Kaspersky Industrial CyberSecurity Integration Agent Enterprise Base

Cosa comprende Kaspersky Industrial CyberSecurity Integration Agent?

Collegamento del sensore endpoint – Collega gli host di KICS for Nodes al server di KICS for Networks.
Trasferimento dei dati di telemetria dell’host – Applicazioni in esecuzione, utenti connessi e comunicazioni di rete dell’host.
Inoltro degli eventi – Gli eventi di sicurezza di KICS for Nodes raggiungono la console di rete.
Arricchimento delle risorse – Attributi dei dispositivi e stato di protezione visualizzati sulla mappa di rete.
Segnalazione di antivirus di terze parti – Segnala al server gli strumenti antivirus di terze parti installati.
Importante – Non dispone di una propria console, richiede KICS for Nodes e KICS for Networks.

Quali sono i principali vantaggi di Kaspersky Industrial CyberSecurity Integration Agent?

L’Integration Agent è il componente con licenza che trasforma un host industriale su cui è già in esecuzione Kaspersky Industrial CyberSecurity for Nodes in un sensore endpoint per il server Kaspersky Industrial CyberSecurity for Networks. Non dispone di un’interfaccia propria e viene distribuito e configurato centralmente da Kaspersky Security Center, dove in precedenza questo ruolo di integrazione era svolto da Kaspersky Endpoint Agent.

Triage più rapido degli incidenti – Gli avvisi di rete arrivano con il contesto del processo e dell’utente.
Meno punti ciechi – Gli host protetti appaiono automaticamente sulla mappa delle risorse OT.
Audit basato su agente – Supporta l’audit dei nodi senza la necessità di una copia del traffico dagli switch.
Un unico stack del fornitore – Riutilizza il percorso di distribuzione esistente di Kaspersky Security Center.
Basso rischio di cambiamento – Aggiunge il monitoraggio senza alterare la configurazione del sistema di controllo.
Tipo di licenza base – Un nuovo acquisto anziché un rinnovo o un cross-grade.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove si ferma la protezione integrata di Windows e di quali livelli di rilevamento aggiuntivi ha ancora bisogno un ambiente industriale o aziendale.

Per aziende di quali dimensioni è adatto Kaspersky Industrial CyberSecurity Integration Agent?

Questo non è un punto di partenza per un primo progetto di sicurezza OT. Offre valore aggiunto solo se entrambi i componenti della piattaforma sono già presenti: KICS for Nodes sugli host industriali e un server KICS for Networks che raccoglie gli avvisi. Questa combinazione è tipica di siti di produzione, aziende di servizi energetici e idrici e grandi operatori di impianti con una funzione dedicata al monitoraggio OT, ed è raramente presente in una piccola officina.

Kaspersky Industrial CyberSecurity Integration Agent soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

La legge sulla sicurezza dell’informazione, nella sua versione aggiornata, obbliga i gestori di infrastrutture critiche in Svizzera, tra cui fornitori di energia e acqua, operatori dei trasporti e alcuni fornitori industriali, a segnalare gli attacchi informatici all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla loro individuazione. Tale segnalazione deve specificare cosa è accaduto, quando è stato rilevato e quali sistemi sono stati colpiti, ed è proprio qui che entra in gioco l’Integration Agent: i nomi dei processi, gli utenti connessi e le comunicazioni di rete dell’host che inoltra trasformano un semplice allarme di rete nella console KICS for Networks in un incidente che un ingegnere può effettivamente descrivere. Non redige la segnalazione, non decide se sia necessario presentarla e non archivia le prove autonomamente, poiché l’archiviazione e la conservazione degli eventi sono funzioni del server KICS for Networks piuttosto che dell’agente. Inoltre, non rileva nulla al di fuori degli host su cui è installato, pertanto l’IT aziendale, i servizi cloud, gli accessi di manutenzione remota e i dispositivi sul campo non gestiti rimangono esclusi e richiedono una registrazione separata. Il presente testo non costituisce un parere legale e la valutazione dei propri obblighi di segnalazione dovrebbe essere effettuata con l’ausilio di un supporto legale qualificato.

