Kaspersky Threat Intelligence Bundle

Cosa comprende il pacchetto Kaspersky Threat Intelligence Bundle?

Feed di dati sulle minacce – Flussi di IoC leggibili da macchine per SIEM, firewall e proxy.
Ricerca delle minacce – Ricerche via web e API per hash, URL e domini.
Reportistica sulla threat intelligence – Report su APT, crimeware e ICS mappati su MITRE ATT&CK.
Analisi delle minacce – Sandbox di ricerca, motore di attribuzione e ricerca di somiglianze per i campioni.
Informazioni sull’impronta digitale – Monitoraggio del dark web per credenziali trapelate e servizi esposti.
Importante – Nessun agente endpoint, nessun componente di protezione, nessuna console di gestione.

Quali sono i principali vantaggi del Kaspersky Threat Intelligence Bundle?

Il Kaspersky Threat Intelligence Bundle è un abbonamento ai servizi di intelligence sulle minacce di Kaspersky, forniti tramite il portale web Kaspersky Threat Intelligence Portal e un’API RESTful, anziché tramite software installato sui dispositivi. Alcuni componenti selezionati, tra cui CyberTrace, la sandbox di ricerca e il motore di attribuzione, possono invece essere implementati sulla propria infrastruttura.

Triage più rapido degli avvisi – Il contesto dei feed consente agli analisti di scartare i falsi positivi senza necessità di escalation.
Potenziamento degli strumenti esistenti – I feed si integrano con ArcSight, QRadar, Sentinel e Splunk.
Attribuzione in pochi minuti – Collega un campione ad attori e campagne APT noti.
Rilevamento delle fughe di dati – Individua le credenziali rubate dei dipendenti prima che gli aggressori le utilizzino.
Chiusura dei domini di phishing – Kaspersky gestisce la richiesta di rimozione dall’inizio alla fine.
Accesso alla ricerca privata – Oltre 200 rapporti non pubblici all’anno, oltre all’accesso retrospettivo.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega perché la protezione integrata lascia delle lacune che devono essere colmate da ulteriori livelli di sicurezza.

Per aziende di quali dimensioni è adatto il Kaspersky Threat Intelligence Bundle?

Il fattore decisivo non è il numero di dipendenti, ma il fatto che all’interno dell’organizzazione ci sia qualcuno che legga le informazioni di intelligence e agisca di conseguenza. I feed e i rapporti creano lavoro anziché eliminarlo: senza un SIEM che riceva gli indicatori e un analista che li valuti, l’abbonamento genera avvisi che nessuno risolve.

Il pacchetto Kaspersky Threat Intelligence soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla legge riveduta sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche in Svizzera, non a tutte le aziende. Le organizzazioni interessate devono segnalare un attacco informatico significativo all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua scoperta. Questo abbonamento è utile proprio per il contenuto di tale segnalazione: Threat Lookup, la sandbox di ricerca e il motore di attribuzione consentono a un analista di classificare un campione, identificare la famiglia di malware e mappare il comportamento osservato al modello MITRE ATT&CK mentre il tempo stringe. Ciò che non fa è rilevare l’incidente in primo luogo, poiché non dispone di alcun agente e non riceve dati telemetrici dai vostri sistemi, né archivia i log, né invia la notifica, né stabilisce se rientrate nell’ambito di applicazione. Il rilevamento, la conservazione dei log e il processo di segnalazione stesso devono provenire dalla vostra protezione degli endpoint, dal vostro SIEM e dalle vostre procedure documentate. Queste sono informazioni generali sul prodotto e non costituiscono una consulenza legale; per chiarire se la vostra organizzazione rientri nell’obbligo di segnalazione, è necessario rivolgersi a un consulente qualificato.

