Kaspersky Threat Data Feeds APT IOC

Was ist in den Kaspersky-Bedrohungsdaten-Feeds – APT-IOC enthalten?

APT-Hash-Datenfeed – Hashes von schädlichen Artefakten, die in APT-Kampagnen verwendet werden.
APT-IP-Datenfeed – IP-Adressen, die mit der Infrastruktur gezielter Angriffe in Verbindung stehen.
APT-URL-Datenfeed – Webadressen, die in APT-Kampagnen verwendet werden.
APT-Yara-Datenfeed – YARA-Regeln zur lokalen Suche nach Dateien gezielter Angriffe.
SIEM-Konnektoren – Integrierte Konnektoren für ArcSight, QRadar und Splunk.
Wichtig – Es sind keine Agenten, Konsolen oder Blockierungsfunktionen enthalten.

Was sind die Hauptvorteile von „Kaspersky Threat Data Feeds – APT IOC“?

„Kaspersky Threat Data Feeds – APT IOC“ ist ein Abonnement für vier maschinenlesbare Indikatoren-Feeds, die Kampagnen mit fortgeschrittenen, hartnäckigen Bedrohungen abdecken. Es gibt weder eine eigene Konsole noch ein eigenes Verwaltungsmodell: Die Daten werden über HTTPS abgerufen und von dem SIEM, der Threat-Intelligence-Plattform oder der Firewall verarbeitet, die Sie bereits einsetzen.

Herkunft aus der GReAT-Forschung – Indikatoren, die vom Kaspersky-Forschungsteam für gezielte Angriffe erstellt wurden.
Maschinell lesbare Formate – JSON-Ausgabe mit Konvertierung in STIX, OpenIOC und CSV.
Retrospektive Bedrohungssuche – YARA-Regeln finden bereits gespeicherte Dateien gezielter Angriffe.
Schnellere Alarmauswertung – Geprüfte Indikatoren reduzieren Störsignale bei der Korrelation von SIEM-Ereignissen.
Herstellerunabhängige Nutzung – Funktioniert mit SIEMs, Firewalls und IDS-Systemen von Drittanbietern.
Authentifizierte Bereitstellung – HTTPS-Download, gesichert durch ein Kaspersky-Client-Zertifikat.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, warum eine einzige integrierte Schutzebene Erkennungslücken hinterlässt, die durch zusätzliche Informationsquellen geschlossen werden sollen.

Für welche Unternehmensgröße eignet sich „Kaspersky Threat Data Feeds – APT IOC“?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob jemand die Warnmeldungen liest. Die Feed-Daten sind erst dann von Nutzen, wenn ein SIEM oder eine Threat-Intelligence-Plattform im Einsatz ist und eine Person oder ein Dienstleister die dabei generierten Treffer bewertet.

Erfüllt «Kaspersky Threat Data Feeds – APT IOC» die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Unternehmen: Seit dem 1. April 2025 verpflichtet das geänderte Informationssicherheitsgesetz diese, einen Cyberangriff innerhalb von 24 Stunden nach seiner Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden, wobei die restlichen Details innerhalb von 14 Tagen nachreichen müssen. APT IOC unterstützt diese Frist in einem engen Sinne, da ein Feed-Treffer dem Analysten den Kampagnennamen und den Indikator-Kontext liefert, die erforderlich sind, um den Vorfall im Erstbericht zu beschreiben, anstatt ihn als nicht klassifiziertes Ereignis zu erfassen. Das Produkt erkennt selbst nichts, sondern wertet lediglich Protokolldaten aus, die Ihre bestehenden Systeme bereits weiterleiten. Es liefert weder einen Zeitablauf des Vorfalls noch forensische Beweise, noch eine Fallbearbeitung und auch keinen Berichts-Workflow, sodass die 14-tägige Nachmeldung weiterhin aus Ihrem SIEM, Ihren Endpunkt-Tools und Ihrer Vorfalldokumentation zusammengestellt werden muss. Es trägt auch nicht dazu bei, festzustellen, ob Ihre Organisation zu einem der betroffenen Sektoren gehört. Dieser Text ist eine Produktbeschreibung und keine Rechtsberatung; ob die Meldepflicht für Ihre Organisation gilt, sollte mit einem qualifizierten Rechtsbeistand geklärt werden.

