLC forniscono le prove necessarie per il rapporto di follow-up da presentare entro 14 giorni. Ciò che il prodotto non fa è decidere se un incidente sia segnalabile, coprire la parte di rete di un attacco, coprire i server ICS o i nodi Linux con questa licenza, né monitorare nulla al di fuori dell’orario di lavoro del proprio team. La presente descrizione non costituisce un parere legale e l’eventuale assoggettamento della propria organizzazione all’obbligo di segnalazione deve essere chiarito con un consulente legale qualificato.

Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base soddisfa i requisiti della normativa europea in materia di sicurezza informatica?

Nessun prodotto garantisce di per sé la conformità alla direttiva NIS 2, poiché la direttiva impone obblighi all’organizzazione e al suo organo di gestione, non al software che essa acquista. La direttiva NIS 2 richiede misure di gestione del rischio in categorie definite, tra cui l’analisi dei rischi e le politiche di sicurezza dei sistemi informativi, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento, la sicurezza nell’acquisizione e nella manutenzione (compresa la gestione delle vulnerabilità), le misure di base di cyberigiene, la crittografia, il controllo degli accessi e l’autenticazione a più fattori. Questo prodotto contribuisce alla gestione degli incidenti attraverso il rilevamento, la ricostruzione delle cause alla radice e le azioni di risposta documentate sulle workstation coperte; alla cyberigiene attraverso il controllo dell’avvio delle applicazioni e le regole relative ai dispositivi rimovibili; e alla gestione delle vulnerabilità attraverso l’audit di sicurezza basato su OVAL, che identifica e segnala i punti deboli ma non li risolve. Non apporta alcun contributo alla crittografia, al controllo degli accessi, all’autenticazione a più fattori, alla continuità operativa, al backup o alla sicurezza della catena di fornitura, e ciascuna di queste aree richiede una misura separata. Il rilevamento a livello di rete e l’inventario delle risorse OT, presupposti per molte di queste categorie, sono forniti da Kaspersky Industrial CyberSecurity for Networks, un prodotto separato che non fa parte di questa licenza.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Il 20 giugno 2024 il Dipartimento del Commercio degli Stati Uniti, tramite il proprio Ufficio per l’Industria e la Sicurezza, ha emesso una Determinazione Definitiva che vieta a Kaspersky di stipulare nuove transazioni con soggetti statunitensi a partire dal 20 luglio 2024, nonché di fornire aggiornamenti delle firme o del codice sorgente o di gestire il Kaspersky Security Network negli Stati Uniti a partire dal 29 settembre 2024. La rivendita del software Kaspersky o la sua integrazione in altri prodotti è stata vietata a partire dalla stessa data. Tale decisione rimane in vigore. L’Ufficio federale tedesco per la sicurezza informatica ha sconsigliato l’uso dell’antivirus Kaspersky sin dal marzo 2022 e ha confermato che il proprio avviso restava valido anche a seguito delle misure statunitensi; si tratta di una raccomandazione, non di un divieto di vendita. Non vi è alcun divieto di vendita in Svizzera né nell’Unione Europea, dove i prodotti continuano a essere venduti e aggiornati. Kaspersky respinge queste valutazioni in quanto basate sulla situazione geopolitica piuttosto che su prove di comportamenti illeciti nei propri prodotti, e fa riferimento alla propria Iniziativa Globale per la Trasparenza, che comprende strutture per il trattamento dei dati e la revisione del codice sorgente a Zurigo. Le misure delle autorità si basano sulla giurisdizione del fornitore e sul rischio che ne deriva, non su risultati pubblicati relativi a codice dannoso. In pratica, questo aspetto è rilevante se la vostra organizzazione ha una sede o personale negli Stati Uniti, se partecipate a gare d’appalto del settore pubblico tedesco, o se i vostri clienti applicano norme sugli appalti che escludono i fornitori soggetti alla giurisdizione russa, cosa comune proprio nelle catene di approvvigionamento delle infrastrutture critiche per cui questo prodotto è stato concepito. Nessuna edizione del prodotto modifica questo aspetto.

Norton vs. Kaspersky: quale programma antivirus offre la migliore protezione?
Confronta le prestazioni di rilevamento dei due fornitori indipendentemente dal dibattito normativo.

Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base è d’aiuto per i questionari sulla sicurezza richiesti dai grandi clienti?

