Kaspersky Threat Data Feeds Bundle

Que contient le pack « Kaspersky Threat Data Feeds » ?

Flux d’URL – URL malveillantes, de hameçonnage, de rançongiciels et de C&C de botnets dans chaque ensemble.
Flux de réputation IP – Adresses IP suspectes, à partir de l’ensemble d’URL et d’IP.
Flux de hachages malveillants – Hachages de fichiers pour Windows, Linux, macOS, Android et iOS.
Contexte exploitable – Noms des menaces, horodatages, géolocalisation et popularité pour chaque enregistrement.
Quatre formats de diffusion – JSON, CSV, OpenIoC et STIX via HTTPS ou TAXII.
Important – Pas d’agent, pas de console, pas de blocage ; c’est vous qui décidez des mesures à prendre.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Pourquoi les flux d’indicateurs et les renseignements sur les menaces viennent compléter la protection des terminaux plutôt que de la remplacer.

Quels sont les principaux avantages du pack de flux de données sur les menaces de Kaspersky ?

Le Kaspersky Threat Data Feeds Bundle est un abonnement à des flux d’indicateurs lisibles par machine que votre propre SIEM, pare-feu ou plateforme de renseignements sur les menaces exploite ; il ne dispose ni de console ni d’agent propre. Kaspersky fournit uniquement des données textuelles et la mise en correspondance est effectuée par vos outils ; les flux étendent ainsi la couverture de détection des systèmes que vous utilisez déjà.
Triage des alertes – Le contexte associé à chaque indicateur accélère les décisions de première ligne.
Blocage au niveau du périmètre – Intégrez directement les listes d’URL et d’adresses IP des flux dans vos pare-feu.
Moteur de mise en correspondance gratuit – Kaspersky CyberTrace corrèle les événements et réduit la charge du SIEM.
Indépendance vis-à-vis des fournisseurs – CyberTrace intègre également des flux OSINT et d’autres flux commerciaux.
Utilisation multi-locataires – Une seule instance de CyberTrace peut séparer plusieurs environnements clients.
Recherche rétrospective – La corrélation historique recoupe les événements passés avec les flux actuels.

À quelle taille d’entreprise le pack Kaspersky Threat Data Feeds est-il adapté ?

Ce sont les outils qui déterminent cela davantage que les effectifs. Une organisation dépourvue de SIEM, de pare-feu acceptant des listes d’indicateurs externes et de personnel chargé de lire les alertes ne tirera aucun bénéfice d’un abonnement à un flux, quelle que soit sa taille. L’acheteur avisé dispose déjà d’une fonction d’opérations de sécurité, ou est un prestataire de services qui en gère une pour le compte d’autres entités.

Le pack de flux de données sur les menaces de Kaspersky répond-il aux exigences de la législation suisse en matière de cybersécurité ?

Cette obligation s'applique aux exploitants d'infrastructures critiques, et non à toutes les entreprises : à compter du 1er avril 2025, la loi révisée sur la sécurité de l'information (LSI) leur impose de signaler toute cyberattaque à l'Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, avec un délai supplémentaire de 14 jours pour compléter le rapport. Ces flux d’informations facilitent la détection et l’élaboration de ce rapport, car la comparaison de vos journaux avec les indicateurs actuels réduit le délai entre un appel de botnet et sa détection, et le contexte associé à chaque enregistrement fournit le nom de la menace, les horodatages et les indicateurs associés requis par le rapport. Ce que ce pack ne fait pas, c’est détecter quoi que ce soit de lui-même : sans agent, sans télémétrie et sans système d’alerte propre, il ne produit aucun résultat dans les 24 heures si vous ne disposez pas d’un système de collecte des journaux et si personne n’est de service. Il ne prend pas non plus en charge les tâches organisationnelles : la classification des incidents, la décision de signaler un incident et le rapport de suivi restent donc à la charge de votre équipe. Ce texte ne constitue pas un avis juridique ; il convient de vérifier auprès d’un spécialiste si votre organisation est soumise à l’obligation de signalement.

