Kaspersky Threat Data Feeds Ransomware URL

Cosa include il feed "URL ransomware" di Kaspersky Threat Data Feeds?

Indicatori di URL di ransomware – URL, domini e host su cui è ospitato il ransomware.
Dati sul contesto della minaccia – Nome della minaccia, data e ora, popolarità e indirizzo IP risolto.
Distribuzione del feed in formato JSON – JSON nativo, aggiornato ogni venti minuti tramite HTTPS.
Utilità di conversione del formato – Feed Utility converte in STIX, OpenIoC, CSV e testo.
Accesso alla raccolta TAXII – Oggetti STIX recuperabili dal server TAXII di Kaspersky.
Importante –  Non sono inclusi né console, né agente, né motore di blocco.

Quali sono i principali vantaggi di Kaspersky Threat Data Feeds Ransomware URL?

Kaspersky Threat Data Feeds Ransomware URL è un feed di indicatori leggibile da macchina che copre le risorse web che ospitano o diffondono ransomware, venduto come abbonamento dati autonomo. Non sono presenti né console di gestione né agenti: il feed viene utilizzato dai sistemi già in uso, quali un SIEM, un firewall di nuova generazione, un gateway web o Kaspersky CyberTrace; inoltre, la documentazione Kaspersky fa riferimento a questa famiglia anche come Kaspersky Threat Intelligence Data Feeds.

Fonte per la lista di blocco del firewall – Fornisce ai connettori esterni dei firewall di nuova generazione (NGFW) una lista di blocco dinamica.
Arricchimento degli avvisi SIEM – Confronta i log dei proxy e dei DNS con le infrastrutture note di ransomware.
Offload su CyberTrace – La corrispondenza avviene al di fuori del SIEM, riducendo il volume degli eventi correlati.
Ambito ristretto al ransomware – Un elenco più breve rispetto a un feed generico di URL dannosi.
Aggiornamento ogni venti minuti – Gli URL di hosting rilevati di recente raggiungono i vostri sistemi di controllo entro la stessa ora.
Integrazione indipendente dal fornitore – Funziona con prodotti SIEM, proxy e gateway di terze parti.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove si ferma la protezione integrata e perché l’aggiunta di informazioni sulle minacce cambia ciò che una rete rileva effettivamente.

Per aziende di quali dimensioni è adatto il feed Kaspersky Threat Data Feeds Ransomware URL?

Si tratta di un feed, non di un prodotto con un’interfaccia utente. È vantaggioso solo se esiste già un sistema in grado di acquisire gli indicatori e se qualcuno esamina i risultati delle corrispondenze. Le aziende prive di un proprio SIEM, di una gestione dei firewall o di un fornitore di servizi di sicurezza non ne trarranno alcun risultato utilizzabile.

Kaspersky Threat Data Feeds Ransomware URL soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L'obbligo previsto dalla legge sulla sicurezza dell'informazione (LSI) rivisitata ricade sugli operatori di infrastrutture critiche, non su tutte le aziende svizzere, anche se i fornitori più piccoli sono spesso coinvolti tramite i contratti con i clienti. Gli operatori interessati devono segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla scoperta, il che significa che la scoperta deve avvenire prima ed essere documentata. Questo feed supporta proprio questo aspetto: una corrispondenza tra una voce di log di un proxy, DNS o firewall e un URL noto che ospita ransomware genera un evento di rilevamento datato e attribuibile che può essere citato nella segnalazione. Il feed non rileva nulla di per sé, poiché il motore di corrispondenza, la conservazione dei log e la persona incaricata di esaminare l’allerta devono essere già predisposti. Non copre nessun altro aspetto dell’obbligo: nessuna classificazione degli incidenti, nessuna cronologia forense, nessun flusso di lavoro di notifica al BACS e nessun archivio delle prove. Il presente testo non costituisce un parere legale e i vostri obblighi di segnalazione dovrebbero essere valutati con l’ausilio di un consulente qualificato.

