Kaspersky Threat Data Feeds Whitelisting

¿Qué incluye la lista blanca de Kaspersky Threat Data Feeds?

Fuente de datos de listas blancas: información sistemática y actualizada continuamente sobre software legítimo.
Formatos legibles por máquina: se suministran como archivos JSON, CSV, OpenIoC o STIX.
Entrega mediante HTTPS y TAXII: sus propios sistemas los recogen según una programación.
Compatibilidad con SIEM y TIP: compatibles con QRadar, ArcSight, Splunk, MISP y otras plataformas.
Datos de origen verificados: recopilados a partir de Kaspersky Security Network y de los equipos de investigación.
Importante: no incluye consola, agente ni función de bloqueo.

¿Cuáles son las principales ventajas de la lista blanca de Kaspersky Threat Data Feeds?

La lista blanca de Kaspersky Threat Data Feeds es una suscripción a una fuente de datos dentro de la familia Kaspersky Threat Intelligence, y proporciona datos sobre software legítimo conocido en lugar del software en sí. No hay consola de gestión: el feed lo descarga su propio SIEM, su plataforma de inteligencia sobre amenazas o Kaspersky CyberTrace, y la comparación se realiza allí.

Menos falsos positivos: los objetos que se sabe que son legítimos se filtran antes de que los analistas los vean.
Clasificación más rápida de las alertas: los analistas dejan de volver a analizar archivos que ya se ha demostrado que no son maliciosos.
Menor carga de trabajo para el SIEM: llegan menos eventos a la capa de correlación y almacenamiento.
Entrega solo en formato de texto: no se ejecuta ningún código ejecutable dentro de su infraestructura.
Integración independiente del proveedor: se puede utilizar sin necesidad de tener instalado ningún producto de Kaspersky para terminales.
Admite el control de aplicaciones: las fuentes facilitan las decisiones de inclusión en la lista blanca en soluciones y servicios de terceros.

¿Para qué tamaño de empresa es adecuado el servicio de listas blancas de Kaspersky Threat Data Feeds?

Se trata de un producto de operaciones de seguridad, no de un producto para pequeñas empresas. Solo resulta rentable si alguien de su organización ya gestiona un sistema que recopila datos de indicadores y los compara con los eventos. Una empresa que no cuente con un SIEM o una plataforma de inteligencia sobre amenazas no tiene dónde introducir esa información.

¿Cumple Kaspersky Threat Data Feeds Whitelisting con los requisitos de la legislación suiza en materia de ciberseguridad?

Ningún producto de seguridad cumple por sí solo los requisitos de la Ley de Seguridad de la Información (ISG) revisada. Desde el 1 de abril de 2025, los operadores de infraestructuras críticas en Suiza deben notificar los ciberataques que cumplan los criterios a la Oficina Federal de Ciberseguridad (BACS) en un plazo de 24 horas desde su detección, con 14 días adicionales para completar un primer informe que, por necesidad, será incompleto. El plazo de 24 horas es, ante todo, un problema de clasificación antes que de notificación, y aquí es donde el servicio de datos aporta su valor: eliminar de la cola de alertas los archivos cuya legitimidad ya se ha comprobado reduce el tiempo que los analistas necesitan para decidir si un evento es un incidente que debe notificarse. Lo que el feed no hace es detectar el ataque, generar el informe, registrar quién descubrió qué y en qué momento, ni conservar pruebas para la presentación posterior; todo eso lo aportan su plataforma de monitorización, su protección de terminales y su proceso documentado de gestión de incidentes. Este texto constituye información general sobre el producto y no asesoramiento jurídico; para determinar si su organización está sujeta a la obligación de notificación, debe consultar con un asesor jurídico cualificado.

¿Cumple la lista blanca de Kaspersky Threat Data Feeds los requisitos de la legislación europea en materia de ciberseguridad?