Kaspersky Industrial CyberSecurity Integration Agent soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto software rende un’azienda conforme alla direttiva NIS 2, poiché la direttiva riguarda l’organizzazione e i suoi processi piuttosto che un singolo strumento. La NIS 2 richiede che gli enti essenziali e importanti adottino misure di gestione del rischio che coprano la gestione degli incidenti, il monitoraggio e la registrazione della sicurezza, la continuità operativa, la sicurezza della catena di approvvigionamento, il controllo degli accessi e la formazione del personale, nonché segnalino gli incidenti significativi alle autorità competenti entro i termini definiti. L’Integration Agent supporta concretamente due di queste categorie: fornisce dati di monitoraggio a livello di host al livello di rilevamento di rete e riduce il tempo necessario per ricostruire l’impatto di un evento rilevato sulla macchina interessata. Non apporta alcun contributo alla continuità operativa, al backup e al ripristino, al controllo degli accessi, alla gestione dei fornitori, alla formazione o alla documentazione di governance, e non effettua direttamente la segnalazione. Gli acquirenti dovrebbero considerarlo come un input di monitoraggio all’interno di un sistema di gestione più ampio, non come una misura che da sola soddisfa un requisito della direttiva.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Il 15 marzo 2022 l’Ufficio federale tedesco per la sicurezza informatica ha emesso un avviso pubblico contro il software antivirus Kaspersky e da allora ha confermato che l’avviso rimane valido, pur precisando di non disporre di una base giuridica per imporre un divieto. Negli Stati Uniti, l’Ufficio per l’Industria e la Sicurezza del Dipartimento del Commercio ha emesso una Determinazione Definitiva nel giugno 2024 che vietava le nuove vendite a partire dal 20 luglio 2024 e, a partire dal 29 settembre 2024, la fornitura di aggiornamenti delle firme e del codice sorgente, nonché il funzionamento della Kaspersky Security Network sui sistemi statunitensi. Kaspersky respinge tali valutazioni, descrivendole come motivate da ragioni politiche piuttosto che tecniche; fa riferimento alla propria Iniziativa Globale per la Trasparenza e al trasferimento in Svizzera del trattamento dei dati per diversi mercati, e ha contestato pubblicamente l’avviso tedesco. La Svizzera ha assunto una posizione diversa: l’organismo federale per la sicurezza informatica, ora denominato Ufficio federale per la sicurezza informatica, ha dichiarato di non aver ricevuto segnalazioni di uso improprio del software Kaspersky e non ha emesso alcun avviso, pur sottolineando che la scelta del prodotto e la relativa valutazione dei rischi spettano a ciascuna organizzazione. I risultati dei test di laboratori indipendenti relativi ai prodotti di rilevamento di Kaspersky, pubblicati da AV-TEST e AV-Comparatives, non sono influenzati da queste misure amministrative e continuano a essere diffusi. In pratica, ciò ha maggiore rilevanza per gli appalti del settore pubblico, per i fornitori delle autorità tedesche e degli operatori di infrastrutture critiche, nonché per le aziende i cui clienti impongono clausole relative al paese di origine per il software di sicurezza; per un produttore svizzero privato privo di tali clausole, si tratta di una questione di documentazione piuttosto che di un ostacolo.

Norton vs. Kaspersky: quale programma antivirus offre la migliore protezione?
Confronta le prestazioni di rilevamento e la gamma di funzionalità di entrambi i fornitori, in modo da poter valutare la qualità della protezione indipendentemente dal dibattito sugli appalti.

Kaspersky Industrial CyberSecurity Integration Agent è d’aiuto per i questionari sulla sicurezza dei grandi clienti?

In parte, e solo per una ristretta serie di voci. Fornisce una risposta difendibile a domande relative alla raccolta di dati telemetrici dagli endpoint, all’inoltro degli eventi di sicurezza a un sistema di monitoraggio centrale, all’inventario delle risorse degli host industriali protetti e alla visibilità centrale dello stato di protezione delle macchine OT. Non fornisce alcuna risposta riguardo alla capacità di risposta, poiché nell’ambito dell’integrazione di KICS for Networks l’agente si limita a trasferire dati e non esegue interventi di risposta remota, isolamento degli host o scansione degli IOC; pertanto, a una domanda del questionario che chieda se è possibile isolare un host compromesso, la risposta sarà comunque «no». Inoltre, non tocca le voci relative a backup e ripristino, gestione delle patch e delle vulnerabilità, crittografia del disco, autenticazione a più fattori, sicurezza della posta elettronica, periodi di conservazione dei log e gestione dei fornitori, che sono tutti prodotti o processi distinti. Laddove la mancanza di capacità di risposta costituisce l’ostacolo, la soluzione più economica è solitamente la variante EDR all’interno della stessa famiglia Kaspersky Industrial CyberSecurity, piuttosto che aggiungere l’agente di un secondo fornitore agli stessi host industriali, poiché un secondo agente su un server HMI o SCADA comporta un ulteriore sforzo di test di compatibilità.