Il servizio «Kaspersky Threat Data Feeds Ransomware URL» soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto garantisce di per sé la conformità alla direttiva NIS 2, poiché la direttiva riguarda gli obblighi organizzativi piuttosto che le funzionalità del software. Le categorie di misure da essa richieste includono l’analisi dei rischi, la gestione degli incidenti, la continuità operativa e la gestione dei backup, la sicurezza della catena di approvvigionamento e la responsabilità degli organi di gestione. Questo feed ne riguarda due: per la gestione degli incidenti fornisce indicatori esterni che trasformano una connessione in uscita non significativa in un rilevamento identificabile, mentre per la sicurezza della catena di approvvigionamento costituisce una fonte di dati commerciali documentata che potete citare quando un cliente chiede come vengono mantenuti aggiornati i vostri contenuti di rilevamento. Non offre alcun supporto per la continuità operativa, il backup e il ripristino, la gestione delle crisi, né per gli obblighi di governance e formazione che la direttiva impone alla dirigenza. Inoltre, non genera alcun report autonomamente, pertanto le scadenze di notifica previste dalla NIS 2 vengono rispettate grazie ai vostri processi e non grazie al feed stesso.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

Sono state registrate due azioni ufficiali ed entrambe sono ancora in vigore. L’Ufficio federale tedesco per la sicurezza informatica (BSI) ha emesso un avviso pubblico contro il software antivirus del produttore Kaspersky nel marzo 2022; tale avviso rimane in vigore nel 2026, è ora disciplinato dall’articolo 13 della legge sul BSI a seguito dell’attuazione della direttiva NIS 2 in Germania nel dicembre 2025, e il BSI ha confermato pubblicamente che continuerà a mantenerlo. Nel giugno 2024 il Dipartimento del Commercio degli Stati Uniti, tramite il proprio Ufficio per l’Industria e la Sicurezza, ha emesso una Determinazione Definitiva che vieta a Kaspersky di fornire prodotti o servizi di sicurezza informatica e antivirus a soggetti statunitensi, con il divieto di rivendita, integrazione e concessione di licenze per la rivendita a partire dal 29 settembre 2024. Kaspersky respinge entrambe le posizioni, descrivendo la decisione statunitense come motivata dal clima geopolitico e da preoccupazioni teoriche piuttosto che da una valutazione dei propri prodotti, e ha formalmente sollecitato il BSI a ritirare l’avviso. Nessuna delle due decisioni si basa su un riscontro tecnico pubblicato relativo alla presenza di codice dannoso nel software di Kaspersky, e i test di laboratorio indipendenti sui prodotti Kaspersky sono proseguiti al di fuori degli Stati Uniti. In pratica ciò ha rilevanza laddove le norme sugli appalti hanno un impatto concreto: appalti del settore pubblico tedesco, organizzazioni i cui clienti applicano le raccomandazioni del BSI lungo la propria catena di fornitura, qualsiasi entità che rientri nella definizione di «soggetto statunitense» e gare d’appalto in cui viene richiesto il paese di origine del fornitore. Gli acquirenti al di fuori di tali categorie non sono soggetti ad alcuna restrizione di vendita in Svizzera o nell’Unione Europea, e spetta a voi effettuare la valutazione.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Confronta i risultati di rilevamento e l’ambito di applicazione dei prodotti di entrambi i fornitori, informazioni utili quando il paese di origine è un fattore determinante nella vostra decisione.

I feed di dati sulle minacce di Kaspersky relativi agli URL di ransomware sono utili per i questionari di sicurezza dei grandi clienti?

In parte, e principalmente su un unico aspetto. I questionari in genere chiedono se si utilizzano informazioni esterne sulle minacce, quanto siano aggiornate tali informazioni e in che modo raggiungano i sistemi di rilevamento; un feed commerciale con licenza, dotato di un ciclo di aggiornamento documentato di venti minuti e di un percorso di integrazione specifico verso SIEM o firewall, risponde a queste tre domande con un dato verificabile anziché con un’affermazione. Non risponde a nient’altro. La copertura della protezione degli endpoint, lo stato delle patch, l’autenticazione a più fattori, la crittografia del disco, i test di backup e ripristino, i periodi di conservazione dei log, i piani di risposta agli incidenti, la formazione di sensibilizzazione del personale, le revisioni degli accessi e gli elenchi dei subappaltatori rimangono tutti punti aperti, e il feed non produce alcun report o dashboard proprio, quindi qualsiasi prova deve essere esportata dal vostro SIEM o firewall piuttosto che da Kaspersky. Se sono aperte più righe contemporaneamente, l’aggiunta di ulteriori feed della stessa famiglia Kaspersky, oppure il passaggio al Kaspersky Threat Intelligence Portal per la reportistica e le ricerche, risulta solitamente più economico rispetto al ricorso a un secondo fornitore di intelligence, poiché i formati di consegna e l’utilità Feed rimangono gli stessi. Laddove la lacuna sia operativa piuttosto che informativa, come nel caso dei test di backup o della pianificazione delle risposte, nessun feed potrà colmarla e il lavoro dovrà essere programmato.