Erfüllt „Kaspersky Threat Data Feeds – APT IOC“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt für NIS-2-Konformität, da sich die Richtlinie auf organisatorische Maßnahmen und nicht auf Softwarefunktionen bezieht. NIS 2 verlangt von wesentlichen und wichtigen Stellen die Aufrechterhaltung von Risikoanalysen und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität und Krisenmanagement, Lieferkettensicherheit, Umgang mit und Offenlegung von Schwachstellen sowie Verfahren zur Bewertung, ob die Maßnahmen tatsächlich funktionieren. „APT IOC“ trägt zur Vorfallbearbeitung bei, indem es Indikatoren für gezielte Angriffe und Kontextinformationen in die Erkennungsebene einbringt, und es trägt zur Wirksamkeitsbewertung nur insofern bei, als Übereinstimmungen im Feed aufzeigen, wo die Überwachung Ergebnisse liefert. Es leistet keinen Beitrag zur Geschäftskontinuität, zur Datensicherung, zum Krisenmanagement, zur Zugriffskontrolle, zur Mitarbeiterschulung oder zu den Governance-Pflichten, die die Richtlinie den Leitungsorganen auferlegt. Auch die Lieferkettensicherheit bleibt unberührt, da der Feed die Infrastruktur externer Angreifer beschreibt und nichts über die Sicherheitslage Ihrer eigenen Lieferanten aussagt.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Im Juni 2024 erließ das Bureau of Industry and Security des US-Handelsministeriums eine endgültige Entscheidung, die es Kaspersky ab dem 20. Juli 2024 untersagt, neue Vereinbarungen mit US-Personen abzuschließen, sowie ab dem 29. September 2024 die Bereitstellung von Signatur- und Codebasis-Updates oder den Betrieb des Kaspersky Security Network in den Vereinigten Staaten untersagt. Der Weiterverkauf und die Integration von Kaspersky-Cybersicherheitssoftware in den USA sind gemäß derselben Entscheidung verboten, und drei Kaspersky-Unternehmen wurden in die Entity List aufgenommen. Die Maßnahme bleibt in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab 2022 eine Warnung heraus, in der es den Austausch von Kaspersky-Antivirensoftware empfahl; dabei handelt es sich um eine Empfehlung und nicht um ein Verkaufsverbot, und Deutschland hat den Verkauf nicht untersagt. Kaspersky vertritt den Standpunkt, dass die US-Entscheidung eher auf dem geopolitischen Klima als auf einer Bewertung seiner Produkte beruhte, und das Unternehmen hat erklärt, dass die Entscheidung seine Fähigkeit, Angebote im Bereich Bedrohungsinformationen und Schulungen in den USA zu verkaufen, nicht beeinträchtigt. Kaspersky verarbeitet zudem bedrohungsbezogene Daten von europäischen Nutzern in zwei Rechenzentren in Zürich und betreibt dort ein Transparenzzentrum, in dem autorisierte Partner den Code und die Erkennungsregeln einsehen können. In der Praxis ist dies vor allem für Organisationen mit Niederlassungen in den USA oder Verträgen mit der US-Regierung sowie für Lieferanten von Bedeutung, deren Kunden bei der Beschaffung Herkunftslandregeln anwenden; für andere Käufer in der Schweiz und der Europäischen Union unterliegen Verkauf und Nutzung keinen Einschränkungen.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich beider Anbieter hinsichtlich Erkennungsleistung, Produktumfang und praktischer Unterschiede.

Hilft „Kaspersky Threat Data Feeds – APT IOC“ bei Sicherheitsfragebögen großer Kunden?

Teilweise, und das auch nur in einem engen Rahmen. Er liefert eine dokumentierte Antwort auf die Fragen, ob Sie kommerzielle Bedrohungsinformationen abonnieren, ob externe Indikatoren mit Ihren Protokolldaten abgeglichen werden, ob Sie gezielte Angriffe und nicht nur gewöhnliche Malware erkennen können und ob Sie rückwirkend nach bekannten Artefakten von Angreifern suchen können – was der YARA-Feed bei gespeicherten Dateien ermöglicht. Es gibt keine Antworten zu den Themen Endgeräteschutz, Patch-Status, Festplattenverschlüsselung, Multi-Faktor-Authentifizierung, Backup- und Wiederherstellungszeiten, Zugriffsprüfungen, Sensibilisierungsschulungen oder Lieferantenmanagement – und genau diese Punkte tauchen in fast jedem Fragebogen auf. Um die Lücken auf Feed-Seite zu schließen, ist es in der Regel kostengünstiger, innerhalb derselben Produktfamilie zu bleiben: Die Pakete „Expert Security“ und „Total Security“ enthalten zusätzlich die Feed-Sets „Crimeware IOC“ und „Mobile Threat“, und „Total Security“ bietet zudem „Passive DNS“, „Suricata-Regeln“, Bedrohungen durch Open-Source-Software sowie IoT-URL- und Schwachstellendaten. Die Punkte zu Endgeräten, Patches und Verschlüsselung lassen sich mit Feed-Daten überhaupt nicht beantworten und erfordern stattdessen ein Endgeräteprodukt wie die Kaspersky Next-Produktreihe.

Was ist der Unterschied zwischen den Bedrohungsdaten-Feeds „APT IOC“ und „Crimeware IOC“?

