Kaspersky Threat Data Feeds Ransomware URL

Was ist in den Kaspersky Threat Data Feeds „Ransomware URL“ enthalten?

Ransomware-URL-Indikatoren – URLs, Domains und Hosts, auf denen Ransomware gehostet wird.
Daten zum Bedrohungskontext – Name der Bedrohung, Zeitstempel, Verbreitung und aufgelöste IP-Adresse.
Bereitstellung des JSON-Feeds – Natives JSON, alle zwanzig Minuten über HTTPS aktualisiert.
Dienstprogramm zur Formatkonvertierung – Das Feed-Dienstprogramm konvertiert in STIX, OpenIoC, CSV und Text.
Zugriff auf die TAXII-Sammlung – STIX-Objekte können vom Kaspersky TAXII-Server abgerufen werden.
Wichtig – Es sind keine Konsole, kein Agent und keine Blockierungs-Engine enthalten.

Was sind die wichtigsten Vorteile von „Kaspersky Threat Data Feeds Ransomware URL“?

„Kaspersky Threat Data Feeds Ransomware URL“ ist ein maschinenlesbarer Indikator-Feed, der Webressourcen abdeckt, die Ransomware hosten oder bereitstellen, und als eigenständiges Datenabonnement verkauft wird. Es gibt keine Verwaltungskonsole und keinen Agenten: Der Feed wird von Systemen genutzt, die Sie bereits betreiben, wie beispielsweise ein SIEM, eine Next-Generation-Firewall, ein Web-Gateway oder Kaspersky CyberTrace, und in der Kaspersky-Dokumentation wird diese Produktfamilie auch als „Kaspersky Threat Intelligence Data Feeds“ bezeichnet.

Quelle für Firewall-Sperrlisten – Versorgt externe Konnektoren von Next-Generation-Firewalls (NGFW) mit einer dynamischen Sperrliste.
Anreicherung von SIEM-Warnmeldungen – Gleicht Proxy- und DNS-Protokolle mit bekannter Ransomware-Infrastruktur ab.
Entlastung von CyberTrace – Der Abgleich erfolgt außerhalb des SIEM, wodurch das Volumen korrelierter Ereignisse reduziert wird.
Eingeschränkter Ransomware-Umfang – Eine kürzere Liste als bei einem allgemeinen Feed für bösartige URLs.
Aktualisierung alle zwanzig Minuten – Neu erkannte Hosting-URLs erreichen Ihre Kontrollsysteme noch in derselben Stunde.
Herstellerunabhängige Integration – Funktioniert mit SIEM-, Proxy- und Gateway-Produkten von Drittanbietern.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der integrierte Schutz an seine Grenzen stößt und warum zusätzliche Bedrohungsinformationen die tatsächliche Erkennung im Netzwerk verändern.

Für welche Unternehmensgröße eignet sich der „Kaspersky Threat Data Feeds Ransomware URL“?

Es handelt sich um einen Feed, nicht um ein Produkt mit Benutzeroberfläche. Er zahlt sich nur dann aus, wenn bereits ein System vorhanden ist, das Indikatoren verarbeiten kann, und jemand die Ergebnisse der Abgleichung überprüft. Unternehmen ohne eigenes SIEM, Firewall-Management oder Sicherheitsdienstleister erhalten daraus keinen verwertbaren Output.

Erfüllt «Kaspersky Threat Data Feeds Ransomware URL» die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Pflicht gemäss dem revidierten Informationssicherheitsgesetz obliegt den Betreibern kritischer Infrastrukturen, nicht jedem Schweizer Unternehmen, obwohl kleinere Zulieferer häufig über Kundenverträge einbezogen werden. Betroffene Betreiber müssen einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden, was bedeutet, dass die Entdeckung zuerst erfolgen und dokumentiert werden muss. Dieser Feed unterstützt genau diesen einen Punkt: Eine Übereinstimmung zwischen einem Eintrag im Proxy-, DNS- oder Firewall-Protokoll und einer bekannten Ransomware-Hosting-URL erzeugt ein datiertes, zuordenbares Erkennungsereignis, das im Bericht angeführt werden kann. Er erkennt selbst nichts, da die Abgleich-Engine, die Protokollaufbewahrung und die Person, die die Warnmeldung überprüft, bereits vorhanden sein müssen. Er deckt keinen anderen Teil der Verpflichtung ab: keine Einstufung des Vorfalls, keine forensische Zeitleiste, keinen Benachrichtigungsworkflow an das BACS und kein Beweismittelarchiv. Dieser Text stellt keine Rechtsberatung dar, und Ihre eigenen Meldepflichten sollten mit qualifizierter rechtlicher Beratung geprüft werden.

