Kaspersky ha aggiornato la soluzione CyberTrace, trasformandola da strumento di fusione e analisi della threat intelligence a una piattaforma centralizzata di Threat Intelligence.
L’obiettivo di questa evoluzione è quello di rendere più semplici ed efficaci tutte quelle attività di indagine e risposta alle minacce cosi come le operazioni di sicurezza IT per tutti i team che si occupano di sicurezza aziendale e di incident response.
La nuova edizione della soluzione integra, in sintesi, funzionalità avanzate che permettono ai team di sicurezza di condurre ricerche complesse su tutti gli Indicatori di Compromissione (IoC), di analizzare i rilevamenti ottenuti da eventi precedentemente esaminati e di misurare l’efficacia dei feed integrati grazie anche all’utilizzo di una matrice di intersezione dei feed.
Il software offre anche un’API pubblica per l’integrazione con i flussi di lavoro automatizzati.
Inoltre, la piattaforma supporta adesso le funzionalità Multiutente e Multitenancy per il controllo delle operazioni eseguite da diversi utenti e la gestione separata degli eventi che fanno capo a comparti diversi.
L’edizione a pagamento, adatta alle enterprise e agli MSSP (Managed Security Service Provider), supporta tutte queste caratteristiche e permette di elaborare e scaricare un numero illimitato di EPS e IoC.
La versione community edition di Kaspersky CyberTrace rimane invece gratuita. Questa versione comprende tutte le funzionalità fornite dalla soluzione a pagamento, così come le nuove funzioni aggiornate, tranne la possibilità di aggiungere account multiutenti e multitenancy. Elabora poi un numero limitato di eventi al secondo (fino a 250) e limita il numero di indicatori di compromissione scaricabili (fino a un milione massimo).
Kaspersky CyberTrace si integra con tutte le soluzioni SIEM (Security Information and Event Management) e i controlli di sicurezza più comuni, supportando qualsiasi feed di threat intelligence nei formati STIX 2.0/2.1/1.0/1.1, JSON, XML e CSV.
Per impostazione predefinita, la soluzione integra l’ampio portfolio del Kaspersky Threat Data Feeds sviluppato dagli esperti dell’azienda, tra cui i security analysts a livello globale e i team del GReAT e di R&D. La piattaforma risolve il problema dell’inserimento di molti Indicatori di Compromissione (IoC) nei SIEM che può portare a ritardi nell’elaborazione degli incidenti e a mancati rilevamenti.
Kaspersky CyberTrace estrae automaticamente gli IoC dai log che arrivano ai SIEM e li analizza internamente tramite l’utilizzo di un motore interno, appositamente sviluppato. Questo permette di elaborare più rapidamente un numero illimitato di IoC senza peraltro sovraccaricare il SIEM.
Una dashboard con dati statistici di rilevamento suddivisi per le diverse fonti di TI aiuta gli utenti a identificare e misurare quali flussi di threat intelligence sono più rilevanti per l’organizzazione, mentre la funzione multi-tenancy facilita la condivisione delle informazioni e il reporting in merito alle pratiche di threat intelligence per i decision-makers, consentendo agli utenti di gestire eventi da comparti diversi (tenants).
La capacità di etichettare gli IoC aiuta gli utenti a valutare l’importanza di un incidente. Gli IoC possono anche essere automaticamente ordinati e filtrati in base ai tag e alla loro importanza. Questa caratteristica semplifica la gestione dei gruppi di IoC e la loro rilevanza.
Per acquisire il quadro completo di un incidente e comprenderne l’entità il servizio ora include il Research Graph. Questo strumento aiuta gli analisti a studiare le relazioni tra gli indicatori e a tracciare una rappresentazione grafica del perimetro dall’incidente per rispondere con maggiore efficacia. Le relazioni sono costruite in base ai feed incorporati nel CyberTrace, alle integrazioni del Threat Intelligence Portal e agli indicatori inseriti manualmente. L’utilizzo delle API permette agli analisti di analizzare e gestire la threat intelligence o di integrare facilmente la piattaforma con strumenti di automazione e orchestrazione, spesso presenti in ambienti complessi.
“Data la crescente complessità del panorama delle minacce informatiche attuale, le organizzazioni hanno bisogno di soluzioni complete per rilevare, indagare e rispondere più velocemente e meglio alle minacce. La versione aggiornata di Kaspersky CyberTrace per le imprese e gli MSSP permette di avere una grande flessibilità oltre che una ricca funzionalità out-of-the-box. La flessibilità è data dalla personalizzazione applicabile ai singoli avvisi, dal triage e dalla valutazione sulla base di varie fonti di Threat Intelligence, che insieme permettono ai team di sicurezza di concentrarsi sulle notifiche più rilevanti”, ha dichiarato Ariel Jungheit, Senior Security Researcher di Kaspersky.
