Kaspersky Threat Data Feeds Malicious URL

Que contiennent les flux de données sur les menaces de Kaspersky relatifs aux URL malveillantes ?

Masques d’URL malveillantes – Masques d’URL couvrant les sites Web et les pages Web malveillants.
Contexte exploitable – Noms des menaces, horodatages, géolocalisation, adresses IP résolues, popularité.
Diffusion au format JSON – Les flux d’entreprise génèrent des données au format JSON, récupérées via TAXII à l’aide d’un jeton.
Outil de conversion de format – Convertit le JSON en STIX, OpenIoC, Snort, CSV et texte brut.
Intégrations prêtes à l’emploi – QRadar, ArcSight, Splunk, Sentinel, MISP, Suricata et bien d’autres.
Important – Aucun agent, aucune console ni aucun moteur de correspondance n’est inclus.

Nous vous aidons à faire votre choix. Test : Logiciels antivirus : les meilleurs antivirus pour Windows en 2025
Comparaison des produits de protection pour les terminaux Windows, que ce flux enrichit sans toutefois les remplacer.

Quels sont les principaux avantages du flux de données sur les menaces Kaspersky « URL malveillantes » ?

Les flux de données sur les menaces Kaspersky « URL malveillantes » constituent un abonnement à un flux d’indicateurs issu du portefeuille Kaspersky Threat Data Feeds, que la documentation Kaspersky désigne également sous le nom de « Kaspersky Threat Intelligence Data Feeds ». Il n’y a ni console ni agent : vous connectez votre SIEM, votre pare-feu, votre passerelle Web ou votre plateforme de renseignements sur les menaces au flux, et ce sont vos propres outils qui effectuent la mise en correspondance.

Détection plus précoce – Kaspersky indique que les indicateurs du flux apparaissent avant les sources OSINT comparables.
Charge SIEM réduite – CyberTrace effectue la mise en correspondance des événements localement plutôt qu’au sein de votre SIEM.
Blocage automatique – Des listes de blocage mises à jour dynamiquement alimentent directement les pare-feu de nouvelle génération.
Triage plus rapide des alertes – Le contexte permet aux analystes de classer les alertes sans avoir à ouvrir de fenêtres de recherche distinctes.
Données indépendantes du fournisseur – Flux au format texte uniquement, aucun logiciel Kaspersky n’est installé sur vos systèmes.
Élargissement du portefeuille – Le portefeuille comprend plus de 25 flux utilisant un mode de diffusion identique.

À quelle taille d’entreprise le flux de données sur les menaces de Kaspersky (URL malveillantes) est-il adapté ?

La question déterminante n’est pas le nombre d’employés, mais le fait de savoir si vous disposez déjà d’un système capable de traiter ces indicateurs. Sans SIEM, sans plateforme de renseignements sur les menaces, sans pare-feu de nouvelle génération ou sans passerelle Web sécurisée, le flux n’a aucun élément avec lequel établir une correspondance et n’apporte aucune valeur ajoutée.

Le service « Kaspersky Threat Data Feeds Malicious URL » répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration introduite par la loi révisée sur la sécurité de l’information s’applique aux exploitants d’infrastructures critiques, parmi lesquels les fournisseurs d’énergie et d’eau potable, les entreprises de transport, les hôpitaux répertoriés, les fournisseurs de services cloud et de centres de données, ainsi que les administrations cantonales et communales, avec des exemptions pour les petites organisations prévues dans l’ordonnance sur la cybersécurité. Depuis le 1er avril 2025, ces organisations doivent signaler toute cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, puis compléter le rapport dans un délai supplémentaire de 14 jours. Le flux de données contribue au respect de ce délai d’une manière précise : la comparaison des journaux des proxys, des pare-feu et des passerelles de messagerie avec des URL malveillantes connues réduit le délai entre la première connexion suspecte et le moment où l’on peut déterminer quel site a été contacté, ce qui correspond exactement aux informations requises pour un rapport initial dans les 24 heures. Il ne couvre pas le reste de l’obligation, car il ne détecte rien sur le terminal lui-même, ne produit aucun enregistrement d’incident, ne dispose d’aucune gestion des dossiers et ne peut pas générer le rapport. Vous avez toujours besoin d’un SIEM ou d’un processus de gestion des incidents pour transformer une correspondance du flux en constat documenté, ainsi que d’un produit de protection sur le système concerné pour déterminer ce qui s’est réellement exécuté. Ce texte ne constitue pas un avis juridique ; il vous appartient de vérifier auprès de votre propre conseiller juridique si votre organisation est soumise à l’obligation de signalement.