Qual è la differenza tra il feed di dati degli URL di ransomware e il feed di dati degli URL dannosi?

La differenza determinante è l’ambito di copertura, non la qualità dei dati. Il feed degli URL di ransomware copre solo le risorse web collegate al ransomware, mentre il feed degli URL dannosi copre risorse web dannose di ogni tipo e rappresenta quindi un elenco di gran lunga più ampio. Ciò rende il feed degli URL di ransomware la scelta migliore quando si desidera una lista di blocco breve e altamente selettiva per un firewall o un gateway, mentre il feed degli URL dannosi è la scelta migliore quando si desidera un’ampia copertura in un SIEM in grado di gestire il volume. Entrambi sono forniti in formato nativo JSON ed entrambi utilizzano maschere URL; pertanto, un controllo che non sia in grado di elaborare le maschere necessita di Kaspersky CyberTrace come motore di corrispondenza. All’interno della famiglia, è documentata una variante con URL esatto per il feed degli URL dannosi, ma non per quello relativo al ransomware.

Quali limitazioni è necessario conoscere prima dell'acquisto?

La limitazione regionale più evidente è la Determinazione Definitiva degli Stati Uniti: i prodotti e i servizi di sicurezza informatica di Kaspersky, compresa la rivendita e l’integrazione in altri servizi, non possono essere forniti a soggetti statunitensi, il che esclude le filiali statunitensi e i fornitori di servizi con clienti con sede negli Stati Uniti. La seconda è di natura architettonica: il feed non contiene console, agenti né motori di blocco, pertanto è necessario che un SIEM, un firewall di nuova generazione, un gateway sicuro o Kaspersky CyberTrace sia già installato e configurato correttamente prima che venga generata una singola corrispondenza. Il terzo riguarda la copertura: questo feed elenca le risorse web su cui è ospitato il ransomware; ciò significa che il ransomware che arriva tramite allegato e-mail, RDP esposto, credenziali rubate o movimento laterale non genera alcuna corrispondenza in questo contesto, mentre gli hash dei file appartengono a feed di hash separati. Kaspersky pubblica anche varianti regionali dei feed contrassegnate con l’etichetta META, la cui copertura è ottimizzata per quella regione, mentre i feed standard mirano a una copertura mondiale; pertanto, la variante a cui ci si abbona dovrebbe corrispondere alla destinazione effettiva del proprio traffico. Infine, il feed utilizza maschere URL e i sistemi che non sono in grado di elaborare tali maschere necessitano del motore di corrispondenza di CyberTrace o di un output convertito generato con la Kaspersky Feed Utility.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni di servizio.
Tratta l’aspetto del ripristino che nessun feed di threat intelligence affronta, compreso il costo effettivo di un’interruzione di servizio per un’azienda.

Domande frequenti sui feed di dati sulle minacce di Kaspersky: URL di ransomware

Il feed contiene hash di file di ransomware?

No. Questo feed contiene URL, domini e host con contesto. Gli hash dei file vengono forniti da feed dedicati agli hash della stessa famiglia, come il Malicious Hash Data Feed, che richiede un abbonamento separato.

È possibile testare il feed prima dell’acquisto?

Kaspersky pubblica feed demo per la valutazione e i test di integrazione, specificando che presentano tassi di rilevamento inferiori rispetto ai feed di produzione. Sono adatti per verificare che il proprio SIEM o firewall analizzi correttamente il formato, non per valutare la copertura.

Sono necessari i prodotti Kaspersky per endpoint per utilizzare questo feed?

No. Il feed è progettato per l’integrazione diretta in controlli di sicurezza di terze parti, quali sistemi SIEM, firewall di nuova generazione e gateway di posta o web sicuri, anche tramite STIX su TAXII. Kaspersky CyberTrace è opzionale e viene utilizzato per spostare la corrispondenza degli indicatori al di fuori del SIEM.