Il pacchetto Kaspersky Threat Intelligence soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’azienda conforme alla direttiva NIS 2, poiché la direttiva riguarda la responsabilità gestionale, i processi e le prove piuttosto che le funzionalità del software. La direttiva NIS 2 richiede categorie di misure che includono l’analisi dei rischi, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento, la gestione e la divulgazione delle vulnerabilità, nonché procedure per valutare se le misure funzionano effettivamente. Questo abbonamento supporta la gestione degli incidenti fornendo contesto e indicatori per la classificazione, supporta la sicurezza della catena di approvvigionamento attraverso il monitoraggio del dark web per individuare credenziali trapelate e abusi del marchio, e supporta la gestione delle vulnerabilità attraverso i tracciati di segnalazione e i dati sulle vulnerabilità presenti nei feed. Non apporta alcun contributo alla continuità operativa, alla crittografia, al controllo degli accessi, all’autenticazione a più fattori o alla formazione del personale, né genera alcuna prova relativa allo stato dei propri controlli. Tali categorie richiedono prodotti separati e processi interni documentati.

Cosa occorre sapere sulle valutazioni ufficiali relative a Kaspersky?

L’Ufficio federale tedesco per la sicurezza informatica (BSI) ha emesso un avviso formale contro l’uso dei prodotti Kaspersky nel marzo 2022 ai sensi del §7 della legge sul BSI, sostenendo che un produttore con sede in Russia potrebbe essere costretto ad agire contro gli utenti. Tale avvertimento è ancora in vigore e Kaspersky sta intraprendendo un’azione legale contro di esso. Il 20 giugno 2024 l’Ufficio per l’Industria e la Sicurezza del Dipartimento del Commercio degli Stati Uniti ha emesso una Determinazione Definitiva che vieta a Kaspersky di vendere a soggetti statunitensi a partire dal 20 luglio 2024 e di fornire aggiornamenti o gestire il Kaspersky Security Network in tale paese a partire dal 29 settembre 2024; tre entità del gruppo sono state aggiunte all’Entity List. Kaspersky respinge tale motivazione, afferma che la decisione si è basata sul clima geopolitico piuttosto che su una valutazione dei propri prodotti, ha offerto una verifica indipendente da parte di terzi del proprio codice e dei propri aggiornamenti e ha dichiarato che la decisione statunitense non incide sulla sua capacità di vendere servizi di intelligence sulle minacce e corsi di formazione negli Stati Uniti. In Svizzera la posizione è diversa: la BACS non ha emesso alcun avviso né direttiva interna su Kaspersky, ha dichiarato che non le è stato segnalato alcun uso improprio e ha affermato che la sua valutazione tecnica non è stata modificata dal divieto statunitense. Il riconoscimento indipendente del portafoglio di intelligence sulle minacce non è influenzato da queste misure: Kaspersky è stata infatti nominata leader nel «Frost Radar for Cyber Threat Intelligence 2024» ed è presente nella «SPARK Matrix for Digital Threat Intelligence Management». In pratica, ciò è particolarmente rilevante per le gare d’appalto del settore pubblico, per i fornitori di organizzazioni legate agli Stati Uniti e per le società del gruppo la cui casa madre tedesca segue le linee guida del BSI; per un’azienda svizzera privata senza tali esposizioni contrattuali, ciò potrebbe non influire affatto sulla decisione.

Norton vs. Kaspersky – Quale programma antivirus offre la migliore protezione nel 2025?
Confronta le prestazioni di rilevamento di entrambi i fornitori sulla base dei risultati di test indipendenti.

Il pacchetto Kaspersky Threat Intelligence Bundle è utile per i questionari sulla sicurezza dei grandi clienti?

