Kaspersky Endpoint Detection and Response Expert Base

Que comprend la base « Kaspersky Endpoint Detection and Response Expert » ?

Console de gestion dans le cloud – Gérée via la console cloud Kaspersky Security Center.
Stockage des données télémétriques des terminaux – Les événements liés aux processus, aux fichiers et au réseau sont conservés de manière centralisée pendant trente jours.
Requêtes de recherche de menaces – Un générateur de requêtes flexible permet d’effectuer des recherches parmi les données télémétriques stockées sur l’ensemble des ressources.
Actions de réponse – Isolation du réseau, mise en quarantaine, prévention de l’exécution, arrêt des processus et récupération de fichiers.
Règles de détection personnalisées – Règles YARA personnalisables et détections IoA (Indicateurs d’attaque) mappées au référentiel MITRE ATT&CK.
Important – Nécessite l’installation d’applications Kaspersky Endpoint Security prises en charge sur les ressources protégées.

Quels sont les principaux avantages de Kaspersky Endpoint Detection and Response Expert Base ?

Kaspersky Endpoint Detection and Response Expert est la couche de détection, d’investigation et de réponse que Kaspersky commercialise aujourd’hui sous le nom de Kaspersky Next EDR Expert, le niveau « expert » de la gamme Kaspersky Next lancée en 2024. Elle est gérée depuis la console cloud Kaspersky Security Center, tandis qu’un déploiement sur site du même moteur est fourni au sein de la plateforme Kaspersky Anti Targeted Attack Platform.

Enquête rétrospective  – Les données de télémétrie sont conservées même lorsque le terminal est chiffré ou inaccessible.
Regroupement des alertes – Les alertes associées sont automatiquement fusionnées en incidents uniques.
Confinement en un clic – Isolez un hôte depuis la console sans accès physique.
Réponse pilotée par API – Les actions de réponse sur les hôtes peuvent être déclenchées via une API.
Traitement régional des données – Les données de télémétrie sont transmises à des serveurs KPSN dédiés, et non au KSN public.
Rétention extensible – Des modules d’extension prolongent la durée de stockage des données de télémétrie jusqu’à soixante ou quatre-vingt-dix jours.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explication des limites de la protection intégrée à Windows et des raisons pour lesquelles la détection et la réponse constituent une couche distincte.

À quelle taille d’entreprise la solution Kaspersky Endpoint Detection and Response Expert Base est-elle adaptée ?

Le facteur déterminant n’est pas l’effectif, mais le fait de savoir si une personne au sein de l’organisation traite effectivement la file d’attente des alertes. Kaspersky positionne ce niveau pour les équipes disposant de processus de sécurité bien établis, et sa valeur réside dans les outils de recherche de menaces et d’investigation qui ne sont rentables que lorsqu’une personne les utilise.

Kaspersky Endpoint Detection and Response Expert Base répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation suisse s’applique aux exploitants d’infrastructures critiques, et non à toutes les entreprises : depuis le 1er avril 2025, la loi révisée sur la sécurité de l’information impose aux organismes qu’elle désigne, tels que les services publics d’énergie et d’eau, aux opérateurs de transport, aux hôpitaux répertoriés ainsi qu’aux administrations cantonales et communales, de signaler toute cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, avec un délai de quatorze jours pour compléter un premier rapport incomplet. Ce produit contribue au respect de ce délai en fournissant des données sur le temps de détection et des éléments de preuve : des données télémétriques des terminaux collectées en continu, des alertes regroupées en incidents, ainsi que des détails cartographiés selon le modèle MITRE ATT&CK indiquant quel hôte a été touché en premier et comment la chaîne d’événements s’est déroulée — ce qui constitue l’essentiel des informations qu’un premier rapport doit contenir. Il ne détermine pas si un incident doit être signalé, ne produit ni ne soumet pas le rapport, et ne détecte que les appareils exécutant un agent Kaspersky pris en charge ; les équipements réseau, les services cloud et les boîtes mail ne sont donc pas couverts par sa télémétrie. Sa durée de conservation par défaut de trente jours est également plus courte que la période sur laquelle portent de nombreuses analyses d’incidents ; les organisations concernées doivent donc prévoir l’utilisation du module d’extension de conservation ou une exportation vers leur propre système de stockage de journaux. Ce texte constitue une information générale sur le produit et ne constitue pas un avis juridique ; il convient de vérifier auprès de votre propre conseiller juridique si votre organisation est soumise à l’obligation de signalement.

La solution Kaspersky Endpoint Detection and Response Expert Base répond-elle aux exigences de la législation européenne en matière de cybersécurité ?

