Kaspersky Threat Data Feeds Crimeware IOC

Que contiennent les flux de données sur les menaces de Kaspersky – Indicateurs de compromission (IOC) liés aux logiciels malveillants ?

Flux de données de hachages de logiciels malveillants – Hachages issus des rapports Kaspersky sur les logiciels malveillants, accompagnés du contexte d’enquête.
Flux de données d’URL de logiciels malveillants – Domaines associés à l’infrastructure de fraude décrite dans les rapports sur les logiciels malveillants.
Flux de données YARA de logiciels malveillants – Règles permettant de détecter les traces de logiciels malveillants sur les réseaux locaux.
Cycle de mise à jour toutes les trois heures – De nouveaux enregistrements sont ajoutés après chaque publication d’un rapport sur les logiciels malveillants.
Diffusion via HTTPS et TAXII – Téléchargement via un certificat client ou accès TAXII basé sur un jeton.
Important  – Aucun indicateur IP n’est inclus ; le flux IP fait l’objet d’une licence distincte.

Quels sont les principaux avantages des flux de données sur les menaces de Kaspersky – IOC liés aux logiciels malveillants ?

Les flux de données sur les menaces de Kaspersky – IOC liés aux logiciels malveillants (Crimeware IOC) constituent un abonnement à trois flux d’indicateurs lisibles par machine couvrant les campagnes de cybercriminalité à motivation financière. Ils ne disposent ni de console ni d’agent propre : les données sont exploitées par le SIEM, la plateforme de renseignements sur les menaces ou les contrôles de sécurité réseau que vous utilisez déjà.

Indicateurs liés à des rapports – Chaque entrée renvoie à un rapport Crimeware publié.
Formats indépendants des éditeurs – La sortie JSON se convertit en STIX, OpenIOC, CSV ou Snort.
Intégration aux SIEM existants – Des connecteurs sont disponibles pour Splunk, QRadar, ArcSight, Sentinel et MISP.
Recherche rétrospective – Des règles YARA analysent les fichiers stockés après le déclenchement d’une alerte.
Hiérarchisation des alertes – Des champs contextuels permettent aux analystes de classer les correspondances par ordre de priorité avant leur escalade.
Enrichissement des pare-feu – Des listes de blocage hautement fiables enrichissent les politiques des pare-feu de nouvelle génération.

À quelle taille d’entreprise le service « Kaspersky Threat Data Feeds – Crimeware IOC » est-il adapté ?

Il s’agit d’un produit de données, et non d’un produit de protection. Il n’est rentable que si l’entreprise dispose déjà d’un système capable de faire correspondre des indicateurs à des événements en temps réel et si un analyste interprète les résultats. Une entreprise dépourvue de SIEM, de plateforme de renseignements sur les menaces ou de pare-feu compatible avec les IOC n’a aucun système dans lequel intégrer ces données.

Test de programmes antivirus : les meilleurs programmes antivirus pour Windows
Pour les entreprises ne disposant pas d’un SIEM, ce comparatif porte sur la couche de protection des terminaux qui doit être mise en place avant que les données de renseignement sur les menaces ne deviennent utiles.

Les flux de données sur les menaces de Kaspersky – IOC liés aux logiciels malveillants (crimeware) – répondent-ils aux exigences de la législation suisse en matière de cybersécurité ?

Cette obligation s'applique aux exploitants d'infrastructures critiques mentionnés dans la loi révisée sur la sécurité de l'information, notamment les services d'approvisionnement en énergie et en eau potable, les entreprises de transport, les hôpitaux répertoriés, les fournisseurs de services cloud et de centres de données, ainsi que les administrations cantonales et communales. À compter du 1er avril 2025, ces organisations devront signaler toute cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, avec un délai supplémentaire de 14 jours pour compléter un premier rapport incomplet. Ce flux vient compléter le contenu de ce rapport d’une manière bien précise : une correspondance de hachage ou de domaine renvoyant à un « Kaspersky Crimeware Report » nommé fournit à l’équipe chargée du signalement une attribution et une description de la campagne dès les premières heures, au lieu d’un fichier binaire non identifié. Il ne détecte pas l’attaque, ne génère pas de données télémétriques, ne conserve pas d’historique des journaux et ne propose aucun workflow de signalement ; par conséquent, la détection, la chronologie et le rapport lui-même proviennent toujours de votre solution de protection des terminaux, de votre EDR et de votre SIEM. Le fait que votre organisation soit soumise ou non à l’obligation de signalement dépend de son secteur d’activité et de sa fonction ; ce texte ne constitue pas un avis juridique.