L’offre groupée « Kaspersky Threat Data Feeds » répond-elle aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne rend une entreprise conforme à la directive NIS 2, car celle-ci porte sur les mesures organisationnelles et la responsabilité de la direction plutôt que sur une liste d’outils. La directive NIS 2 impose aux entités essentielles et importantes de mettre en place des analyses de risques et des politiques de sécurité, la gestion des incidents, la continuité des activités et la gestion de crise, la sécurité de la chaîne d’approvisionnement, la gestion et la divulgation des vulnérabilités, l’hygiène informatique et la formation, la cryptographie et le contrôle d’accès, ainsi que de signaler les incidents significatifs par étapes. Cet abonnement contribue à deux de ces catégories : la gestion des incidents, en fournissant à vos outils de détection des indicateurs actualisés et un contexte de triage, et la gestion des vulnérabilités, mais uniquement dans le pack « Total Security », qui est celui contenant le flux de données sur les vulnérabilités. Il ne contribue en rien à la continuité d’activité, à la sauvegarde et à la restauration, à la sécurité de la chaîne d’approvisionnement, au chiffrement, au contrôle d’accès ni à la formation du personnel. Il ne génère par ailleurs aucun rapport en propre, de sorte que toute preuve demandée par un auditeur doit provenir du SIEM ou de la plateforme qui exploite les flux, et non de l’abonnement.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les pannes.
Aborde les mesures de continuité d’activité et de reprise qui ne sont absolument pas couvertes par les flux d’indicateurs.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux décisions des autorités concernent le fournisseur et sont toutes deux toujours en vigueur. L’Office fédéral allemand de la sécurité de l’information (BSI) met en garde contre l’utilisation des logiciels antivirus Kaspersky depuis le 15 mars 2022, une mise en garde désormais inscrite à l’article 13 de la loi sur le BSI suite à l’amendement du 6 décembre 2025 ; le BSI précise qu’il n’a procédé à aucune évaluation des autres produits Kaspersky et que leur utilisation n’est pas interdite en Allemagne. Aux États-Unis, le ministère du Commerce a publié en juin 2024 une décision définitive interdisant les produits de cybersécurité et antivirus de Kaspersky, avec effet au 20 juillet 2024, les mises à jour des signatures prenant fin le 29 septembre 2024, et cette décision exclut expressément les services de renseignement sur les menaces, de formation à la sécurité et de conseil de Kaspersky qui sont de nature purement informative ou éducative, catégorie à laquelle appartient cet abonnement. La Suisse n’a émis ni avertissement ni interdiction : la BACS a déclaré qu’aucun usage abusif des logiciels Kaspersky ne lui avait été signalé en Suisse et qu’elle n’émettait d’avertissement que lorsqu’elle disposait d’indices techniques confirmés. Kaspersky rejette l’avertissement du BSI, estimant qu’il repose sur des motifs politiques plutôt que techniques, renvoie à son traitement des données à Zurich dans le cadre de son initiative de transparence mondiale et a officiellement exigé, début 2026, le retrait de l’avertissement en vertu de l’article 13 de la loi sur le BSI, se réservant le droit d’engager des poursuites judiciaires. Les tests comparatifs en laboratoire publiés portent sur les produits de protection des terminaux de Kaspersky plutôt que sur ces flux de données ; ils n’ont donc guère d’importance pour ce produit, dans un sens comme dans l’autre. Dans la pratique, ces évaluations revêtent une importance capitale si vous vendez au secteur public, si vous avez conclu des contrats avec des organismes fédéraux allemands ou si vous répondez à des questionnaires sur la chaîne d’approvisionnement qui portent sur le pays d’origine du fournisseur ; en effet, dans ces cas-là, le nom du fournisseur peut être déterminant, indépendamment du contenu technique du flux de données. Pour une entreprise privée non exposée à ces risques, aucune restriction légale ne s’applique en Suisse.

Norton vs Kaspersky : quel antivirus offre la meilleure protection ?
Comparaison des deux fournisseurs sur la base des résultats de détection en laboratoire indépendants pour leurs produits de sécurité des terminaux.

Le pack de flux de données sur les menaces de Kaspersky est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

Oui, mais uniquement pour un ensemble restreint de points. Il permet de répondre directement à la question de savoir si vous utilisez des renseignements commerciaux sur les menaces et de quelle source ils proviennent, si les indicateurs sont recoupés avec vos données de journaux, et dans quelle mesure ces données d’indicateurs sont à jour. Il permet de répondre en partie à la question de savoir, si vous utilisez CyberTrace, quels flux génèrent effectivement des détections, car les statistiques d’utilisation des flux et la matrice d’intersection des flux indiquent le taux de réussite par source. Il ne fournit aucune réponse concernant la couverture de la protection des terminaux, les niveaux de correctifs, le chiffrement des ordinateurs portables, l’authentification multifactorielle, le contrôle d’accès, les tests de sauvegarde et de restauration, les formations de sensibilisation ou un processus documenté de réponse aux incidents, car les flux constituent des données plutôt que des contrôles, et un évaluateur les notera en conséquence. Pour combler ces lacunes, il est généralement moins coûteux de passer à un niveau supérieur au sein de la gamme proposée par un même fournisseur de solutions pour terminaux, ce qui génère moins de contradictions dans le questionnaire que d’ajouter un deuxième fournisseur de sécurité, puisque la plupart des questions du questionnaire concernent les contrôles au niveau des terminaux et des identités plutôt que les sources de renseignements.

