Kaspersky Threat Data Feeds IP Reputation

Cosa comprende il servizio "IP Reputation" di Kaspersky Threat Data Feeds?

Feed di dati sulla reputazione IP – Indirizzi IP di host dannosi e sospetti.
Punteggio dinamico di minaccia – Valore compreso tra 50 e 100, record ordinati in base al punteggio.
Categorie di minaccia – Spam, C&C di botnet, phishing, proxy, VPN, nodi Tor.
Campi contestuali – Prima rilevazione, ultima rilevazione, popolarità, geolocalizzazione e whois.
Hash dei file correlati – Fino a dieci hash di file dannosi per indirizzo.
Importante – Non sono inclusi né console, né agente, né funzione di blocco.

Quali sono i principali vantaggi di Kaspersky Threat Data Feeds IP Reputation?

Kaspersky Threat Data Feeds IP Reputation è un abbonamento a un feed di indicatori leggibile da macchina proveniente dal portafoglio Kaspersky Threat Intelligence Data Feeds, documentato dal fornitore come IP Reputation Data Feed. Non prevede né console né agente, poiché i dati vengono acquisiti dal proprio SIEM, firewall di nuova generazione o piattaforma di threat intelligence; inoltre, la documentazione e gli elenchi meno recenti riportano ancora il precedente nome del fornitore, Kaspersky Lab.
Blocco prioritario – Blocco a partire da 75, revisione da 50 a 74.
Meno voci obsolete – Gli indirizzi con punteggio inferiore a 50 vengono rimossi dal feed.
Triage più rapido degli avvisi – Il contesto fornisce informazioni su chi e dove senza necessità di una seconda ricerca.
Flessibilità di formato – JSON per le aziende, con conversione in STIX, CSV, Snort.
Due percorsi di distribuzione – HTTPS con certificato client o TAXII con token.
Visibilità degli strumenti di anonimizzazione – Categorie separate per nodi Tor, proxy e host VPN.

Da cosa protegge una VPN – e da cosa non protegge? Sfatare i miti più comuni:
Spiega cosa nasconde e cosa non nasconde il traffico VPN e proxy, aiutandovi a decidere come gestire le categorie di strumenti di anonimizzazione presenti in questo feed.

Per aziende di quali dimensioni è adatto il Kaspersky Threat Data Feeds IP Reputation?

La questione determinante non è il numero di dipendenti, ma se si dispone già di un sistema in grado di acquisire gli indicatori. Senza un SIEM, un firewall di nuova generazione con supporto per liste esterne o una piattaforma di threat intelligence, il feed non ha dove andare e non fornisce alcuna informazione.

Kaspersky Threat Data Feeds IP Reputation soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

La legge sulla sicurezza dell’informazione, nella sua versione aggiornata, obbliga i gestori di infrastrutture critiche, tra cui servizi energetici e idrici, operatori dei trasporti, ospedali accreditati, centri dati e amministrazioni cantonali e comunali, a segnalare gli attacchi informatici all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla loro individuazione. Il rispetto di tale termine dipende innanzitutto dall’individuazione dell’attacco, ed è qui che entra in gioco un feed di indicatori: una corrispondenza con un indirizzo di comando e controllo di una botnet nei log del firewall o del proxy fornisce un timestamp, una categoria e un punteggio di minaccia che è possibile inserire direttamente nella segnalazione iniziale. Il feed non rileva nulla di per sé, non genera un allarme, non produce un rapporto e non tiene traccia del termine di 14 giorni per il completamento della notifica iniziale; pertanto, tutto ciò deve provenire dal proprio SIEM, dal sistema di conservazione dei log e dalla procedura scritta di gestione degli incidenti. Inoltre, copre solo un tipo di indicatore, il che significa che un attacco che arriva tramite allegato di phishing o credenziali compromesse non vi apparirà affatto. Questo non costituisce una consulenza legale e dovreste far valutare i vostri obblighi di segnalazione da un consulente legale qualificato.