Erfüllt der „Kaspersky Threat Data Feeds Ransomware URL“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die NIS-2-Konformität, da sich die Richtlinie auf organisatorische Pflichten und nicht auf Softwarefunktionen bezieht. Zu den von ihr geforderten Maßnahmenkategorien gehören Risikoanalyse, Vorfallbearbeitung, Geschäftskontinuität und Backup-Management, Sicherheit der Lieferkette sowie die Rechenschaftspflicht der Leitungsorgane. Dieser Feed berührt zwei davon: Für das Vorfallmanagement liefert er externe Indikatoren, die eine unscheinbare ausgehende Verbindung in eine benannte Erkennung umwandeln, und für die Lieferkettensicherheit ist er eine dokumentierte kommerzielle Datenquelle, die Sie nennen können, wenn ein Kunde fragt, wie Ihre Erkennungsinhalte auf dem neuesten Stand gehalten werden. Er leistet keinen Beitrag zur Geschäftskontinuität, zur Datensicherung und -wiederherstellung, zum Krisenmanagement oder zu den Governance- und Schulungspflichten, die die Richtlinie dem Management auferlegt. Er erstellt auch selbst keine Berichte, sodass die Meldefristen gemäß NIS 2 durch Ihre eigenen Prozesse und nicht durch den Feed eingehalten werden.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Es sind zwei behördliche Maßnahmen aktenkundig, die beide nach wie vor in Kraft sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im März 2022 eine öffentliche Warnung vor Antiviren-Software des Herstellers Kaspersky herausgegeben; sie bleibt bis 2026 in Kraft, wird nach der deutschen NIS-2-Umsetzung vom Dezember 2025 nun gemäß § 13 des BSI-Gesetzes geregelt, und das BSI hat öffentlich bestätigt, dass es sie weiterhin aufrechterhält. Im Juni 2024 erließ das US-Handelsministerium über sein Bureau of Industry and Security eine endgültige Entscheidung, die es Kaspersky untersagt, Cybersicherheits- und Antivirenprodukte oder -dienstleistungen an US-Personen zu liefern, wobei der Weiterverkauf, die Integration und die Lizenzierung zum Weiterverkauf ab dem 29. September 2024 verboten sind. Kaspersky weist beide Positionen zurück und beschreibt die US-Entscheidung als eher durch das geopolitische Klima und theoretische Bedenken als durch eine Bewertung seiner Produkte motiviert; das Unternehmen hat das BSI formell aufgefordert, die Warnung zurückzuziehen. Keine der beiden Entscheidungen stützt sich auf einen veröffentlichten technischen Befund bezüglich bösartigen Codes in der Kaspersky-Software, und unabhängige Labortests der Kaspersky-Produkte wurden außerhalb der Vereinigten Staaten fortgesetzt. In der Praxis spielt dies dort eine Rolle, wo Beschaffungsvorschriften greifen: bei deutschen öffentlichen Aufträgen, bei Organisationen, deren Kunden die BSI-Empfehlungen entlang ihrer Lieferkette anwenden, bei allen Einrichtungen, die als US-Personen gelten, sowie bei Ausschreibungen, in denen nach dem Herkunftsland des Anbieters gefragt wird. Käufer außerhalb dieser Kategorien unterliegen in der Schweiz oder der Europäischen Union keinen Verkaufsbeschränkungen, und die Entscheidung liegt bei Ihnen.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Hier werden die Erkennungsergebnisse und der Produktumfang beider Anbieter verglichen – nützliche Hintergrundinformationen, wenn das Herkunftsland Teil Ihrer Entscheidung ist.

Sind die „Kaspersky Threat Data Feeds Ransomware URL“ hilfreich bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar hauptsächlich in einem Punkt. In Fragebögen wird typischerweise gefragt, ob Sie externe Bedrohungsinformationen nutzen, wie aktuell diese Informationen sind und wie sie in Ihre Erkennungssysteme gelangen; ein lizenzierter kommerzieller Feed mit einem dokumentierten Aktualisierungszyklus von zwanzig Minuten und einem namentlich genannten Integrationspfad in SIEM oder Firewall beantwortet diese drei Punkte mit einer nachprüfbaren Tatsache statt mit einer Behauptung. Mehr als das beantwortet er nicht. Endgeräteschutzabdeckung, Patch-Status, Multi-Faktor-Authentifizierung, Festplattenverschlüsselung, Tests zur Datensicherung und -wiederherstellung, Aufbewahrungsfristen für Protokolle, Pläne zur Reaktion auf Vorfälle, Sensibilisierungsschulungen für Mitarbeiter, Zugriffsprüfungen und Listen der Unterauftragsverarbeiter bleiben allesamt offen, und der Feed erstellt keinen eigenen Bericht oder ein eigenes Dashboard, sodass alle Nachweise aus Ihrem SIEM oder Ihrer Firewall exportiert werden müssen und nicht aus Kaspersky. Sind mehrere Zeilen gleichzeitig offen, ist es in der Regel kostengünstiger, weitere Feeds aus derselben Kaspersky-Produktfamilie hinzuzufügen oder für Berichte und Abfragen auf das Kaspersky Threat Intelligence Portal umzusteigen, als einen zweiten Intelligence-Anbieter zu beauftragen, da die Bereitstellungsformate und das Feed-Utility unverändert bleiben. Wenn die Lücke eher operativer als informativer Natur ist, wie beispielsweise bei Backup-Tests oder der Reaktionsplanung, kann kein Feed diese schließen, und die Arbeiten müssen eingeplant werden.