Quelle est la différence entre le pack URL et le pack Total Security ?

La différence décisive réside dans les types d’indicateurs que vous recevez : les cinq offres contiennent les quatre flux d’URL, et chaque niveau supérieur ajoute une nouvelle catégorie plutôt que davantage de données identiques. Le pack « URL et IP » ajoute la réputation IP ; le pack « URL, IP et hachages » ajoute les hachages de fichiers ; le pack « Expert Security » ajoute les indicateurs APT, de crimeware et mobiles ; et le pack « Total Security » ajoute le DNS passif, les règles Suricata, les menaces liées aux logiciels open source, les URL IoT et les données de vulnérabilité. En pratique, ce sont vos outils qui déterminent le niveau : un pare-feu ou un proxy ne peut utiliser que les données URL et IP, tandis que les flux de hachages et de règles YARA nécessitent un SIEM ou une plateforme de renseignements sur les menaces en arrière-plan. Seul le pack « Total Security » inclut le flux de données sur les vulnérabilités, ce qui constitue le seul élément au niveau du pack qui modifie la manière dont vous pouvez répondre à une question relative à la gestion des vulnérabilités.

Quelles sont les limites à connaître avant d’acheter ?

Les flux sont au format texte uniquement : Kaspersky fournit les indicateurs et ce sont vos propres outils qui effectuent la mise en correspondance ; par conséquent, rien n’est détecté ni bloqué à moins que vous n’utilisiez déjà un SIEM, un pare-feu, un proxy ou une plateforme de renseignements sur les menaces capable de les exploiter. Aucune fonctionnalité n’est limitée à des pays particuliers, mais l’origine du fournisseur l’est de fait, car plusieurs gouvernements restreignent l’utilisation des produits Kaspersky dans les marchés publics, ce qui en fait une question d’approvisionnement avant d’être une question technique. La licence couvre l’utilisation au sein de votre propre infrastructure et par vos propres collaborateurs ; par conséquent, la transmission des données d’indicateurs, leur revente ou leur intégration dans un service que vous proposez à vos propres clients ne sont pas incluses. L’achat complémentaire le plus fréquent concerne le niveau supérieur du pack, généralement lorsqu’un déploiement limité à un pare-feu s’enrichit d’un SIEM et a soudainement besoin de données de hachage ; le deuxième concerne le temps de travail des analystes, car les flux d’indicateurs augmentent le volume d’alertes avant de le réduire.

Foire aux questions sur le pack Kaspersky Threat Data Feeds

Quels sont les systèmes SIEM pris en charge ?

Des connecteurs pour HP ArcSight, IBM QRadar et Splunk sont inclus dans l’abonnement. Si vous utilisez Kaspersky CyberTrace comme couche de correspondance, celui-ci offre en outre une intégration prête à l’emploi avec LogRhythm, RSA NetWitness et McAfee ESM, ainsi qu’une intégration directe avec les pare-feu, les passerelles et d’autres sources de journaux.

Faut-il obligatoirement utiliser Kaspersky CyberTrace ?

Non. Les flux peuvent être importés directement dans un SIEM, un pare-feu ou une plateforme de renseignements sur les menaces au format JSON, CSV, OpenIoC ou STIX via HTTPS ou TAXII. CyberTrace, anciennement appelé Kaspersky Threat Feed Service, est gratuit et effectue la mise en correspondance en dehors du SIEM, ce qui s’avère particulièrement utile lorsque le volume d’indicateurs met à rude épreuve votre licence SIEM ou son taux d’événements.

Un fournisseur de services gérés peut-il utiliser ces flux pour ses clients ?

CyberTrace prend en charge la multi-location : une même instance peut ainsi gérer plusieurs environnements clients de manière distincte et utiliser des flux différents pour chaque locataire. La licence du flux elle-même autorise toutefois uniquement l’utilisation pour votre propre infrastructure et vos propres collaborateurs ; la distribution ou la revente des données à des tiers est exclue. Un accord de prestataire de services doit donc être conclu séparément avec Kaspersky.

Peut-on vérifier la structure des données avant de s’engager ?

Kaspersky fournit une documentation et des exemples de flux, ainsi qu’un responsable de compte technique dédié à l’intégration. L’exécution préalable de ces exemples via votre analyseur syntaxique constitue le moyen le plus pratique de confirmer que les champs d’enregistrement et le contexte que vous souhaitez réellement sont utilisables dans votre environnement.