Kaspersky Anti Targeted Attack Platform Advanced

Que comprend la solution « Kaspersky Anti Targeted Attack Platform Advanced » ?

Analyse du trafic réseau – Règles IDS, empreintes TLS et réputation des URL sur le trafic mis en miroir.
Sandbox avancée – Déclenchement des objets suspects provenant du Web, de la messagerie et des terminaux.
Console Web centrale  – Interface unique sur site pour les alertes, les investigations et les interventions.
Enrichissement des informations sur les menaces – Données du Kaspersky Security Network mises en correspondance avec les techniques MITRE ATT&CK.
Réponse au niveau de la passerelle – L’intégration ICAP bloque les objets au niveau du proxy et de la passerelle de messagerie.
Important – Ne comprend pas d’antivirus, de gestion des correctifs, de chiffrement ni de couverture mobile.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique pourquoi une plateforme de détection vient s’ajouter à une couche de protection des terminaux plutôt que de la remplacer.

Quels sont les principaux avantages de Kaspersky Anti Targeted Attack Platform Advanced ?

Kaspersky Anti Targeted Attack Platform est une solution anti-APT sur site qui combine la détection et la réponse réseau avec un bac à sable intégré, gérée depuis une console Web centrale sur vos propres serveurs physiques ou virtuels. Kaspersky commercialisait auparavant cette solution sous le nom de KATA Platform, fournie avec Kaspersky EDR Expert ; cette gamme de solutions pour terminaux est désormais vendue séparément sous le nom de Kaspersky Next EDR Expert.

Visibilité complète du réseau – Détection IDS sur le trafic miroité sans installation d’agents sur les terminaux.
Exécution isolée des fichiers – Verdicts de la sandbox sans exposition des systèmes de production aux échantillons.
Hiérarchisation des alertes – La notation automatisée réduit le travail de tri manuel pour les analystes.
Intégration native à Kaspersky – Fonctionne avec Secure Mail Gateway et Web Traffic Security.
Traitement local des données – S’exécute sur vos propres serveurs physiques ou virtuels.
Capture de paquets liée aux alertes – Un fichier PCAP joint aux alertes IDS documente ce qui s’est réellement passé.

À quelle taille d’entreprise la plateforme Kaspersky Anti Targeted Attack Platform Advanced est-elle adaptée ?

Cette plateforme part du principe que quelqu’un lit les alertes réseau et y donne suite. Kaspersky la destine aux grandes entreprises disposant d’un SOC ou d’une équipe dédiée à la sécurité de l’information, ainsi qu’aux organisations de taille moyenne qui ne peuvent pas recourir à l’analyse dans le cloud. Une entreprise ne disposant pas de personnel de sécurité en interne générera des alertes que personne ne traitera.

La plateforme Kaspersky Anti Targeted Attack Platform Advanced répond-elle aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration prévue par la loi révisée sur la sécurité de l’information s’applique aux exploitants d’infrastructures critiques, et non à toutes les entreprises suisses, et est en vigueur depuis le 1er avril 2025. Les organisations concernées doivent soumettre un rapport initial à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant la découverte d’une cyberattaque, puis un rapport complet dans les 14 jours. La plateforme prend directement en charge l’étape de détection : les alertes IDS, les verdicts du bac à sable et la capture de paquets enregistrée avec chaque alerte vous fournissent un enregistrement horodaté de ce qui a été observé sur le réseau, ce qui constitue la matière première du rapport dans les 24 heures et du suivi détaillé. Elle ne détecte pas ce qu’elle ne peut pas voir ; ainsi, les segments sans mise en miroir du trafic et les terminaux sans agent Kaspersky restent hors de son champ de vision. De plus, elle ne couvre absolument pas l’aspect organisationnel : pas de processus de réponse aux incidents, pas de workflow de signalement défini, pas de responsable désigné, pas de transmission au BACS. Elle ne remplace pas non plus la protection des terminaux, la sauvegarde ou le contrôle d’accès, qui sont les mesures déterminantes pour contenir un incident dès son apparition. Cette description ne constitue pas un avis juridique ; il vous appartient de vérifier auprès de votre propre conseiller juridique si votre organisation est soumise à l’obligation de déclaration.