In parte, e in misura più limitata rispetto a quanto si aspettino la maggior parte degli acquirenti. Risponde a domande su quali fonti esterne di intelligence sulle minacce si utilizzano, se si monitora il dark web alla ricerca di credenziali trapelate di dipendenti e clienti, se si tengono sotto controllo i propri servizi esposti all’esterno, se i campioni di malware vengono analizzati in una sandbox prima di giungere a una conclusione e se il comportamento degli aggressori viene classificato in base al modello MITRE ATT&CK. Non fornisce alcuna risposta in merito alla protezione degli endpoint, ai livelli di patch, alla crittografia del disco, all’autenticazione a più fattori, all’accesso privilegiato, ai test di backup e ripristino, ai periodi di conservazione dei log o alla formazione sulla consapevolezza della sicurezza, né produce alcuna prova di audit relativa al proprio ambiente. C’è inoltre una domanda sempre più comune nei questionari che questo prodotto solleva anziché risolvere: alcuni clienti chiedono specificatamente se siano in uso software o servizi di origine russa, e un abbonamento alla threat intelligence rientra nell’ambito di tale domanda. Per colmare le lacune di controllo all’interno della stessa famiglia di prodotti, un prodotto per endpoint e XDR della gamma Kaspersky rappresenta solitamente la soluzione più economica rispetto all’aggiunta di un secondo fornitore; laddove l’origine del fornitore costituisca di per sé un vincolo nei vostri questionari, la valutazione onesta è che il valore di questo abbonamento sia interno al vostro team di sicurezza piuttosto che qualcosa che possiate presentare all’esterno.

Quali limitazioni è necessario conoscere prima dell’acquisto?

La limitazione regionale più evidente riguarda gli Stati Uniti, dove il divieto del Dipartimento del Commercio si applica ai prodotti e ai servizi Kaspersky, sebbene Kaspersky affermi che le sue offerte di intelligence sulle minacce non ne siano interessate; le organizzazioni con entità negli Stati Uniti dovrebbero chiarire questo aspetto prima dell’acquisto, anziché dare per scontata una delle due interpretazioni. Kaspersky Threat Intelligence è un portafoglio di servizi con licenze individuali, e i pacchetti al dettaglio differiscono per i servizi inclusi; pertanto, è necessario verificare l’elenco esatto dei componenti del pacchetto che si intende acquistare, anziché dare per scontato che comprenda l’intero portafoglio. I rapporti analitici all’interno di Digital Footprint Intelligence sono un’estensione piuttosto che parte del servizio di base. L’implementazione on-premise e in modalità air-gapped è disponibile per CyberTrace, la sandbox di ricerca e il motore di attribuzione, ma non per i servizi forniti tramite portale. La limitazione che più spesso porta a un acquisto successivo è l’assenza di qualsiasi livello di protezione: questo abbonamento arricchisce le decisioni ma non blocca nulla, quindi presuppone che si disponga già di una protezione degli endpoint e di un SIEM.

Domande frequenti sul Kaspersky Threat Intelligence Bundle

È necessario un SIEM per utilizzare i feed di dati sulle minacce?

Per i feed, in effetti sì, poiché si tratta di flussi di indicatori leggibili da macchina destinati a essere confrontati con i propri log. CyberTrace si colloca tra i feed e il SIEM, analizza i log in entrata, li confronta con gli indicatori e inoltra solo gli eventi di rilevamento, riducendo così il carico sul SIEM. I servizi del portale, come Threat Lookup e i report, possono essere utilizzati manualmente tramite un browser senza alcuna integrazione.

I componenti di analisi possono funzionare senza inviare file a Kaspersky?

Sì, per i componenti progettati a tale scopo. La sandbox di ricerca può essere implementata in locale in modo che i campioni non vengano esposti all’esterno dell’organizzazione, e il motore di attribuzione supporta l’implementazione in ambienti air-gapped, il che consente anche di aggiungere attori e campioni personalizzati e di esportare regole YARA.

Un fornitore di servizi può utilizzare questa soluzione per più clienti?

Sia CyberTrace che Digital Footprint Intelligence supportano la multitenancy, pensata per i fornitori di servizi di sicurezza gestiti e per le grandi organizzazioni con più filiali. Ogni tenant viene gestito separatamente, quindi un unico abbonamento può servire diversi ambienti dei clienti senza mescolare i loro dati.