Le service « Kaspersky Threat Data Feeds - Crimeware IOC » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit la conformité à la directive NIS 2, car celle-ci porte sur les mesures organisationnelles et la responsabilité de la direction plutôt que sur les fonctionnalités logicielles. La directive NIS 2 exige des entités concernées qu’elles mettent en place des politiques d’analyse des risques, de gestion des incidents, de continuité des activités et de gestion de crise, de sécurité de la chaîne d’approvisionnement, de sécurité lors de l’acquisition et du développement, des procédures d’évaluation de l’efficacité des mesures, de cyberhygiène et de formation, de cryptographie, de contrôle d’accès et d’authentification multifactorielle. Ce flux contribue à deux de ces catégories : la gestion des incidents, en raccourcissant l’étape d’identification grâce au contexte des indicateurs, et la sécurité de la chaîne d’approvisionnement, en couvrant l’infrastructure de fraude utilisée à l’encontre des fournisseurs et de leurs clients. Il n’apporte aucune contribution à la continuité des activités, au contrôle d’accès, à l’authentification multifactorielle, à la cryptographie, à la formation, ni à la gestion et à la divulgation des vulnérabilités. Il ne fournit pas non plus de preuves de l’évaluation de l’efficacité des mesures attendue par la directive, qui reste une tâche de documentation incombant à votre propre organisation.

Que devez-vous savoir concernant les évaluations officielles de Kaspersky ?

Deux mesures officielles concernant ce fournisseur sont en vigueur. L’Office fédéral allemand de la sécurité de l’information a émis un avertissement le 15 mars 2022 recommandant de remplacer les applications issues de la gamme de logiciels antivirus de Kaspersky par des produits alternatifs ; l’office a précisé qu’il n’avait procédé à aucune évaluation des autres produits Kaspersky. Cet avertissement reste publié et, depuis l’entrée en vigueur de la loi modifiée le 6 décembre 2025, il est régi par l’article 13 de la BSIG. Par ailleurs, le Bureau de l’industrie et de la sécurité du ministère américain du Commerce a rendu, le 20 juin 2024, une décision définitive interdisant à Kaspersky de conclure de nouveaux contrats avec des personnes américaines à compter du 20 juillet 2024, ainsi que de fournir des mises à jour de signatures et de bases de code ou d’exploiter le Kaspersky Security Network aux États-Unis à compter du 29 septembre 2024 ; trois entités de Kaspersky ont été ajoutées à la liste des entités (Entity List). Kaspersky rejette l’avertissement allemand, qu’elle juge injustifié, et a poursuivi ses actions en justice à son encontre ; elle a également déclaré, au moment de la décision américaine, que celle-ci n’affectait pas sa capacité à vendre des offres de renseignements sur les menaces et des formations aux États-Unis. Aucune de ces mesures ne repose sur la constatation que les données de recherche de Kaspersky seraient techniquement inexactes ; toutes deux concernent la juridiction du fournisseur et la confiance qui lui est accordée. Dans la pratique, cela revêt une importance particulière pour les marchés publics, pour les fournisseurs des organismes fédéraux allemands et pour les organisations dont les clients appliquent des critères liés à l’origine du fournisseur lors de leurs achats, la décision revenant à l’acheteur.

Norton contre Kaspersky : quel logiciel antivirus offre la meilleure protection ?
Une comparaison directe des produits de protection des deux fournisseurs, utile si le service des achats vous a demandé de prouver qu’une alternative a été évaluée.

Les flux de données sur les menaces de Kaspersky (IOC relatifs aux logiciels malveillants) sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement dans le volet consacré aux renseignements sur les menaces. Il répond aux questions visant à savoir si un service commercial de renseignements sur les menaces est souscrit, quels types d’indicateurs sont intégrés, à quelle fréquence le contenu de détection est actualisé, et si les indicateurs comportent une provenance permettant à un analyste de remonter jusqu’au rapport source. Il n’apporte aucune réponse concernant le reste, bien plus vaste, d’un questionnaire type : pas de couverture de protection des terminaux, pas de gestion des correctifs, pas de chiffrement, pas d’authentification multifactorielle, pas de sauvegarde et de restauration, pas de contrôle d’accès, pas de durée de conservation des journaux, pas de processus documenté de réponse aux incidents, pas de certification du système de gestion propre à l’acheteur, et pas de liste des sous-traitants. Cela peut également soulever une question plutôt que d’en résoudre une, car les éléments relatifs à l’origine du fournisseur apparaissent de plus en plus souvent dans les questionnaires destinés aux fournisseurs, et ce flux introduit dans la réponse un fournisseur dont le siège social se trouve en Russie. La solution la plus économique pour combler les lacunes techniques consiste généralement à opter pour une édition supérieure de la gamme Kaspersky Next, qui couvre les terminaux, l’EDR et les rapports de gestion dans une seule réponse du fournisseur, plutôt que de combiner les flux d’un fournisseur avec la protection d’un autre et de devoir expliquer les deux.