Il servizio «Threat Data Feeds IP Reputation» di Kaspersky soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’organizzazione conforme alla direttiva NIS 2, poiché la direttiva riguarda la governance, la gestione dei rischi e i processi piuttosto che le funzionalità del software. La direttiva NIS 2 richiede categorie di misure che includono l’analisi dei rischi, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento, la sicurezza delle reti e dei sistemi informativi e la valutazione dell’efficacia delle misure adottate. Questo feed contribuisce a due di esse: la sicurezza delle reti e dei sistemi informativi, fornendo liste di blocco ponderate ai controlli perimetrali, e la gestione degli incidenti, fornendo dati di categoria e di contesto che accorciano la fase di identificazione. Non contribuisce in alcun modo alla continuità operativa, al backup, al controllo degli accessi, alla crittografia, alla formazione del personale o alla gestione del rischio dei fornitori, e non produce alcuna prova documentale che un revisore possa esaminare. Consideratelo come un input per una funzionalità di rilevamento, non come una misura a sé stante.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Due provvedimenti ufficiali sono rilevanti ed entrambi rimangono in vigore. L’Ufficio federale tedesco per la sicurezza informatica (BSI) ha sconsigliato l’uso del software antivirus Kaspersky dal 15 marzo 2022, e il BSI afferma esplicitamente che l’avviso riguarda la linea di prodotti antivirus e che non è stata rilasciata alcuna dichiarazione riguardo ad altri prodotti Kaspersky. Il 20 giugno 2024 il Dipartimento del Commercio degli Stati Uniti ha emesso una Determinazione Definitiva che vietava la stipula di nuovi contratti con soggetti statunitensi a partire dal 20 luglio 2024 e gli aggiornamenti delle firme e del codice sorgente a partire dal 29 settembre 2024; tale decisione non si applica espressamente ai prodotti e ai servizi di intelligence sulle minacce di Kaspersky, che sono considerati di natura informativa. Kaspersky respinge l’avviso del BSI, affermando che non si basava su un’analisi tecnica oggettiva dei rischi legati all’utilizzo del proprio software. In pratica, ciò ha maggiore rilevanza per i contratti del settore pubblico, per gli acquirenti i cui clienti applicano requisiti relativi alla catena di fornitura e per chiunque abbia una politica di approvvigionamento che escluda i fornitori oggetto di un avviso ufficiale, indipendentemente dal prodotto specifico; ha minore rilevanza per un SOC del settore privato che acquisisce i dati nei propri sistemi. Vale la pena documentare questa distinzione di ambito, poiché un revisore del questionario che conosca solo il titolo potrebbe non essere a conoscenza dell’esistenza di tale esclusione.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Confronta le prestazioni di rilevamento di entrambi i fornitori, informazioni utili se si sta valutando la qualità del prodotto alla luce delle questioni relative agli appalti sollevate sopra.

Il servizio «Threat Data Feeds IP Reputation» di Kaspersky è utile per i questionari di sicurezza dei grandi clienti?

In parte, e solo per una ristretta gamma di domande. Risponde se si è abbonati a una fonte commerciale di intelligence sulle minacce, se si arricchiscono i log perimetrali con indicatori esterni, se si bloccano infrastrutture maligne note ai margini della rete e se si è in grado di rilevare connessioni provenienti da infrastrutture di anonimizzazione quali i nodi di uscita Tor e i proxy pubblici. Non risponde invece a domande relative alla protezione degli endpoint, alla copertura EDR, alla gestione delle patch, alla crittografia del disco, all’autenticazione a più fattori, ai test di backup e ripristino, ai periodi di conservazione dei log, alla gestione degli accessi privilegiati o al processo documentato di risposta agli incidenti e di escalation. Inoltre, non produce alcun report che si possa allegare come prova; pertanto, qualsiasi risposta fornita deve essere supportata dai dati del proprio SIEM o firewall piuttosto che dal feed stesso. Per colmare le lacune relative agli indicatori, l’aggiunta di ulteriori feed della stessa famiglia Kaspersky, come i feed Malicious URL, Malicious Hash o Botnet C&C, è solitamente più economica e richiede meno lavoro rispetto all’introduzione di un secondo fornitore di intelligence con uno schema diverso. È probabile che almeno un questionario chieda informazioni sul paese di origine del fornitore, quindi preparate questa risposta insieme a quelle tecniche.