La solution Kaspersky Anti Targeted Attack Platform Advanced répond-elle aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une entreprise de se mettre en conformité avec la directive NIS 2, car celle-ci porte sur l’organisation et sa gestion des risques, et non sur des logiciels individuels. La directive NIS 2 exige des entités essentielles et importantes qu’elles mettent en place des mesures dans des catégories définies : analyse des risques et politiques de sécurité des systèmes d’information, gestion des incidents, continuité des activités et gestion de crise, sécurité de la chaîne d’approvisionnement, sécurité lors de l’acquisition et de la maintenance des réseaux et des systèmes d’information, procédures d’évaluation de l’efficacité des mesures, cyberhygiène et formation, cryptographie, sécurité des ressources humaines et contrôle d’accès, ainsi qu’authentification multifactorielle. Cette plateforme apporte une contribution substantielle à deux de ces catégories. Elle facilite la gestion des incidents en détectant des indicateurs au niveau du réseau, tels que le trafic de commande et de contrôle, les mouvements latéraux et l’exfiltration de données, et elle facilite l’évaluation de l’efficacité en générant des données d’alerte qui indiquent si la surveillance fonctionne réellement. Les autres catégories ne sont pas prises en compte : la plateforme ne propose ni cryptographie, ni authentification multifactorielle, ni fonction de sauvegarde ou de continuité, ni contrôle d’accès, ni gestion des vulnérabilités ou des correctifs, ni composante de formation. La sécurité de la chaîne d’approvisionnement est un point particulier à examiner ici, car la question relative au fournisseur décrite ci-dessous relève elle-même de cette catégorie.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux mesures prises par les autorités concernant le fournisseur ont été confirmées et sont toujours en vigueur. Le ministère américain du Commerce, par l’intermédiaire de son Bureau de l’industrie et de la sécurité, a publié une décision définitive le 20 juin 2024 interdisant à Kaspersky de conclure de nouvelles transactions avec des personnes américaines à compter du 20 juillet 2024, et de fournir des mises à jour de signatures et de base de code ou d’exploiter le Kaspersky Security Network pour le compte de personnes américaines à compter du 29 septembre 2024. L'Office fédéral allemand pour la sécurité de l'information (BSI) met en garde contre l'utilisation des logiciels antivirus Kaspersky depuis le 15 mars 2022 ; cet avertissement reste publié et, suite à la loi d'application allemande entrée en vigueur le 6 décembre 2025, est désormais émis en vertu de l'article 13 de la loi sur le BSI. Kaspersky rejette l’avertissement allemand, qu’il juge injustifié, et affirme qu’il ne repose pas sur une analyse technique de ses logiciels, en mettant en avant son Initiative mondiale de transparence, dans le cadre de laquelle les données relatives aux menaces provenant d’utilisateurs européens sont traitées depuis novembre 2018 dans deux centres de données situés à Zurich et où le code source peut être consulté dans ses centres de transparence. Les deux mesures prises par les autorités concernent la confiance dans le fournisseur et le risque lié à la chaîne d'approvisionnement plutôt que les performances de détection publiées, et aucune des deux autorités n’a déclaré que la technologie de détection elle-même était défaillante. Dans la pratique, cela concerne principalement trois groupes : les organismes du secteur public et leurs fournisseurs, les entreprises dont les grands clients imposent des exigences relatives à l’origine des fournisseurs par le biais de contrats ou de questionnaires, et tout groupe dont le périmètre d’activité inclut des entités américaines ou des personnes américaines. Pour une entreprise privée suisse ou européenne non soumise à de telles exigences, il s’agit davantage d’une décision à consigner que d’un obstacle.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Une comparaison côte à côte des deux fournisseurs en matière de protection, informations utiles si le choix du fournisseur fait l’objet d’une discussion en interne.

La solution Kaspersky Anti Targeted Attack Platform Advanced facilite-t-elle la réponse aux questionnaires de sécurité des grands clients ?

Oui, pour le volet « détection et surveillance », mais guère plus. Elle répond aux questions relatives à la surveillance de la sécurité du réseau, à la détection des intrusions, aux capacités d’analyse des logiciels malveillants, à l’utilisation des renseignements sur les menaces, à la journalisation des événements de sécurité, ainsi qu’à la possibilité d’enquêter et de réagir de manière centralisée aux incidents détectés. La mise en correspondance avec le modèle MITRE ATT&CK est souvent acceptée comme preuve pour répondre à la question concernant les cadres de couverture de la détection. Elle ne répond à aucune des questions suivantes : déploiement et taux de couverture de la protection des terminaux, gestion des correctifs et des vulnérabilités, chiffrement des données au repos et en transit, authentification multifactorielle, tests de sauvegarde et de restauration, gestion des identités et des accès, exhaustivité de l’inventaire des actifs et formation à la sensibilisation à la sécurité. Il ne répond pas non plus aux questions concernant l’origine du fournisseur, l’exposition aux sanctions ou les restrictions liées à la chaîne d’approvisionnement, qui apparaissent de plus en plus souvent dans les questionnaires des grands clients et des clients du secteur public, et pour lesquelles les évaluations décrites ci-dessus constituent des données pertinentes. Pour combler ces lacunes techniques, la solution la plus économique consiste généralement à rester au sein de la même famille de produits : Kaspersky Endpoint Security couvre les aspects liés à la protection des terminaux et à la gestion du chiffrement, et le passage au niveau KATA Ultra ajoute les fonctionnalités Expert EDR et XDR natives qui répondent aux questions relatives à la détection au niveau des terminaux, plutôt que d’ajouter un deuxième fournisseur et une deuxième console.