Quelle est la différence entre les IOC « Crimeware » et les IOC « APT » ?

La différence décisive réside dans le type d’attaquant suivi, et non dans la qualité des données. Les IOC de « crimeware » couvrent les campagnes à motivation financière décrites dans les rapports Kaspersky Crimeware Reports, ce à quoi la plupart des entreprises commerciales sont effectivement confrontées. Les IOC APT couvrent les campagnes ciblées menées par des acteurs de menaces persistantes avancées (APT) et sont pertinentes lorsqu’une organisation a des raisons de s’attendre à un intérêt lié à l’État. La deuxième différence pratique concerne la couverture des indicateurs réseau : le pack APT inclut un flux d’adresses IP, contrairement au pack Crimeware.

Quelles sont les restrictions à connaître avant l'achat ?

En ce qui concerne la disponibilité régionale, l'interdiction américaine décrite ci-dessus constitue la restriction applicable : Kaspersky ne peut pas conclure de nouveaux contrats avec des personnes américaines, et bien que le fournisseur affirme que les renseignements sur les menaces ne sont pas affectés, un acheteur disposant d'entités américaines ou de personnel basé aux États-Unis doit clarifier ce point avant l'achat. Le pack contient uniquement des hachages, des domaines et des règles YARA ; le flux de données IP sur les logiciels malveillants (Crimeware IP Data Feed) figure dans le catalogue Kaspersky mais fait l’objet d’une licence distincte, ce qui constitue l’achat complémentaire le plus courant. Comme les nouveaux enregistrements apparaissent lors de la publication d’un rapport « Crimeware Report » plutôt que de manière continue, il s’agit d’un flux de campagnes sélectionnées et non d’une liste de blocage standard à haut volume, rôle rempli par les flux distincts « Malicious URL » et « Malicious Hash ». L’utilisation des règles YARA nécessite un moteur d’analyse capable de les exécuter, ce que tous les SIEM ne proposent pas. Enfin, le flux n’assure aucune protection à lui seul : sans protection des terminaux ou solution EDR en arrière-plan, une correspondance vous indique qu’un incident s’est produit, mais ne permet pas de l’empêcher.

Meilleur antivirus : pourquoi Windows Defender ne suffit pas à lui seul
Explique pourquoi la couche de protection intégrée à Windows présente des failles que des sources de détection supplémentaires sont censées combler.

Foire aux questions sur les flux de données sur les menaces de Kaspersky – IOC de crimeware

Ce flux remplace-t-il un antivirus ou un EDR ?

Non. Il contient des données, et non un moteur de protection, et n’installe aucun agent sur aucun appareil. Il s’achète en complément d’une protection des terminaux, et non à la place de celle-ci.

Ce flux peut-il être utilisé sans Kaspersky CyberTrace ?

Oui. Le flux est diffusé via HTTPS avec un certificat client Kaspersky, et les flux les plus demandés sont également disponibles via TAXII avec une authentification par jeton ; ainsi, tout système capable de traiter ces formats fonctionnera. Kaspersky CyberTrace est un produit distinct qui effectue la mise en correspondance avant que les événements n’atteignent le SIEM, ce qui réduit la charge du SIEM, mais il n’est pas obligatoire.

En quoi diffère-t-il des flux « Malicious Hash » et « Malicious URL » ?

Les flux « Malicious Hash » et « Malicious URL » couvrent de manière générale les logiciels malveillants courants et émergents et sont conçus pour le blocage en masse. Les indicateurs de compromission (IOC) liés aux logiciels criminels ont une portée plus restreinte et s’adressent aux analystes : chaque indicateur appartient à une campagne de fraude documentée, ce qui permet l’attribution lors d’une enquête.