Kaspersky APT & Crimeware Intelligence Reporting

Que contient le rapport « Kaspersky APT & Crimeware Intelligence » ?

Rubrique « Rapports APT » – Enquêtes menées en continu par Kaspersky sur les campagnes ciblées et soutenues par des États.
Rubrique « Rapports Crimeware » –  Analyse des campagnes de ransomware et de logiciels malveillants à motivation financière.
Profils des acteurs malveillants – Pseudonymes, familles de logiciels malveillants et TTP (techniques, tactiques et procédures) mis en correspondance avec le modèle MITRE ATT&CK.
Indicateurs lisibles par machine – Indicateurs de compromission (IoC) aux formats openIOC et STIX, ainsi que des règles YARA et Suricata.
Portail et API – Archives de rapports filtrables avec API RESTful pour l’intégration dans les flux de travail.
Important –  Aucun agent, aucune console et aucune fonction de protection ou de blocage.

Quels sont les principaux avantages de Kaspersky APT & Crimeware Intelligence Reporting ?

Kaspersky APT & Crimeware Intelligence Reporting est un service de renseignements qui regroupe les deux séries de rapports que Kaspersky commercialisait auparavant séparément sous les noms de Kaspersky APT Intelligence Reporting et Kaspersky Crimeware Intelligence Reporting. Il s’utilise entièrement via le portail Kaspersky Threat Intelligence Portal ; il n’y a donc rien à installer ni aucune console de gestion à utiliser.
Visibilité avant divulgation – Détails techniques sur les campagnes avant la publication des rapports publics.
Contribution à l’ingénierie de détection – Règles YARA et Suricata prêtes à l’emploi que vos analystes peuvent déployer directement.
Contexte de triage plus rapide – L’attribution et la cartographie des TTP (techniques, tactiques et procédures) accélèrent l’investigation des alertes ambiguës.
Filtrage par pertinence – Filtrage par secteur d’activité ciblé, pays, acteur et date de publication.
Accès aux archives rétrospectives – Tous les rapports privés publiés précédemment restent disponibles tant que l’abonnement est actif.
Résumés destinés au conseil d’administration – Chaque rapport s’ouvre sur un résumé exécutif destiné à la direction.

À quelle taille d’entreprise le service « Kaspersky APT & Crimeware Intelligence Reporting » est-il adapté ?

Le facteur déterminant n’est pas l’effectif, mais le fait de savoir si, au sein de l’organisation, des personnes lisent des rapports sur les menaces dans le cadre de leur travail. Le renseignement n’a pas d’effet automatisé : les listes d’IoC, les règles YARA et les profils d’acteurs ne modifient votre posture de sécurité qu’une fois qu’un analyste les a chargés dans une plateforme de détection.

Test : les meilleurs logiciels antivirus pour Windows 2025
Comparaison des produits antivirus Windows actuels et aide aux petites entreprises pour choisir une protection de base avant d’investir dans des solutions de veille sur les menaces.

Le service « Kaspersky APT & Crimeware Intelligence Reporting » répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration suisse s’applique aux opérateurs d’infrastructures critiques, et non à toutes les entreprises : la loi révisée sur la sécurité de l’information cite notamment les fournisseurs d’énergie et d’eau potable, les entreprises de transport, les hôpitaux répertoriés, les fournisseurs de services cloud et de centres de données, ainsi que les administrations cantonales et communales. Ces opérateurs doivent signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, avec un délai supplémentaire pour compléter le rapport initial. Ce service apporte précisément son soutien pendant ces premières 24 heures, car les profils d’acteurs, les indicateurs de compromission (IoC) et la cartographie MITRE ATT&CK permettent à un analyste de déterminer si l’activité observée correspond à une campagne connue, ce qui constitue la classification requise pour un premier rapport. Ce qu’il ne fait pas, c’est détecter l’attaque, conserver les journaux ou produire le rapport : le service ne détient aucune télémétrie provenant de votre environnement et ne génère aucune trace probatoire ; la détection et la journalisation doivent donc provenir d’un terminal, d’un produit EDR ou d’un produit SIEM. Le contenu du rapport est en outre classé selon le protocole « Traffic Light » et toute divulgation ultérieure est interdite ; les conclusions peuvent donc alimenter votre rapport tandis que les rapports eux-mêmes restent internes. Ce texte est un guide d’achat et ne constitue pas un avis juridique ; il convient de vérifier auprès de votre propre conseiller juridique si votre organisation est soumise à l’obligation de signalement.