Der entscheidende Unterschied liegt in der Art des beschriebenen Angreifers: „APT IOC“ umfasst Indikatoren für gezielte, kampagnenbasierte Angriffe, die fortgeschrittenen, hartnäckigen Bedrohungsakteuren zugeschrieben werden, während „Crimeware IOC“ finanziell motivierte Massenkriminalität wie Banking-Trojaner und Ransomware-Angriffe abdeckt. Dieser Unterschied bestimmt, wer davon profitiert, da APT-Indikatoren zwar selten auftreten, aber schwerwiegende Folgen haben, während Crimeware-Indikatoren in großer Zahl vorkommen und in einem durchschnittlichen Netzwerk weitaus häufiger auftreten. APT-IOC ist zudem der einzige der beiden Feeds, der einen dedizierten IP-Feed enthält. Beide sind in den Paketen „Expert Security“ und „Total Security“ enthalten; daher lohnt es sich, den Kauf eines Pakets mit dem separaten Erwerb beider Feeds zu vergleichen. Wenn Ihr SOC derzeit hauptsächlich generische Malware-Warnungen verzeichnet und noch nie einen gezielten Angriff bearbeitet hat, wird der Crimeware-IOC in der Regel mehr Treffer pro Monat liefern.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

APT-IOC liefert Daten, aber keinen Schutz: Es gibt keinen Agenten, keine Konsole und keine Blockierungsfunktion, sodass bereits ein SIEM, eine Threat-Intelligence-Plattform oder eine Firewall laufen muss, bevor das Abonnement brauchbare Ergebnisse liefert. Was die regionale Verfügbarkeit betrifft, so schränkt das Verbot des US-Handelsministeriums den Einsatz von Kaspersky-Cybersicherheitsprodukten für US-Personen ein. Daher sollten Unternehmen mit US-Tochtergesellschaften oder US-Verträgen ihre Situation prüfen, bevor sie diese Daten in dort betriebene Systeme einspeisen, während der Verkauf und die Nutzung in der Schweiz und der Europäischen Union davon unberührt bleiben. Die APT-Feeds werden im JSON-Format veröffentlicht, und STIX-, OpenIOC-, Snort-, CSV- sowie Klartext-Dateien werden über ein Konvertierungstool von Kaspersky erstellt, was in den meisten Erfassungspipelines einen einzigen skriptgesteuerten Schritt erfordert; Die Bereitstellung im TAXII-Format ist nur für die beliebtesten Feeds bestätigt; daher sollte dies für den jeweiligen APT-Satz überprüft werden, bevor Sie Ihre Lösung darauf ausrichten. Die Nutzung der Daten ist auf den Schutz Ihrer eigenen Infrastruktur und Ihrer eigenen Mitarbeiter beschränkt; die Weitergabe von Feed-Inhalten an Dritte ist nicht gestattet, was die Wiederverwendung eines Abonnements durch einen Dienstleister für mehrere Kundenmandanten ausschließt. Der häufigste Folgekauf ist die kostenpflichtige Kaspersky CyberTrace-Edition, die die Beschränkungen der kostenlosen Community-Version hinsichtlich der Verarbeitung von Ereignissen und Indikatoren aufhebt.

Wir helfen Ihnen bei der Entscheidung. Test: Antivirenprogramm: Die besten Antivirenprogramme für Windows 2025
Ein Überblick über aktuelle Windows-Schutzprodukte für die Endpunkt-Ebene, die durch Threat-Intelligence-Feeds nicht ersetzt werden können.

Häufig gestellte Fragen zu Kaspersky Threat Data Feeds – APT-IOC

Wie werden die Feed-Daten nach dem Kauf bereitgestellt?

Kaspersky versendet innerhalb von fünf Werktagen nach der Bestellung ein digitales Zertifikat per verschlüsselter E-Mail; die Feeds werden anschließend über einen HTTPS-basierten Dienst unter Verwendung dieses Zertifikats zur Client-Autorisierung heruntergeladen. Es gibt kein Installationsprogramm und es wird nichts auf den Endgeräten bereitgestellt.

Welche SIEM-Systeme werden ohne kundenspezifische Entwicklung unterstützt?

Konnektoren für HP ArcSight, IBM QRadar und Splunk sind im Abonnement der Bedrohungsdaten-Feeds enthalten. Für andere SIEMs und Protokollquellen fungiert Kaspersky CyberTrace als Abgleichsebene und akzeptiert Feeds in den Formaten JSON, STIX, XML und CSV.

Können APT-IOCs ohne Kaspersky CyberTrace verwendet werden?

Ja. Jede Plattform, die die JSON-Ausgabe oder eines der konvertierten Formate verarbeiten kann, kann die Feeds direkt nutzen. CyberTrace ist optional und dient hauptsächlich dazu, den Abgleich der Indikatoren außerhalb des SIEM durchzuführen, wodurch sich das Ereignisvolumen reduziert, das das SIEM selbst korrelieren muss.