Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition

Que comprend la solution « Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition » ?

Serveur Central Node – Cœur de système sur site qui stocke les alertes et exécute les analyses.
Analyse du trafic réseau – Inspecte le trafic SPAN, ERSPAN et RSPAN mis en miroir à l’aide de règles IDS.
Sandbox avancée – Exécute les fichiers et les URL dans des machines virtuelles Windows configurables.
Module KEDR pour les terminaux – Télémétrie des terminaux, analyse des indicateurs de compromission (IOC) et actions de réponse à distance.
Flux de renseignements sur les menaces – Données de réputation du KSN ou du réseau de sécurité privé, mise en correspondance avec le modèle MITRE ATT&CK.
Important –  Les licences de protection des terminaux ne sont pas incluses ; achetez Kaspersky Endpoint Security séparément.

Quels sont les principaux avantages de Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition ?

Il s’agit d’une plateforme anti-APT sur site qui combine l’analyse du trafic réseau, le sandboxing ainsi que la détection et la réponse sur les terminaux au sein d’une seule console web auto-hébergée. Le volet « terminaux » correspond au bloc fonctionnel KEDR, commercialisé auparavant sous le nom de Kaspersky EDR Expert, une appellation que l’on retrouve encore dans l’ancienne documentation et les listes de partenaires.

Une file d’attente d’alertes unique – Les détections au niveau du réseau et des terminaux sont regroupées dans la même console.
Aucune dépendance au cloud – La solution s’exécute au sein de votre propre centre de données, et non sur l’environnement d’un fournisseur.
Visibilité sur les appareils non gérés – Les capteurs réseau détectent les hôtes ne disposant d’aucun agent.
Confinement plus rapide – Isolez un hôte ou bloquez un fichier depuis la console.
Preuves d’investigation réutilisables – Les rapports d’alerte et les tableaux de session s’exportent pour constituer des dossiers d’incident.
Prise en charge des EPP tiers – L’agent EDR fonctionne en parallèle avec la suite de sécurité des terminaux d’un autre fournisseur.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Ce document explique les limites de la protection intégrée à Windows et pourquoi des couches de détection et de réponse sont ajoutées en complément.

À quelle taille d’entreprise la plateforme Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition est-elle adaptée ?

Kaspersky destine cette plateforme aux grandes entreprises disposant d’une équipe dédiée aux opérations de sécurité, ainsi qu’aux organisations de taille moyenne qui conservent les données relatives aux menaces au sein de leur propre infrastructure pour des raisons réglementaires ou de confidentialité. Le facteur déterminant n’est pas l’effectif, mais le fait que quelqu’un examine quotidiennement les alertes : la plateforme signale les détections et propose des mesures de réponse, mais elle n’effectue pas de triage à votre place.

La solution Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition répond-elle aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration introduite par la loi révisée sur la sécurité de l’information s’applique aux exploitants d’infrastructures critiques, par exemple les fournisseurs d’énergie et d’eau potable, les entreprises de transport, les hôpitaux répertoriés, les fournisseurs de centres de données et de services cloud, ainsi que les administrations cantonales et communales, et non à toutes les entreprises suisses. Ces exploitants doivent signaler toute cyberattaque éligible à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, les détails manquants pouvant être fournis ultérieurement. Cette plateforme apporte sa contribution au niveau de la détection et du contenu de ce premier signalement : une alerte identifie les hôtes affectés, les sessions réseau concernées et la technique MITRE ATT&CK correspondante, et les rapports d’alerte peuvent être exportés et joints au dossier d’incident. En revanche, elle ne détermine pas si un incident atteint le seuil de signalement, ne transmet aucune information au BACS et ne fournit pas de soutien organisationnel ; vous devez donc toujours disposer d’une personne responsable désignée, d’une procédure d’escalade fonctionnant en dehors des heures de bureau et d’un compte rendu écrit de la décision relative à l’obligation de signalement. Cela n’a par ailleurs aucune incidence sur l’obligation distincte de notification en matière de protection des données, qui obéit à ses propres critères. Ce texte ne constitue pas un avis juridique ; pour savoir si votre organisation est soumise à l’obligation de signalement, il convient de vous renseigner auprès d’un conseiller juridique ou directement auprès du BACS.

