Kaspersky Threat Data Feeds Suricata Rules

Was ist in den „Kaspersky Threat Data Feeds Suricata Rules“ enthalten?

Suricata-Regelsatz – Rund 5.000 IDS-Regeln im Suricata-konformen Format.
Tägliche Regelaktualisierungen – Täglich werden neue und überarbeitete Signaturen veröffentlicht.
Abdeckung der Bedrohungskategorien – APT, Botnet-C&C, Crimeware, DNS-Tunneling, Ransomware, Exploits.
Kontext des Erkennungsnamens – Jeder Alarm enthält den Kaspersky-Erkennungsnamen zur Triage.
Zertifikatsbasierte Bereitstellung – Der Feed wird über HTTPS unter Verwendung eines ausgestellten digitalen Zertifikats abgerufen.
Wichtig – Es sind weder eine Konsole noch ein Agent noch eine Erkennungs-Engine enthalten.

Was sind die Hauptvorteile von „Kaspersky Threat Data Feeds Suricata Rules“?

„Kaspersky Threat Data Feeds Suricata Rules“ ist ein Regel-Feed im Abonnement und kein installiertes Produkt: Er liefert Signaturen, die Ihr eigenes Suricata, IDS, IPS oder Ihre Next-Generation-Firewall lädt und ausführt. Es gibt keine Kaspersky-Verwaltungskonsole und keinen Agenten, sodass Richtlinien, Feinabstimmung und Alarmbearbeitung vollständig innerhalb der von Ihnen bereits eingesetzten Netzwerksicherheitstools erfolgen.

Herstellerunabhängige Bereitstellung – Funktioniert mit jeder Suricata-kompatiblen Engine, die Sie bereits einsetzen.
Keine Softwareinstallation – Ausschließlich textbasierte Regeln, keine Kaspersky-Binärdateien auf den Hosts.
Schnellere Alarmauswertung – Die Erkennungsnamen weisen Analysten direkt auf die Malware-Familie hin.
Vor der Veröffentlichung getestet – Die Regeln durchlaufen eine spezielle Testinfrastruktur, um Fehlalarme zu minimieren.
Erkennung auf Netzwerkebene – Zielt auf Netzwerkbedrohungen ab, die von Standardkontrollen nicht erfasst werden.
Bewährte Regelherkunft – Es handelt sich um dieselben Regeln, die Kaspersky in seiner eigenen Infrastruktur verwendet.

Für welche Unternehmensgröße eignen sich die Kaspersky Threat Data Feeds Suricata-Regeln?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob Sie bereits einen Netzwerksensor betreiben und jemanden haben, der dessen Warnmeldungen auswertet. Ein Regel-Feed erzeugt Warnmeldungen, keine Entscheidungen; daher kann ein Unternehmen ohne IDS, IPS oder NGFW dieses Produkt unabhängig von seiner Größe überhaupt nicht nutzen.

Erfüllt «Kaspersky Threat Data Feeds Suricata Rules» die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt seit dem 1. April 2025 und betrifft Betreiber kritischer Infrastrukturen, darunter Energie- und Wasserversorger, Verkehrsunternehmen, gelistete Spitäler, Rechenzentren sowie kantonale und kommunale Verwaltungen. Betroffene Organisationen müssen innerhalb von 24 Stunden nach Feststellung eines Cyberangriffs einen Erstbericht beim Bundesamt für Cybersicherheit (BACS) einreichen und haben bis zu 14 Tage Zeit, um fehlende Angaben zu ergänzen. Dieser Feed unterstützt den Erkennungsteil dieser Pflicht: Warnmeldungen zu Botnetz-Befehls- und Kontrollverkehr, DNS-Tunneling oder Ransomware-Aktivitäten liefern Ihnen eine zeitgestempelte technische Beobachtung und eine benannte Erkennung, die Sie in den Erstbericht aufnehmen können – was in der Regel der schwierigste Teil ist, den man innerhalb eines einzigen Tages erstellen muss. Den restlichen Teil der Verpflichtung deckt er jedoch überhaupt nicht ab, da der Feed weder einen Melde-Workflow noch ein Fallmanagement für Vorfälle, noch eine Protokollaufbewahrung noch einen Eskalationsprozess enthält – und er liefert überhaupt keine Ergebnisse, wenn Sie über keinen Netzwerksensor verfügen, auf dem die Regeln ausgeführt werden können. Ob Ihre Organisation unter diese Verpflichtung fällt und wie Sie diese in der Praxis erfüllen, ist eine rechtliche Frage, und diese Beschreibung stellt keine Rechtsberatung dar.

