Kaspersky APT C&C Tracking

Que comprend le service « Kaspersky APT C&C Tracking » ?

Liste des infrastructures APT – Adresses IP des infrastructures liées à des attaques ciblées avancées.
Mises à jour quotidiennes – Nouvelles découvertes de l'équipe mondiale de recherche et d'analyse de Kaspersky.
Contexte d'attribution – Nom du groupe APT, de l'opération ou du logiciel malveillant par adresse.
Contexte réseau – Fournisseur d'accès Internet, système autonome, première et dernière observation.
Exportation au format lisible par machine – Fichier CSV ou JSON à importer dans des outils de sécurité.
Important – Aucun agent ni console de gestion ; le service fournit uniquement des données.

Quels sont les principaux avantages du service « Kaspersky APT C&C Tracking » ?

Kaspersky APT C&C Tracking est un service par abonnement intégré au portail Kaspersky Threat Intelligence Portal qui publie les adresses IP des infrastructures liées à des attaques ciblées avancées ; il n’y a ni console ni rien à installer, car la liste s’affiche dans le navigateur ou est récupérée via l’API du portail. Kaspersky inclut désormais ce service dans son portefeuille de renseignements sur les menaces sous le nom de « Threat Infrastructure Tracking » et a renommé la section du portail en conséquence, bien que l’ancien nom « APT C&C Tracking » apparaisse toujours dans l’aide du produit et dans la méthode de l’API.

Intégration dans les listes noires – Les adresses peuvent alimenter les règles de pare-feu, de proxy et de SIEM.
Attribution nominative – Les analystes identifient le groupe APT auquel une adresse appartient.
Filtre par pays – Permet de limiter la liste aux régions que vous surveillez.
Aucun déploiement – Rien à installer, aucun agent à maintenir ni à mettre à jour.
Chronologie des incidents – Les dates de première et dernière détection permettent d’établir la chronologie des attaques.
Récupération via l’API – La liste peut être extraite par programmation plutôt que manuellement.

À quelle taille d’entreprise la solution Kaspersky APT C&C Tracking est-elle adaptée ?

Il s’agit de données destinées aux analystes, et non d’un produit de protection ; le facteur déterminant n’est donc pas l’effectif, mais le fait que quelqu’un lise la liste et agisse en conséquence. Une organisation disposant d’un pare-feu ou d’un SIEM auquel elle peut alimenter ces données, et d’une personne chargée d’examiner les correspondances, en tirera pleinement parti. Une organisation ne disposant ni de l’un ni de l’autre téléchargera simplement un fichier qu’elle n’utilisera jamais.

Le service Kaspersky APT C&C Tracking répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de signalement prévue par la loi révisée sur la sécurité de l’information s’applique depuis le 1er avril 2025 et concerne les exploitants d’infrastructures critiques en Suisse, parmi lesquels les fournisseurs d’énergie et d’eau, les entreprises de transport, les hôpitaux, les institutions financières ainsi que les autorités cantonales et communales. Ces organisations doivent soumettre un rapport initial à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant la découverte d’une cyberattaque éligible, les détails restants devant être fournis dans un délai de 14 jours. La solution Kaspersky APT C&C Tracking facilite la détection de manière ciblée : lorsqu’un système surveillé contacte une adresse figurant sur la liste, cette correspondance constitue un signal daté indiquant qu’une attaque ciblée est peut-être en cours, et les champs « première détection » et « dernière détection » fournissent au formulaire de déclaration une chronologie solide. Il ne détecte rien de lui-même, ne surveille pas votre réseau, ne génère pas le rapport et ne conserve aucun journal en votre nom ; par conséquent, la détection, le triage et le processus de signalement doivent tous être assurés par d’autres moyens. Cette présentation ne constitue pas un avis juridique ; il vous appartient de vérifier auprès de votre propre conseiller juridique si votre organisation est soumise à l’obligation de signalement.

La solution Kaspersky APT C&C Tracking répond-elle aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une entreprise de se conformer à la directive NIS 2, car celle-ci porte sur les obligations organisationnelles : analyse des risques, gestion et signalement des incidents, continuité des activités, sécurité de la chaîne d’approvisionnement et évaluation de l’efficacité réelle des mesures mises en place. Kaspersky APT C&C Tracking intervient dans deux de ces catégories. Il contribue à l’analyse des risques en identifiant l’infrastructure associée à des acteurs malveillants spécifiques, et il contribue à la gestion des incidents en tant que source d’enrichissement lorsque l’analyste doit déterminer si une connexion sortante est significative. Il n’apporte rien en matière de continuité des activités, de contrôle d’accès, de chiffrement, de formation du personnel ou d’évaluation des fournisseurs, et il ne génère pas de piste d’audit propre sur laquelle un examen d’efficacité pourrait s’appuyer. Les organisations concernées devraient le considérer comme un élément parmi d’autres d’un processus de détection existant, et non comme l’une des mesures requises.

Que faut-il savoir des évaluations officielles de Kaspersky ?