La solution Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition répond-elle aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit de sécurité ne permet à une organisation d’être conforme à la directive NIS 2, car celle-ci porte sur la responsabilité de la direction, les processus et les preuves plutôt que sur les outils. La directive NIS 2 exige la mise en place de mesures dans des catégories définies : analyse des risques et politiques de sécurité, gestion des incidents, continuité des activités et gestion de crise, sécurité de la chaîne d’approvisionnement, sécurité lors de l’acquisition et de la maintenance (y compris la gestion des vulnérabilités), procédures d’évaluation de l’efficacité des mesures, cyberhygiène et formation, cryptographie, contrôle d’accès et gestion des actifs, ainsi qu’authentification multifactorielle ou communications sécurisées. Cette plateforme couvre la gestion et la détection des incidents, et elle alimente la catégorie « évaluation de l’efficacité » car les alertes, les tables de sessions réseau et les actions de réponse sont enregistrées et exportables vers un SIEM. Elle n’apporte aucune contribution en matière de cryptographie, d’authentification multifactorielle, de contrôle d’accès, de formation, de continuité des activités ou d’évaluation de la chaîne d’approvisionnement, et elle n’effectue ni analyse de vulnérabilités ni application de correctifs ; ces catégories doivent donc être couvertes par d’autres outils et par des processus documentés.

Que faut-il savoir concernant les évaluations officielles de Kaspersky ?

Le Bureau de l’industrie et de la sécurité du ministère américain du Commerce a annoncé, le 20 juin 2024, une décision définitive interdisant à Kaspersky de conclure de nouveaux accords avec des personnes américaines à compter du 20 juillet 2024 et, à compter du 29 septembre 2024, de fournir des mises à jour de signatures ou de code source, d’exploiter le Kaspersky Security Network aux États-Unis, ou de voir ses logiciels revendus ou intégrés par des tiers. Trois entités de Kaspersky ont été ajoutées à la liste des entités (Entity List), et le Trésor américain a désigné des membres de la direction de l’entreprise le 21 juin 2024. En Allemagne, l’Office fédéral de la sécurité de l’information a publié en mars 2022 un avertissement recommandant le remplacement des produits Kaspersky, et a confirmé après l’annonce américaine que cet avertissement restait d’actualité ; l’Allemagne n’a pas imposé d’interdiction de vente. L’Italie et les Pays-Bas ont restreint l’accès de Kaspersky aux marchés publics plutôt qu’au commerce général, et la Suisse n’a imposé ni interdiction de vente ni restriction d’achat ; les produits sont donc vendus et mis à jour normalement dans ce pays et dans toute l’Union européenne. Kaspersky rejette la décision américaine, qu’elle considère comme une évaluation géopolitique plutôt que technique, et a engagé des voies de recours juridiques ; elle met en avant son Initiative mondiale de transparence, dans le cadre de laquelle les données relatives aux menaces partagées par les utilisateurs européens sont traitées dans deux centres de données à Zurich et le code source peut être examiné dans ses Centres de transparence. Dans la pratique, cela a de l’importance si vous détenez des contrats avec le secteur public américain, exploitez des entités aux États-Unis, répondez à des appels d’offres publics dans des pays appliquant des restrictions en matière de marchés publics, ou répondez à des questionnaires destinés aux fournisseurs qui vous demandent le pays d’origine du fournisseur ; pour un acheteur suisse du secteur privé n’ayant aucun lien avec les États-Unis, aucune restriction ne s’applique actuellement.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Comparaison entre Kaspersky et un autre fournisseur en termes de résultats de détection et d'étendue des fonctionnalités.

La solution Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition est-elle utile pour répondre aux questionnaires de sécurité des grands comptes ?

Oui, pour le volet « détection et réponse », mais guère au-delà. Elle répond aux questions relatives à la couverture de la détection et de la réponse au niveau des terminaux, à la détection des intrusions réseau, au sandboxing des logiciels malveillants, à l’enrichissement des renseignements sur les menaces, à l’exportation des journaux vers un SIEM au format d’événement commun, aux mesures de réponse documentées telles que l’isolement des hôtes, ainsi qu’à la visibilité des actifs, puisque la carte du réseau et la détection du « shadow IT » couvrent les appareils ne disposant d’aucun agent. Elle ne répond à aucune des questions suivantes : gestion des correctifs, chiffrement des disques et des supports amovibles, authentification multifactorielle, sauvegarde et restauration, analyse des vulnérabilités, gestion des accès, formation à la sensibilisation à la sécurité et couverture de surveillance 24 heures sur 24, car la plateforme détecte les menaces mais personne ne surveille les événements en dehors de vos propres horaires de travail. Au sein de la gamme Kaspersky, ces lacunes sont comblées par Kaspersky Endpoint Security for Business pour la gestion des correctifs et du chiffrement, et par Kaspersky MDR pour la surveillance continue ; le fait de rester chez un seul fournisseur permet de conserver une console unique et un format d’exportation unique pour les preuves, ce qui constitue généralement la solution la plus économique par rapport à l’ajout d’une deuxième pile de gestion.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les interruptions de service.
Ce chapitre aborde les aspects liés à la sauvegarde et à la restauration que ne couvre pas une plateforme de détection.