Aucun logiciel ne rend une organisation conforme à la directive NIS 2, car celle-ci s’adresse à l’organisation et à sa direction, et non à une liste de fonctionnalités. La directive NIS 2 exige des entités essentielles et importantes qu’elles mettent en œuvre des mesures de gestion des risques dans des catégories définies, parmi lesquelles la gestion des incidents, l’analyse des risques, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le contrôle d’accès et la cryptographie, ainsi que l’obligation de signaler les incidents significatifs à l’autorité nationale compétente. Ce produit s’inscrit dans la catégorie de la gestion des incidents et dans une partie de celle de l’analyse des risques : il détecte, enregistre et contient les incidents sur les terminaux, et il conserve les données télémétriques nécessaires à l’examen d’un incident, même lorsque l’appareil affecté n’est plus utilisable. Il ne contribue en rien à la continuité des activités, à la sécurité de la chaîne d’approvisionnement, à la gouvernance, à la formation du personnel ou à la cryptographie, et ne collecte aucune donnée télémétrique relative au réseau, aux identités, à la messagerie ou au cloud. Les acheteurs concernés devraient le considérer comme l’une des mesures parmi d’autres plutôt que comme une solution complète de mise en conformité.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux mesures officielles concernant le fournisseur ont été vérifiées et sont toujours en vigueur. L’Office fédéral allemand de la sécurité de l’information met en garde contre l’utilisation du logiciel antivirus Kaspersky depuis le 15 mars 2022 et recommande de le remplacer par des produits alternatifs ; cet avertissement reste publié et, suite à la modification de la loi allemande sur le BSI entrée en vigueur le 6 décembre 2025, est désormais émis en vertu de l’article 13 de cette loi. Le ministère américain du Commerce a rendu une décision définitive le 20 juin 2024 interdisant à Kaspersky de conclure de nouvelles transactions avec des personnes américaines à compter du 20 juillet 2024, ainsi que de fournir des mises à jour de signatures et de code source ou d’exploiter le Kaspersky Security Network à compter du 29 septembre 2024 ; cette décision se répercute directement sur le produit, que Kaspersky présente comme indisponible aux États-Unis ou pour les personnes américaines. Kaspersky estime pour sa part que l’avertissement allemand n’est pas justifié et ne repose pas sur une analyse technique objective des risques liés à l’utilisation de son logiciel ; l’entreprise met en avant son initiative « Global Transparency Initiative », dans le cadre de laquelle les fichiers suspects signalés par les utilisateurs européens sont traités dans deux centres de données situés à Zurich. En Suisse, la position est différente : l’Office fédéral de la cybersécurité n’a émis ni avertissement ni interdiction, ne dispose d’aucune directive interne à l’encontre du logiciel, indique qu’aucun usage abusif du logiciel antivirus Kaspersky ne lui a été signalé en Suisse et a confirmé que son évaluation technique n’était pas influencée par l’interdiction américaine. Les tests indépendants ne sont pas affectés lorsqu’ils sont vérifiés, et AV-Comparatives a inclus Kaspersky Endpoint Detection and Response Expert dans son test 2023 « Endpoint Prevention and Response ». Dans la pratique, cela concerne principalement les appels d’offres du secteur public, les fournisseurs dont les clients ou les sociétés mères appliquent les règles allemandes en matière de marchés publics, ainsi que toute organisation comptant des entités américaines, des personnes américaines ou du personnel se rendant aux États-Unis ; pour les autres acheteurs suisses et européens, il s’agit d’un facteur de risque documenté à prendre en compte, et non d’un motif d’exclusion automatique.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Comparaison entre Kaspersky et une alternative occidentale en matière de protection et de détection, utile si l’origine du fournisseur fait partie de vos critères de décision.

La solution Kaspersky Endpoint Detection and Response Expert Base facilite-t-elle le remplissage des questionnaires de sécurité des grands clients ?