Qual è la differenza tra il feed di dati sulla reputazione IP demo e il feed di dati sulla reputazione IP?

La differenza fondamentale è il tasso di rilevamento: il feed demo contiene un insieme di indicatori deliberatamente ridotto ed è destinato alla valutazione, non al blocco in produzione. La versione demo ha l’ID feed 87 e la versione commerciale ha l’ID feed 68; Kaspersky CyberTrace utilizza i feed demo per impostazione predefinita quando non è installata alcuna chiave di licenza. L’utilizzo del feed commerciale tramite CyberTrace richiede una chiave di licenza CyberTrace, che rappresenta un elemento separato da pianificare. Se il vostro SIEM è in grado di importare direttamente JSON o STIX, potete utilizzare il feed commerciale senza bisogno di CyberTrace.

Quali limitazioni è necessario conoscere prima dell'acquisto?

Si tratta di dati, non di software: non installa nulla, non protegge nulla di per sé e non produce alcun valore finché un sistema già in vostro possesso non viene configurato per utilizzarli e agire di conseguenza. Il feed contiene solo indirizzi IP, pertanto URL dannosi, pagine di phishing, hash di file, URL di comando e controllo delle botnet e software vulnerabili sono coperti da feed separati della stessa famiglia e rappresentano un acquisto successivo comune. Dal punto di vista regionale, il divieto statunitense sui prodotti Kaspersky esclude esplicitamente i prodotti e i servizi di intelligence sulle minacce, mentre l’avviso del BSI tedesco si limita al software antivirus senza alcuna dichiarazione su altri prodotti; tuttavia, le politiche di approvvigionamento dei vostri clienti potrebbero non fare questa distinzione, quindi verificate prima di procedere. Un aspetto pratico della pianificazione che spesso sorprende gli acquirenti: i firewall e i gateway limitano il numero di voci che un elenco dinamico esterno può contenere, quindi filtrare il feed in base al punteggio di minaccia prima di inviarlo al dispositivo è solitamente necessario piuttosto che facoltativo. Infine, per far passare il feed commerciale attraverso Kaspersky CyberTrace è necessaria una chiave di licenza CyberTrace, poiché la Community Edition gratuita è limitata ai feed dimostrativi.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega perché un unico livello di protezione lascia delle lacune: è lo stesso ragionamento alla base del considerare questo feed come un’integrazione alla protezione degli endpoint piuttosto che come un sostituto.

Domande frequenti sui feed di dati sulle minacce di Kaspersky: reputazione IP

Quali sistemi possono utilizzare questo feed?

Kaspersky progetta il feed per l’integrazione in sistemi SIEM, firewall di nuova generazione, gateway di posta e web sicuri e strumenti di analisi del traffico di rete, sia come lista di blocco aggiornata dinamicamente che come fonte di arricchimento. La distribuzione avviene tramite download HTTPS con un certificato client Kaspersky, mentre i feed più diffusi sono disponibili anche tramite TAXII con autenticazione basata su token.

È necessario Kaspersky CyberTrace per utilizzare il feed?

No. Kaspersky afferma che i suoi feed di dati sulle minacce possono essere gestiti anche da un SIEM utilizzando le funzionalità integrate del SIEM stesso, senza bisogno di CyberTrace. CyberTrace è utile quando si desidera che il matching e il triage avvengano prima che gli eventi raggiungano il SIEM, ma utilizzarlo con i feed commerciali richiede una chiave di licenza anziché la Community Edition gratuita.

Da dove provengono i dati contenuti nel feed?

Kaspersky aggrega i feed provenienti dal Kaspersky Security Network, dai propri web crawler, dal monitoraggio 24 ore su 24 delle botnet, dalle trappole antispam, dai team di ricerca interni e dai partner. I dati aggregati vengono quindi filtrati in base a criteri statistici, sandbox e motori euristici, convalida da parte degli analisti e controlli delle liste di autorizzazione prima di essere pubblicati.