Erfüllen die „Kaspersky Threat Data Feeds Suricata Rules“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt dafür, dass eine Organisation die NIS-2-Richtlinie erfüllt, da sich die Richtlinie auf die Verantwortung des Managements, die Risikoanalyse und organisatorische Prozesse bezieht und nicht auf ein einzelnes Tool. NIS 2 schreibt Maßnahmenkategorien vor, darunter Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme, Vorfallbearbeitung, Geschäftskontinuität und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Umgang mit Schwachstellen sowie den Einsatz von Kryptografie und Zugriffskontrolle. Dieser Feed deckt nur einen engen Bereich des Vorfallmanagements und der Erkennung ab: Er löst Warnmeldungen bei bösartigem Netzwerkverkehr aus und liefert den Erkennungskontext, den ein Analyst benötigt, um das Beobachtete einzuordnen. Er leistet keinen Beitrag zur Geschäftskontinuität, zur Datensicherung, zur Zugriffskontrolle, zur Kryptografie, zum Umgang mit Schwachstellen, zur Lieferantenbewertung oder zur Mitarbeiterschulung und liefert keine Belege für die Aufsicht durch das Management – eine Maßnahmenkategorie, die Käufer am häufigsten unterschätzen.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März 2022 vor der Nutzung von Kaspersky-Virenschutzsoftware, und diese Warnung ist nach wie vor in Kraft; sie unterliegt seit dem 6. Dezember 2025 § 13 des geänderten BSI-Gesetzes. Der Geltungsbereich ist für dieses spezifische Produkt von Bedeutung: Die Warnung bezieht sich auf das Antiviren-Software-Portfolio von Kaspersky, und in den FAQ der Behörde selbst heißt es, dass zu anderen Kaspersky-Produkten keine Bewertung abgegeben wurde. Unabhängig davon hat das US-amerikanische Bureau of Industry and Security (BIS) den Neuverkauf von Kaspersky-Produkten in den Vereinigten Staaten ab dem 20. Juli 2024 verboten und Kaspersky-Unternehmen in die Entity List aufgenommen. Kaspersky weist die deutsche Bewertung als politisch und nicht als technisch motiviert zurück und weist darauf hin, dass seine Datenfeeds ausschließlich aus Text bestehen und der gesamte Abgleich mit Bedrohungen durch die eigenen Tools des Kunden und nicht durch Kaspersky-Software erfolgt. Die Schweiz hat keinen vergleichbaren Schritt unternommen: Das BACS hat bestätigt, dass es keine interne Richtlinie oder kein Verbot bezüglich Kaspersky-Software gibt und dass die Entscheidungen bei Ablauf der Verträge bei den einzelnen Bundesämtern liegen. Standardmäßige Ergebnisse von Antiviren-Labortests sind für dieses Produkt kein aussagekräftiger Anhaltspunkt, da ein Regelsatz nicht den Erkennungstests für Endverbraucher unterzogen wird. In der Praxis betrifft dies Ausschreibungen im öffentlichen Sektor, Organisationen mit einer deutschen Muttergesellschaft oder Tochtergesellschaft sowie Käufer, deren Kunden bei der Lieferantenbewertung Herkunftslandkriterien anwenden, während rein private Organisationen ohne solche Einschränkungen in der Schweiz keinen rechtlichen Beschränkungen unterliegen.

Norton vs. Kaspersky: Welches Antivirenprogramm bietet den besten Schutz?
Ein direkter Vergleich beider Anbieter hinsichtlich der Erkennungsleistung und der praktischen Kriterien, nach denen Käufer zwischen ihnen wählen.

Helfen die Kaspersky-Bedrohungsdaten-Feeds für Suricata-Regeln bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar nur innerhalb eines Fragenblocks. Sie erhalten eine dokumentierte Antwort auf Fragen, ob eine Erkennung von Netzwerk-Einbrüchen vorhanden ist, ob Sie eine externe Bedrohungsinformationsquelle abonnieren, wie oft die Erkennungsinhalte aktualisiert werden – was Sie mit „täglich“ beantworten können – und ob Sie Command-and-Control- sowie Ransomware-Datenverkehr nach Kategorien erkennen können. Keiner der übrigen Blöcke wird abgedeckt: Endgeräteschutz, EDR und Reaktionsmaßnahmen, Patch-Management, Multi-Faktor-Authentifizierung, Festplattenverschlüsselung, Tests zur Datensicherung und -wiederherstellung, Aufbewahrungsfristen für Protokolle, Überprüfungen der Zugriffskontrolle sowie Sensibilisierungsschulungen für Mitarbeiter fallen alle nicht in den Umfang dieses Produkts. Ein Punkt verdient besondere Beachtung: In vielen Anfragetabellen von Anbietern wird mittlerweile nach dem Herkunftsland der Sicherheitsanbieter gefragt, und dieses Produkt hilft Ihnen dabei nicht weiter und könnte stattdessen Folgefragen nach sich ziehen. Der kostengünstigste Weg, die Lücken auf der Intelligence-Seite zu schließen, besteht darin, innerhalb derselben „Kaspersky Threat Data Feeds“-Familie zu erweitern, anstatt verschiedene Intelligence-Anbieter zu mischen; die Lücken bei Endgeräten, Backups und der Zugriffskontrolle lassen sich jedoch innerhalb dieser Familie nicht schließen und erfordern in jedem Fall separate Produkte.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Erläutert, warum das Testen von Backups und Wiederherstellungen eine eigenständige Anforderung ist, die Erkennungstools allein nicht erfüllen können.