Quelle est la différence entre KATA, KATA NDR Enhanced et KATA Ultra ?

La seule différence déterminante réside dans la présence ou non d’une licence pour le bloc « terminaux » : seul le niveau supérieur inclut la détection et la réponse au niveau des terminaux ; sans cela, vous bénéficiez d’une détection au niveau du réseau, sans télémétrie des agents ni actions de réponse au niveau des terminaux. Kaspersky décrit actuellement trois niveaux, la sandbox réseau étant présente dans chacun d’entre eux et les fonctionnalités NDR s’enrichissant à partir du niveau intermédiaire. Les fiches produits en ligne affichent toujours l’ancienne structure des éditions, et le nom « Enterprise EDR Edition » fait référence à la configuration dans laquelle le bloc réseau KATA et le bloc terminal KEDR sont tous deux actifs. Tous les niveaux sont déployés sur votre propre infrastructure ; aucun d’entre eux n’est un service hébergé dans le cloud.

Quelles sont les restrictions à connaître avant l'achat ?

La restriction la plus importante est d’ordre régional : conformément à la décision du Bureau américain de l’industrie et de la sécurité, les logiciels Kaspersky ne peuvent plus être vendus à des personnes américaines et ne bénéficient plus d’aucune mise à jour des signatures ou du code source aux États-Unis depuis le 29 septembre 2024. Par conséquent, un groupe suisse ou européen disposant d’entités aux États-Unis ne peut pas standardiser l’utilisation de cette plateforme à l’échelle de l’ensemble de son organisation, et les offres grand public sont en outre commercialisées sous forme d’éditions spécifiques à chaque région. La couverture de la plateforme est inégale : l’agent de protection des terminaux est intégré à Kaspersky Endpoint Security pour Windows et Linux ; la configuration de l’agent EDR autonome, qui coexiste avec une suite de protection des terminaux tierce, est une fonctionnalité réservée à Windows ; enfin, les appareils mobiles ne sont pas couverts du tout. Le déploiement relève davantage de l’ingénierie réseau que d’une simple installation logicielle, car la plateforme a besoin que le trafic lui soit répliqué à partir d’un commutateur, d’un « packet broker » ou d’un « network tap » avant de pouvoir détecter quoi que ce soit du côté du réseau. La configuration de l’agent EDR ne comporte aucun composant de protection ou de contrôle ; la prévention reste donc assurée par Kaspersky Endpoint Security ou une autre suite de sécurité pour terminaux. Les achats complémentaires qui surprennent le plus souvent les acheteurs concernent les licences de protection des terminaux, la gestion des correctifs et du chiffrement, ainsi qu’un service géré si les alertes doivent être surveillées en dehors des heures de travail.

Foire aux questions sur Kaspersky Anti Targeted Attack Platform Enterprise EDR Edition

Ce produit remplace-t-il Kaspersky Endpoint Security for Business ?

Non. L’agent de terminal collecte des données télémétriques et exécute des tâches de réponse ; dans sa configuration autonome, l’agent EDR ne comporte aucun composant de protection ou de contrôle. Le blocage, le contrôle des appareils et le contrôle des applications relèvent toujours d’une suite complète de protection des terminaux.

Peut-il fonctionner en parallèle d’une suite de sécurité pour terminaux tierce ?

Oui. La configuration de l’agent EDR est conçue pour coexister avec une plateforme de protection des terminaux tierce, ce qui vous permet d’ajouter des fonctionnalités de détection et de réponse sans remplacer votre fournisseur actuel. L’agent est déployé et intégré via la console Kaspersky Security Center et nécessite la présence de l’agent réseau sur l’ordinateur cible.

Où les données relatives aux menaces sont-elles traitées lorsque les recherches de réputation dans le cloud sont activées ?

Les données relatives aux menaces partagées par les utilisateurs européens avec le Kaspersky Security Network sont traitées dans deux centres de données situés à Zurich. Les organisations qui ne peuvent rien envoyer en dehors de leur propre infrastructure peuvent utiliser à la place le Kaspersky Private Security Network, qui conserve la base de données de réputation en local.