En partie, et uniquement pour la section consacrée aux terminaux. Elle répond de manière étayée aux questions suivantes : une solution EDR est-elle déployée ? Combien de temps les données télémétriques des terminaux sont-elles conservées ? Un hôte compromis peut-il être isolé à la demande ou automatiquement ? Les détections sont-elles mappées au modèle MITRE ATT&CK ? Des règles de détection personnalisées peuvent-elles être définies ? Quelles actions de réponse sont disponibles ? L’accès à la console est-il basé sur les rôles ? Elle ne répond à aucune des questions concernant l’état des correctifs et des vulnérabilités, le chiffrement des ordinateurs portables, la protection de la messagerie et contre le phishing, la sauvegarde et la restauration, l’authentification multifactorielle, la journalisation réseau et cloud, la corrélation SIEM ou la surveillance 24 heures sur 24, car aucun service de détection géré n’est inclus et les alertes sont traitées par votre propre personnel. Il ne peut pas non plus répondre aux questions relatives à l’origine des fournisseurs, qui apparaissent de plus en plus souvent dans les questionnaires des clients du secteur public et des entreprises allemandes, et les évaluations des fournisseurs ci-dessus constituent une contribution honnête à ce sujet. Pour combler ces lacunes techniques, la solution la plus économique consiste généralement à opter pour un niveau supérieur de la même gamme, puisque Kaspersky Next XDR Expert étend la même console à davantage de sources de données et que Kaspersky Next MXDR Optimum ajoute un service géré ; faire intervenir un deuxième fournisseur implique un deuxième agent, une deuxième console et un deuxième ensemble de réponses pour chaque questionnaire.

Quelle est la différence entre Kaspersky EDR Optimum et Kaspersky EDR Expert ?

La différence décisive réside dans l’intervenant : Optimum offre à une équipe informatique une enquête guidée et pilotée par des alertes, tandis qu’Expert fournit à une équipe de sécurité les données télémétriques brutes, un générateur de requêtes et ses propres règles de détection. Kaspersky positionne Optimum comme une solution EDR essentielle dotée de contrôles avancés, d’une gestion des correctifs et d’une sécurité cloud pour les services informatiques, et Expert pour les organisations disposant de processus de sécurité informatique bien établis. De plus, Expert ne peut pas être activé en complément d’un déploiement Optimum existant ; le passage de l’un à l’autre implique donc un changement de licence, et non une simple bascule au sein de la console. Ces deux versions ne sont pas disponibles aux États-Unis ni pour les personnes américaines.

Quelles sont les restrictions à connaître avant d’acheter ?

La restriction régionale est la première à vérifier : Kaspersky précise que cette solution n’est pas disponible aux États-Unis ni pour les personnes américaines, et que son utilisation doit être suspendue sur les équipements de personnes non américaines lorsqu’elles se trouvent temporairement aux États-Unis, ce qui constitue une contrainte majeure pour toute entreprise disposant d’entités américaines, de personnel américain ou effectuant régulièrement des voyages d’affaires dans ce pays. Du côté de la plateforme, l’intégration avec la solution n’est pas prise en charge sur les ordinateurs équipés d’un processeur Arm, et elle nécessite Kaspersky Endpoint Security avec l’agent intégré à partir de la version 11.8.0, car l’ancien Kaspersky Endpoint Agent, qui était un composant séparé, n’est pas pris en charge. Elle ne peut pas non plus être activée par-dessus un déploiement existant de Kaspersky EDR Optimum ; un parc Optimum doit donc être migré plutôt que mis à niveau sur place. Par défaut, les données de télémétrie sont conservées pendant trente jours ; pour des durées plus longues, un module d’extension de conservation des données de télémétrie distinct est nécessaire pour soixante ou quatre-vingt-dix jours, les durées ne s’additionnant pas si les deux modules sont ajoutés. Enfin, aucun service de détection géré n’est inclus : l’outil signale et recense les incidents, mais quelqu’un doit traiter la file d’attente ; il n’applique aucun correctif, ne chiffre rien et ne restaure pas les données après une attaque par ransomware réussie.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les interruptions de service.
Cet article aborde l’aspect de la restauration que n’aucun produit de détection et de réponse ne prend en charge, y compris ce qu’un plan de sauvegarde efficace doit inclure.

Foire aux questions sur Kaspersky Endpoint Detection and Response Expert Base

Que signifie « Base » dans le nom de ce produit ?

Dans la nomenclature des produits grand public de Kaspersky, « Base » désigne une nouvelle licence, à distinguer d’un « Renewal » (renouvellement), qui nécessite une licence existante du même produit, et d’un « Cross-grade » (passage d’un autre fournisseur), destiné aux clients passant d’un produit d’un autre fournisseur. Choisissez « Base » si vous ne disposez pas actuellement d’une licence pour ce produit.

Où les données télémétriques des terminaux sont-elles traitées ?

L’activation fait passer les terminaux du Kaspersky Security Network (KSN) public au Kaspersky Private Security Network ; les données de télémétrie sont donc envoyées vers des serveurs régionaux dédiés plutôt qu’au KSN, et un accord de traitement des données doit être accepté lors de la configuration. La région du centre de données pour l’espace de travail de la console Kaspersky Security Center Cloud est déterminée par le pays spécifié lors de l’enregistrement de l’espace de travail, et Kaspersky traite les fichiers suspects soumis par les utilisateurs européens dans deux centres de données situés à Zurich.