Ningún producto garantiza el cumplimiento de la Directiva NIS 2, y cualquier proveedor que afirme lo contrario está describiendo una estrategia de marketing más que el contenido de la directiva. La Directiva NIS 2 exige a las entidades esenciales e importantes que implementen medidas de gestión de riesgos que abarquen la gestión de incidentes, la seguridad de las redes y los sistemas de información, la seguridad de la cadena de suministro, la continuidad del negocio y la notificación de incidentes significativos. Este servicio abarca solo una parte muy concreta de ello: mejora la relación señal-ruido en la supervisión de la seguridad, de modo que los eventos que merecen ser escalados resulten más fáciles de distinguir de la actividad rutinaria. No aporta nada a los flujos de trabajo de gestión de incidentes, al control de acceso, al cifrado, a la planificación de la continuidad, a la formación del personal ni a la evaluación de riesgos de los proveedores, y por sí solo no genera ningún registro de auditoría. Considérelo como un aporte que mejora una capacidad de detección que ya tiene en funcionamiento, no como una medida que pueda presentar por sí sola.

¿Qué debe saber sobre las evaluaciones oficiales de Kaspersky?

En Suiza, la Oficina Federal de Ciberseguridad (BACS) no emite recomendaciones a favor o en contra de productos concretos y no ha publicado ninguna advertencia relativa a Kaspersky; ha declarado que informaría al público si recibiera pruebas confirmadas de uso indebido. En Alemania, la Oficina Federal de Seguridad de la Información (BSI) ha advertido contra el uso del software antivirus de Kaspersky desde el 15 de marzo de 2022. Esa advertencia sigue vigente en 2026, se refiere específicamente al software antivirus y no a toda la gama de productos de Kaspersky, y Kaspersky la ha rebatido públicamente, haciendo hincapié en el almacenamiento de datos en Suiza, sus centros de transparencia y la ausencia de cualquier incidente confirmado, y anunciando medidas legales a principios de 2026 si no se retira la advertencia. En Estados Unidos, el Departamento de Comercio emitió una resolución definitiva el 20 de junio de 2024 por la que se prohibía a Kaspersky suministrar software antivirus y productos de ciberseguridad a personas estadounidenses, quedando prohibidas la reventa, la integración y la concesión de licencias a partir del 29 de septiembre de 2024. Hay un detalle de esa resolución que resulta directamente relevante en este contexto: se establece explícitamente que no se aplica a los productos y servicios de Kaspersky Threat Intelligence de carácter puramente informativo, categoría a la que pertenece este servicio de información. En la práctica, esto afecta a tres grupos de compradores: organizaciones con entidades en EE. UU. u obligaciones contractuales con personas estadounidenses; organismos del sector público alemán y organizaciones que siguen las directrices de la BSI; y cualquier proveedor cuyos grandes clientes tengan en cuenta el país de origen del proveedor en sus procesos de adquisición. Las pruebas de detección independientes realizadas por los laboratorios antivirus abarcan los motores para terminales de Kaspersky y no dicen nada sobre un feed de datos de texto, por lo que tampoco constituyen un indicador útil para este producto en ningún sentido. La decisión te corresponde a ti, en función de tus propios requisitos contractuales y sectoriales.

Norton frente a Kaspersky: ¿qué programa antivirus ofrece la mejor protección en 2025?
Un análisis comparativo del rendimiento en la detección y las características de ambos proveedores.

¿Ayuda la lista blanca de fuentes de datos sobre amenazas de Kaspersky a completar los cuestionarios de seguridad de los grandes clientes?