La solution « Kaspersky APT & Crimeware Intelligence Reporting » répond-elle aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne rend une entreprise conforme à la directive NIS 2, car celle-ci porte sur les mesures organisationnelles, la gouvernance et la responsabilité de la direction plutôt que sur une liste de fonctionnalités logicielles. La directive NIS 2 exige des entités essentielles et importantes qu’elles mettent en place des politiques d’analyse des risques et de sécurité de l’information, la gestion des incidents, la continuité des activités et la sauvegarde, la sécurité de la chaîne d’approvisionnement, la gestion et la divulgation des vulnérabilités, des procédures permettant d’évaluer l’efficacité des mesures, l’hygiène informatique et la formation, la cryptographie, ainsi que le contrôle d’accès, y compris l’authentification multifactorielle. Ce service contribue à trois de ces catégories : l’analyse des risques, car les rapports peuvent être filtrés par secteur d’activité et par pays ciblés ; la gestion des incidents, car l’attribution et la cartographie des TTP (techniques, tactiques et procédures) accélèrent la classification ; et la gestion des vulnérabilités, car les rapports décrivent les exploits observés lors de campagnes en cours. Il n’apporte aucune contribution à la continuité d’activité, à la sauvegarde, à la cryptographie, au contrôle d’accès, à l’authentification multifactorielle, à la gestion des actifs ou à la formation du personnel, et il ne détecte ni ne contient aucun incident. Les acheteurs qui ont besoin d’une couverture dans ces domaines doivent considérer ce service comme un complément à une solution de protection et de détection plutôt que comme un substitut à celle-ci.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Le ministère américain du Commerce a rendu, le 20 juin 2024, une décision définitive interdisant à Kaspersky de conclure de nouveaux contrats avec des personnes américaines à compter du 20 juillet 2024 et de fournir des mises à jour de signatures antivirus et de base de code aux États-Unis à compter du 29 septembre 2024, et a ajouté trois entités de Kaspersky à la liste des entités (Entity List). L’Office fédéral allemand de la sécurité de l’information met en garde contre l’utilisation des logiciels antivirus de Kaspersky depuis le 15 mars 2022. Ces deux mesures sont toujours publiées et en vigueur. Kaspersky rejette ces deux mesures, qualifie la décision américaine de reflet du climat géopolitique plutôt que d’une évaluation de ses produits, a déclaré qu’elle exercerait les recours juridiques à sa disposition et a affirmé publiquement que cette décision n’affectait pas sa capacité à vendre des offres de renseignements sur les menaces et des formations aux États-Unis. Deux distinctions sont importantes pour évaluer ce produit en particulier : ces deux mesures visent les logiciels antivirus et de protection plutôt que les rapports de renseignement, et aucune d’entre elles ne constitue une interdiction de vente en Suisse ou à l’échelle de l’Union européenne ; le service est donc vendu normalement en Suisse et dans l’Union européenne. Dans la pratique, ces mesures vous concernent si vous êtes titulaire de contrats fédéraux américains, si vous vendez au secteur public américain ou si vous répondez aux exigences de la chaîne d’approvisionnement de clients qui, par principe, excluent les fournisseurs dont le siège social est situé en Russie ; si aucun de ces cas ne s’applique, le choix repose sur des critères techniques et commerciaux.

Norton ou Kaspersky : quel logiciel antivirus offre la meilleure protection ?
Une comparaison côte à côte des produits de protection des deux éditeurs, destinée aux lecteurs qui évaluent leur choix d’éditeur à la lumière des évaluations officielles décrites ci-dessus.

Les rapports « APT & Crimeware Intelligence » de Kaspersky sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement dans une section d’un questionnaire type. Il répond aux questions concernant les sources externes de renseignements sur les menaces, l’utilisation d’un cadre de gestion des menaces reconnu, la connaissance des acteurs malveillants dans votre secteur et votre région, et la mise à jour de la logique de détection à partir de renseignements externes, puisque les règles YARA et Suricata sont fournies avec les rapports. Il n’apporte aucune réponse concernant la couverture de la protection des terminaux, le déploiement de l’EDR et la conservation des journaux, les niveaux de correctifs, le chiffrement des disques, l’authentification multifactorielle, les tests de sauvegarde et de restauration, les dispositifs de réponse aux incidents ou les certifications telles que la norme ISO 27001, alors que ces éléments constituent l’essentiel de la plupart des questionnaires. Un point pose régulièrement problème aux acheteurs : le contenu des rapports est classé selon le TLP et sa divulgation est interdite ; vous pouvez donc indiquer que vous êtes abonné à un service de renseignements commercial, mais vous ne pouvez pas joindre les rapports eux-mêmes à titre de preuve. Pour combler ces lacunes opérationnelles, il est généralement plus économique de passer à un niveau supérieur au sein de la gamme Kaspersky Threat Intelligence plutôt que de faire appel à un deuxième fournisseur, car les offres Threat Intelligence plus complètes incluent la recherche de menaces (Threat Lookup), le sandboxing dans le cloud et l’analyse de l’empreinte numérique (Digital Footprint Intelligence), tandis que la gamme Kaspersky Next couvre les points relatifs aux terminaux, à l’EDR et aux rapports sur lesquels portent précisément les questionnaires.