La perdita di dati è costosa: come i backup aiutano a evitare interruzioni di servizio.
Tratta le questioni relative al backup e al ripristino a cui questo prodotto non risponde e ciò che un concetto di ripristino praticabile deve includere.

Qual è la differenza tra Integration Agent ed EDR Integration Agent?

La differenza fondamentale sta in ciò che accade dopo un rilevamento. Il semplice Integration Agent è un sensore unidirezionale: trasferisce i dati di telemetria dell’host e gli eventi di KICS for Nodes al server KICS for Networks e il suo ruolo si esaurisce lì. La variante EDR è venduta come licenza separata all’interno della soluzione Kaspersky Industrial CyberSecurity Endpoint Detection and Response ed è quella da scegliere quando il team di sicurezza deve intervenire su un host dalla console anziché limitarsi a monitorarlo. Entrambe sono offerte come licenze Base, di rinnovo e di cross-grade, quindi un successivo passaggio da una all’altra è una decisione relativa alla licenza piuttosto che una nuova implementazione. Verificate con Kaspersky l’esatto ambito di risposta per la versione della vostra piattaforma prima di effettuare l’ordine, poiché dipende dai componenti KICS installati.

Quali limitazioni è necessario conoscere prima dell'acquisto?

La restrizione regionale più evidente riguarda gli Stati Uniti: la documentazione stessa di Kaspersky afferma che le funzionalità di aggiornamento, inclusi gli aggiornamenti delle firme antivirus e del codice sorgente, nonché le funzionalità di Kaspersky Security Network, non sono disponibili nel software negli Stati Uniti, in seguito alla decisione del Bureau of Industry and Security. Per gli acquirenti in Svizzera e nell’Unione Europea il prodotto è disponibile e viene aggiornato normalmente, ma le aziende con filiali negli Stati Uniti o con fornitori di servizi con sede negli Stati Uniti dovrebbero verificare dove si trovano fisicamente gli host protetti prima di effettuare l’ordine. La seconda limitazione è di natura funzionale: nell’ambito dell’integrazione con KICS for Networks, l’agente trasferisce solo i dati di telemetria, pertanto le azioni di risposta, l’isolamento di rete e la scansione degli IOC non ne fanno parte, e questo è il motivo più frequente per un acquisto successivo. In terzo luogo, si tratta di un componente dipendente piuttosto che di un prodotto autonomo, quindi senza KICS for Nodes sull’host e un server KICS for Networks raggiungibile non funziona affatto. Infine, la copertura della piattaforma dipende dal prodotto per endpoint a cui è collegato: gli host industriali basati su Windows sono coperti da KICS for Nodes, mentre gli host Linux richiedono invece Kaspersky Industrial CyberSecurity for Linux Nodes.

Domande frequenti su Kaspersky Industrial CyberSecurity Integration Agent

L’Integration Agent protegge un host da solo?

No. Il rilevamento del malware, il controllo dell’avvio delle applicazioni, il controllo dei dispositivi e il monitoraggio dell’integrità dei file sono forniti da Kaspersky Industrial CyberSecurity for Nodes installato sulla stessa macchina. L’Integration Agent aggiunge solo la visibilità di quella macchina nella console di rete e nient’altro.

Cosa significa “Base” nel nome del prodotto?

"Base" indica una nuova licenza piuttosto che un’estensione di una licenza esistente. Lo stesso componente è offerto anche come licenza di rinnovo, che proroga un diritto esistente, e come licenza cross-grade per il passaggio da un’altra linea di prodotti Kaspersky.

È necessario un server di gestione dedicato?

Non viene installata alcuna console separata. L’implementazione e la configurazione avvengono tramite Kaspersky Security Center, mentre i dati raccolti vengono visualizzati nell’interfaccia web di Kaspersky Industrial CyberSecurity for Networks.