En parte, y solo en una sección de un cuestionario típico. Te ofrece una respuesta concreta a las preguntas sobre si utilizas fuentes externas de inteligencia sobre amenazas, si tu sistema de monitorización utiliza datos de reputación procedentes de una fuente ajena a tu propio entorno y si tomas medidas activas para reducir la fatiga de alertas en la clasificación. No responde a nada más. Las preguntas sobre la cobertura de la protección de terminales, el estado de los parches, el cifrado de dispositivos móviles, las pruebas de copia de seguridad y restauración, la autenticación multifactorial, las revisiones de acceso, los períodos de retención de registros, los tiempos de respuesta ante incidentes y la formación en concienciación del personal quedan sin abordar, al igual que cualquier pregunta que le pida que presente pruebas o informes, ya que este producto no genera ninguno. También hay un tipo de pregunta en la que la fuente de información puede jugar en tu contra: algunos cuestionarios te piden que declares el país de origen de tus proveedores de seguridad, y un proveedor con sede en Rusia requerirá una explicación independientemente de cómo se entregue el producto. Si las lagunas son precisamente lo que necesitas subsanar, una suscripción más amplia a Kaspersky Threat Intelligence, que cubra fuentes de indicadores maliciosos y la generación de informes, suele costar menos y causar menos problemas de integración que reunir una cobertura equivalente de varios proveedores.

¿Cuál es la diferencia entre el feed de datos de listas blancas y los feeds de indicadores maliciosos?

La diferencia decisiva es la orientación: el feed de datos de listas blancas indica a tus sistemas lo que se sabe que es seguro, mientras que los feeds de indicadores maliciosos les indican lo que se sabe que es peligroso. Eso significa que el feed de listas blancas no puede detectar nada por sí mismo; solo puede suprimir el ruido generado por otra fuente. Los compradores que lo adquieren esperando una cobertura de detección han comprado el feed equivocado. Ambos se suministran en los mismos formatos legibles por máquina y ambos requieren un motor de coincidencia por su parte, por lo que el trabajo de integración es el mismo en ambos casos.

¿Qué limitaciones debes conocer antes de comprarlo?

La compra adicional más habitual es la propia capa de coincidencia: el feed contiene datos de texto y es necesario compararlos con su flujo de eventos, lo que en la práctica significa un SIEM ya existente, una plataforma de inteligencia sobre amenazas o Kaspersky CyberTrace como componente independiente. La segunda es el alcance: este feed reduce el ruido, pero no añade detección, por lo que un centro de operaciones de seguridad que lo adquiera de forma aislada seguirá necesitando los feeds de indicadores de actividad maliciosa para obtener una cobertura completa. En cuanto a la disponibilidad regional, la resolución definitiva de EE. UU. contra Kaspersky excluye expresamente los productos de inteligencia sobre amenazas de carácter puramente informativo; no obstante, una entidad estadounidense de su grupo debería confirmar su propia posición antes de la implementación, y las organizaciones que sigan las directrices del BSI alemán necesitarán una justificación interna, aunque dicha advertencia se refiera al software antivirus y no a las fuentes de datos. Por último, la descripción general actual de los feeds públicos de Kaspersky destaca un subconjunto diferente de sus más de 25 feeds y no menciona el feed de listas blancas por su nombre, por lo que debe confirmar el paquete exacto actual con su distribuidor antes de planificar una integración en torno a él.

¿El mejor antivirus? Por qué Windows Defender por sí solo no es suficiente
. Explica dónde presenta lagunas la protección integrada y qué capas debe añadir aún la empresa por sí misma.

Preguntas frecuentes sobre la lista blanca de las fuentes de datos de amenazas de Kaspersky

¿Sustituye este feed al control de aplicaciones o al software de listas de permitidos?

No. El software de control de aplicaciones aplica una política en un terminal y bloquea lo que no está permitido. Este feed proporciona datos de referencia sobre software legítimo que dicho sistema, o un servicio de terceros, puede consultar a la hora de tomar esa decisión. El componente de aplicación sigue siendo algo que se adquiere y se gestiona por separado.

¿Qué ocurre si un archivo legítimo no figura en el feed?

No se bloquea nada, ya que el feed no bloquea. Un archivo que no figure en la lista simplemente no recibe la confirmación de que es legítimo, por lo que permanece en la cola y se gestiona mediante su proceso de análisis habitual. Las aplicaciones internas, los scripts personalizados y los binarios recién compilados suelen entrar en esta categoría, lo cual conviene tener en cuenta a la hora de estimar el volumen de clasificación que el feed eliminará realmente.