Quelle est la différence entre « Kaspersky APT & Crimeware Intelligence Reporting » et « Kaspersky APT & Crimeware & Industrial Intelligence Reporting » ?

La seule différence déterminante réside dans la couverture industrielle. Kaspersky APT & Crimeware Intelligence Reporting ne contient que les volets APT et Crimeware, tandis que Kaspersky APT & Crimeware & Industrial Intelligence Reporting ajoute le volet « ICS Threat Intelligence Reporting » avec MRTI. Tout le reste, y compris les profils d’acteurs, la cartographie MITRE ATT&CK et les indicateurs lisibles par machine, est identique dans les deux offres. Si votre environnement comprend des chaînes de production, des systèmes de contrôle des bâtiments, des technologies énergétiques ou de gestion de l’eau, l’offre industrielle constitue le point de départ approprié, car l’analyse des vulnérabilités des systèmes ICS ne peut pas être ajoutée ultérieurement à l’offre plus restreinte sans changer de produit.

Quelles sont les limites à connaître avant d'acheter ?

Il s'agit d'un service de renseignements, et non d'un produit de sécurité : il ne détecte rien, ne bloque rien et n'installe rien ; il n'apporte donc de valeur ajoutée que si un membre de votre équipe lit et met en œuvre les rapports. La couverture « Industrial Track » n’est pas incluse dans cette offre, et l’achat ultérieur de la couverture ICS implique de passer à une offre supérieure plutôt que d’ajouter un composant, ce qui constitue l’achat complémentaire le plus courant dans cette catégorie. Le contenu des rapports est classé selon le protocole « Traffic Light » et toute divulgation ultérieure est interdite, ce qui exclut la transmission des informations contenues dans les rapports aux clients ou leur intégration dans la documentation d’audit. En ce qui concerne la disponibilité régionale, l’interdiction américaine décrite ci-dessus est la première chose à vérifier si vous exercez vos activités aux États-Unis, tandis qu’en Suisse et dans l’Union européenne, le service est commercialisé sans restriction. Les rapports sont rédigés à l’intention des analystes ; par conséquent, une organisation ne disposant pas d’un SOC, d’un prestataire de services de sécurité gérés ou d’au moins un ingénieur en sécurité dédié ne tirera aucune valeur des listes d’IoC et des règles YARA.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Cet article explique où la protection intégrée à Windows atteint ses limites, ce qui est utile si vous avez encore besoin de la couche de détection alimentée par ce service de renseignement.

Foire aux questions sur les rapports Kaspersky APT & Crimeware Intelligence

Faut-il disposer d’un produit de protection Kaspersky pour utiliser ce service ?

Non. Le service est fourni via le portail Kaspersky Threat Intelligence Portal et fonctionne indépendamment du fournisseur de votre solution de protection des terminaux. Les indicateurs étant publiés dans des formats standard, ils peuvent être chargés dans une solution EDR ou SIEM tierce sans qu’aucun agent Kaspersky ne soit présent dans l’environnement.

Sous quels formats les rapports et les indicateurs sont-ils fournis ?

Les rapports sont disponibles au format PDF, les indicateurs de compromission (IoC) aux formats openIOC et STIX, et la logique de détection sous forme de règles YARA et Suricata. Les téléchargements des fichiers YARA et IoC consolidés couvrent l’ensemble des rapports en une seule fois, et une API RESTful est disponible pour la récupération automatisée.

Le service inclut-il les rapports publiés avant votre abonnement ?

Oui. L’accès rétrospectif à tous les rapports privés publiés précédemment est assuré pendant toute la durée de l’abonnement. Les archives peuvent être filtrées par secteur d’activité ciblé, géolocalisation, acteur malveillant, date de publication et type de rapport.