Was ist der Unterschied zwischen dem Ransomware-URL-Daten-Feed und dem Malicious-URL-Daten-Feed?

Der entscheidende Unterschied liegt im Umfang, nicht in der Datenqualität. Der Ransomware-URL-Feed deckt ausschließlich Webressourcen ab, die mit Ransomware in Verbindung stehen, während der Malicious-URL-Feed schädliche Webressourcen aller Art abdeckt und daher eine weitaus umfangreichere Liste darstellt. Daher ist der Ransomware-Feed die bessere Wahl, wenn Sie eine kurze, hochspezifische Blockliste für eine Firewall oder ein Gateway benötigen, und der Feed für bösartige URLs die bessere Wahl, wenn Sie eine umfassende Abdeckung in einem SIEM wünschen, das das Datenvolumen bewältigen kann. Beide werden nativ im JSON-Format bereitgestellt und verwenden URL-Masken; daher benötigt eine Kontrollinstanz, die keine Masken verarbeiten kann, Kaspersky CyberTrace als Abgleich-Engine. Innerhalb der Produktfamilie ist für den Feed mit bösartigen URLs eine Variante mit exakten URLs dokumentiert, für den Ransomware-Feed jedoch nicht.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die deutlichste regionale Einschränkung ist die endgültige Entscheidung der US-Behörden: Cybersicherheitsprodukte und -dienstleistungen von Kaspersky, einschließlich des Weiterverkaufs und der Integration in andere Dienste, dürfen nicht an US-Personen bereitgestellt werden, was den Feed für US-Tochtergesellschaften und für Dienstleister mit Kunden in den USA ausschließt. Die zweite Einschränkung ist architektonischer Natur: Der Feed enthält weder eine Konsole noch einen Agenten noch eine Blockierungs-Engine, sodass ein SIEM, eine Next-Generation-Firewall, ein Secure Gateway oder Kaspersky CyberTrace vorhanden und korrekt konfiguriert sein muss, bevor auch nur eine einzige Übereinstimmung generiert wird. Der dritte Punkt betrifft den Erfassungsbereich: Dieser Feed listet Webressourcen auf, auf denen Ransomware gehostet wird. Das bedeutet, dass Ransomware, die über E-Mail-Anhänge, ungeschützte RDP-Verbindungen, gestohlene Anmeldedaten oder laterale Bewegungen eindringt, hier keine Übereinstimmung erzeugt, und Datei-Hashes gehören zu den separaten Hash-Feeds. Kaspersky veröffentlicht außerdem mit „META“ gekennzeichnete regionale Feed-Varianten, deren Abdeckung auf die jeweilige Region abgestimmt ist, während die Standard-Feeds auf eine weltweite Abdeckung abzielen; daher sollte die von Ihnen abonnierte Variante dem tatsächlichen Verlauf Ihres Datenverkehrs entsprechen. Schließlich verwendet der Feed URL-Masken, und Steuerelemente, die keine Masken verarbeiten können, benötigen entweder die Matching-Engine in CyberTrace oder eine mit dem Kaspersky Feed Utility erstellte konvertierte Ausgabe.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Behandelt den Aspekt der Wiederherstellung, den kein Threat-Intelligence-Feed abdeckt, einschließlich der Frage, was ein Ausfall ein Unternehmen tatsächlich kostet.

Häufig gestellte Fragen zu den Kaspersky-Bedrohungsdaten-Feeds – Ransomware-URLs

Enthält der Feed Ransomware-Datei-Hashes?

Nein. Dieser Feed enthält URLs, Domains und Hosts mit Kontext. Datei-Hashes werden von separaten Hash-Feeds derselben Produktfamilie bereitgestellt, wie beispielsweise dem „Malicious Hash Data Feed“, für den ein separates Abonnement erforderlich ist.

Kann der Feed vor dem Kauf getestet werden?

Kaspersky veröffentlicht Demo-Feeds zur Evaluierung und für Integrationstests und weist darauf hin, dass diese niedrigere Erkennungsraten aufweisen als die Produktions-Feeds. Sie eignen sich dazu, zu überprüfen, ob Ihr SIEM oder Ihre Firewall das Format korrekt verarbeitet, nicht jedoch zur Beurteilung der Abdeckung.

Benötigen Sie Kaspersky-Endpunktprodukte, um diesen Feed zu nutzen?

Nein. Der Feed ist für die direkte Integration in Sicherheitslösungen von Drittanbietern wie SIEM-Systeme, Next-Generation-Firewalls und sichere E-Mail- oder Web-Gateways konzipiert, unter anderem über STIX über TAXII. Kaspersky CyberTrace ist optional und wird verwendet, um die Indikatorabgleichung aus dem SIEM auszulagern.