Test : Logiciels antivirus : les meilleurs logiciels antivirus pour Windows 2025.
Ce comparatif passe en revue les produits de protection des terminaux Windows qui s’intégreraient à cette plateforme et répondraient aux questions relatives aux terminaux qu’elle laisse en suspens.

Quelle est la différence entre KATA, KATA NDR Enhanced et KATA Ultra ?

La seule différence déterminante réside dans le fait que seul KATA Ultra inclut des capacités EDR Expert et des fonctionnalités XDR natives ; les deux autres niveaux se limitent au réseau. La deuxième différence concerne la profondeur de l’analyse réseau : le niveau de base KATA détecte le trafic nord-sud à l’aide de règles IDS, de l’empreinte TLS et de la réputation des URL, tandis que KATA NDR Enhanced ajoute l’inspection approfondie des paquets, la détection est-ouest, la carte du réseau et le module d’inventaire, la détection des anomalies et du « shadow IT », ainsi que le stockage du trafic brut pour une analyse rétrospective. La sandbox avancée, l’enrichissement des renseignements sur les menaces et la réponse via la passerelle ICAP sont présents dans les trois niveaux. Kaspersky ne précise pas à quel niveau correspond une offre grand public portant la mention « Advanced » ; il convient donc de vérifier l’étendue des fonctionnalités avant de passer commande.

Quelles sont les restrictions à connaître avant l’achat ?

Le point régional le plus important : les produits de cybersécurité et antivirus de ce fournisseur ne peuvent pas être vendus ni mis à jour pour des personnes américaines, ce qui affecte tout groupe dont une entité américaine fait partie du périmètre, et le Kaspersky Security Network ne fonctionne pas sur les systèmes américains. Le deuxième point concerne le périmètre. Il s’agit d’une plateforme de détection, et non d’une solution de protection des terminaux ; elle nécessite donc la présence de Kaspersky Endpoint Security sur les hôtes et de Kaspersky Security Center version 14.2 ou supérieure pour fournir des données télémétriques des terminaux. De plus, le composant EDR (KATA) ne peut pas s’exécuter sur le même terminal que les versions EDR Optimum ou EDR Expert. La surveillance des terminaux couvre Windows et Linux ; macOS et les appareils mobiles sont totalement exclus du champ d’application de la télémétrie, et la gestion des correctifs ainsi que le chiffrement ne font partie du produit à aucun niveau. Le déploiement s’effectue sur site, sur vos propres serveurs physiques ou virtuels, ce qui implique que vous ayez besoin d’une mise en miroir de ports ou d’un tap réseau sur les segments que vous souhaitez surveiller, ainsi que de personnel pour dimensionner et maintenir les serveurs de capteurs et de nœuds centraux. Enfin, comme « Advanced » est un nom commercial plutôt qu’un nom de niveau officiel de Kaspersky, vérifiez auprès de votre fournisseur lequel des trois niveaux fonctionnels est réellement couvert par l’offre avant de passer commande.

Foire aux questions sur Kaspersky Anti Targeted Attack Platform Advanced

Cette plateforme remplace-t-elle l’antivirus sur les postes de travail et les serveurs ?

Non. Elle analyse le trafic réseau et neutralise les objets suspects, mais elle ne protège pas les terminaux. Kaspersky Endpoint Security reste indispensable sur les hôtes, et ses composants « File Threat Protection », « Behavior Detection » et « Host Intrusion Prevention » sont indispensables au bon fonctionnement de l’agent KATA.

Où les données sont-elles traitées ?

Les alertes, les métadonnées de trafic et les résultats du bac à sable restent sur vos propres serveurs, car la plateforme est déployée sur site. Les requêtes de réputation envoyées au Kaspersky Security Network constituent un cas à part : depuis novembre 2018, les données relatives aux menaces provenant d'utilisateurs européens sont traitées dans deux centres de données situés à Zurich, dans le cadre de l'initiative « Global Transparency Initiative » du fournisseur.

Les alertes peuvent-elles être transmises à un système SIEM existant ?

Oui. La plateforme offre une intégration native avec les systèmes SIEM, y compris Kaspersky SIEM et des outils tiers, et prend en charge le protocole ICAP ainsi qu’une API pour l’analyse des objets, le transfert des alertes et les actions de réponse à partir de systèmes externes. Cela est important si votre SOC effectue déjà des corrélations dans un outil central et ne souhaite pas utiliser une deuxième console comme espace de travail principal.