Was ist der Unterschied zwischen dem „Suricata Rules Data Feed“ und dem „Sigma Rules Data Feed“?

Der entscheidende Unterschied liegt darin, wo die Regeln ausgeführt werden. Suricata-Regeln überprüfen den Live-Netzwerkverkehr innerhalb eines IDS, IPS oder einer NGFW; sie erkennen also, was über die Leitung läuft, und benötigen einen Sensor, der so positioniert ist, dass er diesen Datenverkehr sehen kann. Sigma-Regeln beschreiben die Erkennungslogik für Protokoll- und Ereignisdaten und laufen daher innerhalb einer SIEM- oder Protokollplattform, wobei sie erkennen, was Ihre Systeme aufgezeichnet haben, und nicht, was sie übertragen haben. Beide ergänzen sich eher, als dass sie Alternativen darstellen, und Käufer entscheiden sich je nachdem, welche Plattform sie bereits nutzen. Kaspersky veröffentlicht die Anzahl der Regeln und die Aktualisierungshäufigkeit für den Suricata-Feed, nicht jedoch für den Sigma-Feed, sodass die beiden unteren Zeilen nicht geschätzt, sondern ungenannt bleiben.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die wichtigste Einschränkung ist eher regionaler als technischer Natur: Kaspersky-Produkte dürfen aufgrund des ab dem 20. Juli 2024 geltenden Verbots nicht in die Vereinigten Staaten verkauft werden. Unternehmen mit Niederlassungen in den Vereinigten Staaten oder Kunden aus dem US-Bundesbereich sollten daher vor dem Kauf ihre Situation klären. Technisch gesehen wird der Feed standardmäßig im Erkennungsmodus ausgeliefert, was bedeutet, dass die Regeln Warnmeldungen ausgeben, anstatt den Datenfluss zu blockieren. Die Umstellung auf den Präventionsmodus ist eine Entscheidung, die Sie selbst treffen und in Ihrem eigenen IPS anpassen müssen – mit dem damit verbundenen operativen Risiko. Rund 5.000 Regeln erzeugen Warnmeldungen, die von jemandem gelesen werden müssen; der Feed verursacht also eher Arbeit, anstatt sie zu reduzieren, und Unternehmen ohne ausreichende Analystenkapazitäten geben ihn in der Regel innerhalb weniger Wochen wieder auf. Auch die Integration erfolgt nicht automatisch: Der Feed wird als Text über HTTPS anhand eines ausgestellten Zertifikats bereitgestellt und muss abgerufen, gefiltert und in Ihre Engine kompiliert werden, wofür üblicherweise das „Kaspersky Feed Utility“ oder „CyberTrace“ verwendet wird – was eher ein kleines Projekt als eine einfache Einstellung darstellt. Schließlich schützt dieses Produkt weder Endgeräte noch E-Mail-Postfächer noch Server-Workloads, und der Folgekauf, den es meist auslöst, ist ein Endgeräteschutz, von dem Käufer fälschlicherweise annahmen, er sei enthalten.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, warum Endgeräteschutz neben der Erkennung auf Netzwerkebene weiterhin eine separate Anforderung bleibt.

Häufig gestellte Fragen zu den Kaspersky-Bedrohungsdaten-Feeds für Suricata-Regeln

Muss Kaspersky-Software installiert sein, um diesen Feed zu nutzen?

Nein. Kaspersky stellt ausschließlich textbasierte Feeds bereit, und der gesamte Abgleich mit Bedrohungen erfolgt durch Ihre eigenen Tools. Aus diesem Grund wird der Feed auch von Unternehmen genutzt, die keine Kaspersky-Endgerätesoftware einsetzen würden.

Funktioniert der Feed mit Firewalls der nächsten Generation und PCAP-Tools?

Ja. Kaspersky gibt an, dass die Regeln für Netzwerksicherheitsgeräte vorgesehen sind, darunter Intrusion-Detection- und -Prevention-Systeme, Firewalls der nächsten Generation sowie andere Netzwerksicherheits- oder PCAP-Verarbeitungstools, sofern diese Regeln im Suricata-Format verarbeiten.

Wie werden die Regeln bereitgestellt und auf dem neuesten Stand gehalten?

Nach der Bestellung stellt Kaspersky ein digitales Zertifikat aus, das den Download über einen HTTPS-basierten Dienst autorisiert. Das „Kaspersky Feed Utility“ oder „CyberTrace“ lädt dann die täglichen Updates herunter, filtert sie und kompiliert sie, sodass Ihre Engine stets den aktuellen Regelsatz lädt.