Sì, per quanto riguarda gli aspetti relativi agli endpoint, e solleverà anche una questione a cui nessun prodotto può rispondere. Risponde a domande sulla protezione dal malware per i nodi ICS, l’elenco delle applicazioni consentite, il controllo dei supporti rimovibili e del Wi-Fi, la gestione del firewall host, il monitoraggio dell’integrità dei file e del registro di sistema, l’ispezione del registro eventi di Windows, la gestione centralizzata delle politiche con accesso basato sui ruoli in Kaspersky Security Center e l’audit ricorrente delle vulnerabilità e delle configurazioni rispetto ai contenuti OVAL. Risponde inoltre alla domanda relativa al rilevamento e alla risposta con elementi concreti: telemetria per singolo nodo, ricostruzione del percorso dell’attacco e registrazione delle azioni di risposta intraprese. Non risponde alle domande relative al monitoraggio della rete o all’inventario delle risorse OT, alla gestione delle patch, alla crittografia dei dischi o dei supporti rimovibili, all’autenticazione a più fattori e alla gestione delle identità, al backup e al ripristino, né al monitoraggio continuo al di fuori dell’orario di lavoro; inoltre, in base a questa licenza, non risponde alle domande relative alla copertura dei server ICS o dei nodi Linux. Inoltre, non risolve la questione relativa alla giurisdizione del fornitore e all’esposizione alle sanzioni descritta nella sezione precedente. Per colmare le lacune tecniche, rimanere all’interno della stessa famiglia di prodotti è solitamente la soluzione più economica: la licenza «Server node» copre i server ICS e SCADA, «Kaspersky Industrial CyberSecurity for Linux Nodes» copre Linux e «Kaspersky Industrial CyberSecurity for Networks» copre la rete e le voci dell’inventario delle risorse. Il monitoraggio continuo deve essere gestito con personale, sia con turni a cura dell’azienda stessa sia tramite un servizio gestito.

Qual è la differenza tra KICS for Nodes Workstation e KICS for Nodes Workstation EDR?

La differenza fondamentale è l’agente EDR: solo la variante EDR raccoglie i dati telemetrici degli endpoint, quindi solo essa consente di ricostruire lo sviluppo di un incidente e di eseguire azioni di risposta sul nodo dalla console. Entrambe le varianti installano gli stessi componenti di protezione e controllo, pertanto le funzionalità di protezione antimalware, controllo dell’avvio delle applicazioni, controllo dei dispositivi e integrità dei progetti PLC sono identiche. Scegliete la variante non EDR se avete solo bisogno di prevenire e bloccare, e la variante EDR se dovete anche spiegare in seguito cosa è successo, come richiesto da un obbligo di segnalazione o da una revisione dell’incidente da parte del cliente. Nessuna delle due varianti copre i server ICS o SCADA, che sono concessi in licenza separatamente come nodi server.

Quali limitazioni è necessario conoscere prima dell'acquisto?

La limitazione più rilevante è di natura regionale: in base al divieto del Dipartimento del Commercio degli Stati Uniti, il prodotto non può essere fornito né aggiornato a soggetti statunitensi, il che è rilevante se il vostro gruppo industriale ha una sede negli Stati Uniti, una società madre statunitense o personale statunitense nella rete dello stabilimento. La licenza copre esclusivamente i nodi Windows di classe workstation, pertanto i server ICS e SCADA richiedono la licenza per nodi Server, mentre i nodi Linux necessitano di Kaspersky Industrial CyberSecurity for Linux Nodes; questa è di gran lunga la causa più comune di un acquisto successivo. La gestione centralizzata richiede che si gestisca autonomamente Kaspersky Security Center, poiché non esiste una console cloud ospitata dal fornitore per questo prodotto; pertanto, qualcuno deve possedere e mantenere quel server. Il prodotto rileva solo gli endpoint, il che significa che il rilevamento delle anomalie di rete, l’analisi del traffico e l’inventario delle risorse OT provengono da Kaspersky Industrial CyberSecurity for Networks. Non è prevista la gestione delle patch, né quella della crittografia, né la protezione dei dispositivi mobili o della posta elettronica, né il backup; inoltre, non è incluso alcun servizio di monitoraggio gestito, pertanto ogni avviso viene gestito dal proprio team.

La perdita di dati è costosa: come i backup aiutano a evitare interruzioni di servizio.
Tratta gli aspetti relativi al backup e al ripristino che la protezione degli endpoint e l’EDR tralasciano volutamente.

Domande frequenti su Kaspersky Industrial CyberSecurity for Nodes Workstation EDR Enterprise Base

Quali piattaforme PLC sono coperte dal controllo dell’integrità del progetto?

Kaspersky elenca Siemens SIMATIC S7-300, S7-400, S7-400H, S7-1200 e S7-1500, oltre a SIPROTEC 4, Schneider Electric Modicon M340 e M580, dispositivi basati su CODESYS V3 e Fastwel CPM723-01. Il controllo rileva le modifiche apportate ai progetti PLC utilizzati nel sistema industriale, rendendo così visibili le modifiche ingegneristiche non autorizzate.

Il prodotto può funzionare senza bloccare nulla su un nodo di produzione?

Sì. È disponibile una modalità di solo rilevamento, che consente di eseguire l’agente su nodi sensibili e raccogliere i risultati prima che venga attivata qualsiasi regola di blocco. In combinazione con l’installazione modulare, in cui si selezionano solo i componenti desiderati, questo è il modo usuale di introdurre il prodotto su una linea in funzione.