L’Office fédéral allemand de la sécurité de l’information (BSI) a publié, le 15 mars 2022, un avertissement contre l’utilisation du logiciel antivirus Kaspersky. Cet avertissement est toujours publié et en vigueur ; depuis l’entrée en vigueur de la loi allemande de transposition de la directive NIS 2 le 6 décembre 2025, il est émis en vertu de l’article 13 de la loi sur le BSI plutôt que de l’article 7. Les États-Unis sont allés plus loin : le 20 juin 2024, le Bureau de l’industrie et de la sécurité a rendu une décision définitive interdisant à Kaspersky de fournir des logiciels antivirus et des produits ou services de cybersécurité à des personnes américaines, a suspendu les mises à jour le 29 septembre 2024 et a ajouté AO Kaspersky Lab, OOO Kaspersky Group et Kaspersky Labs Limited à la liste des entités. Cette décision exclut expressément les services de Kaspersky en matière de renseignements sur les menaces, de formation et de conseil qui sont de nature informative, catégorie dans laquelle s'inscrit ce service. Kaspersky rejette l’avertissement du BSI, estimant qu’il ne repose pas sur une analyse technique objective, et met en avant ses centres de transparence ainsi que ses audits réalisés par des tiers. La Suisse n’a pris aucune de ces mesures : l’Office fédéral de la cybersécurité n’a émis ni avertissement ni interdiction, a déclaré qu’aucun abus des logiciels Kaspersky en Suisse ne lui avait été signalé et a confirmé qu’il n’existait aucune directive fédérale à l’encontre de ces produits. Les avertissements concernent des logiciels disposant de privilèges système étendus installés sur des machines protégées, alors que ce service n’installe rien ; les tests effectués par des laboratoires indépendants portent sur les produits de protection des terminaux de Kaspersky et n’évaluent en aucun cas ce service de données. Dans la pratique, ces évaluations revêtent une importance capitale pour les appels d’offres du secteur public, les chaînes d’approvisionnement liées à la défense et les clients dont les propres règles d’achat excluent les fournisseurs d’origine russe.

Norton vs Kaspersky – Quel programme antivirus offre la meilleure protection en 2025 ?
Une comparaison côte à côte des deux éditeurs, utile si les évaluations officielles ont remis votre logiciel de sécurité pour terminaux Kaspersky à l’ordre du jour en interne.

Le service « APT C&C Tracking » de Kaspersky est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

Oui, mais uniquement pour un type de questions. Il répond aux questions concernant les sources externes de renseignements sur les menaces : vous pouvez citer un flux commercial, indiquer qu’il est mis à jour quotidiennement, décrire le contexte d’attribution associé à chaque adresse et montrer que les indicateurs sont importés dans votre pare-feu, votre proxy ou votre SIEM. Tout le reste d’un questionnaire standard reste en suspens. Il n’y a ni protection des terminaux, ni EDR, ni preuves de journalisation ou de conservation des données, ni gestion des correctifs ou des vulnérabilités, ni chiffrement ni gestion des clés, ni authentification multifactorielle, ni sauvegarde, ni modèle de contrôle d’accès, ni format de rapport conçu pour servir de preuve d’audit. Deux autres points nécessitent une réponse préparée plutôt qu’un produit : le pays d’origine du fournisseur, que les grands clients demandent de plus en plus souvent directement, et l’absence de certification indépendante couvrant ce service spécifique. Lorsque les lacunes restantes concernent la couverture des renseignements plutôt que la protection, rester sur le même portail est généralement la solution la plus économique, car les flux de données sur les menaces, les rapports de renseignements sur les menaces et les renseignements sur l’empreinte numérique sont proposés sous licence en tant que services distincts sur le même accès.

Quelles sont les limites à connaître avant d’acheter ?

Le service ne couvre que les adresses IP ; les domaines, les adresses web et les hachages de fichiers n’en font pas partie et doivent provenir d’une autre source. L’interface Web et l’API ne sont pas équivalentes : l’interface permet de filtrer par date et par pays et d’exporter un fichier CSV ou JSON, tandis que l’API permet de répertorier des adresses et de filtrer par pays, mais ne permet pas de filtrer par date ni d’exporter de fichier, ce qui limite les pipelines automatisés s’appuyant uniquement sur l’API. L’accès n’est pas en libre-service, car le portail nécessite des identifiants et un certificat délivré par un responsable de compte technique de Kaspersky. Concernant la disponibilité régionale, l’interdiction américaine des produits de cybersécurité Kaspersky exclut les services de renseignements sur les menaces ; celui-ci n’est donc pas concerné, mais les groupes comportant des entités aux États-Unis doivent tout de même vérifier au préalable leurs propres règles d’approvisionnement. L'achat complémentaire le plus courant est un deuxième service de renseignements, car une liste d’adresses IP à elle seule répond rarement à la question suivante que se pose un analyste après avoir identifié une correspondance.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Ce service explique ce qu’une couche de protection sur le terminal doit réellement faire, ce que ce service de données ne remplace pas.

Foire aux questions sur le suivi C&C APT de Kaspersky

Dans quels formats la liste d’adresses IP peut-elle être exportée ?

L’interface web propose un téléchargement en deux formats : une archive CSV ou une archive JSON, toutes deux fournies sous forme de fichiers .zip. Le filtre par pays est appliqué avant le téléchargement ; l’exportation ne contient donc que les régions que vous avez sélectionnées.

Comment l’accès au service est-il accordé ?

L’accès s’effectue via le portail Kaspersky Threat Intelligence Portal à l’aide d’identifiants fournis par un responsable de compte technique Kaspersky. Le deuxième facteur d’authentification est soit un certificat importé, soit un mot de passe à usage unique provenant d’une application d’authentification TOTP, si votre organisation autorise cette méthode.