Le service « Malicious URL » de Kaspersky Threat Data Feeds répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit à lui seul la conformité à la directive NIS 2, car celle-ci porte sur la gestion des risques au niveau de l’organisation plutôt que sur un outil spécifique. La directive NIS 2 exige des catégories de mesures comprenant l’analyse des risques, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la sécurité lors de l’acquisition et de la maintenance des réseaux et des systèmes d’information, la cyberhygiène et la formation, ainsi que le contrôle d’accès. Ce flux ne couvre qu’une partie restreinte de la gestion des incidents, à savoir l’étape de détection et d’enrichissement, en fournissant des indicateurs qu’un SIEM ou une passerelle peut comparer au trafic en temps réel. Il ne contribue en rien à la continuité des activités, au contrôle d’accès, à la formation ou à la gouvernance, et ne constitue pas en soi une mesure de sécurité de la chaîne d’approvisionnement. Les acheteurs qui évaluent leur niveau de conformité à la directive NIS 2 doivent considérer ce flux comme une donnée d’entrée pour un processus de détection qui doit déjà exister, et non comme une mesure permettant de satisfaire à une exigence.

Que faut-il savoir sur les évaluations officielles concernant Kaspersky ?

Deux mesures officielles sont pertinentes et toutes deux sont toujours en vigueur. En mars 2022, l’Office fédéral allemand de la sécurité de l’information (BSI) a publié un avertissement public contre l’utilisation du logiciel antivirus Kaspersky, estimant que les logiciels antivirus disposent de droits d’intervention étendus et nécessitent donc une confiance dans le fabricant ; cet avertissement est désormais régi par l’article 13 de la loi BSIG et le BSI a confirmé début 2026 qu’il le maintenait. En juin 2024, le ministère américain du Commerce a rendu une décision définitive interdisant à Kaspersky de fournir des logiciels antivirus et des produits de cybersécurité aux États-Unis, la revente et l’intégration par des personnes américaines étant interdites à compter du 29 septembre 2024. Un détail revêt une importance directe pour ce produit : la décision américaine exclut explicitement les produits et services « Kaspersky Threat Intelligence » de l’interdiction, et Kaspersky a déclaré à l’époque que cette décision n’affectait pas sa capacité à vendre ses offres de renseignements sur les menaces aux États-Unis. Kaspersky estime quant à elle que ces mesures reflètent la situation géopolitique plutôt qu’une évaluation technique de ses produits. La Suisse n’a pris aucune mesure comparable : le BACS n’émet pas de recommandations sur des produits individuels et a déclaré qu’aucun abus des logiciels Kaspersky ne lui avait été signalé. Concrètement, cela concerne les acheteurs dans le cadre des marchés publics, les acheteurs dont les entités du groupe sont situées aux États-Unis, ainsi que les acheteurs dont les grands clients excluent contractuellement les fournisseurs d’origine russe. Une distinction technique mérite d’être soulignée lors de l’évaluation de cette situation : l’avertissement du BSI concerne les logiciels installés sur vos systèmes, tandis que ce produit est un flux d’indicateurs textuels dont la mise en correspondance est effectuée par vos propres outils ; le modèle de déploiement sur lequel repose l’avertissement ne s’applique donc pas de la même manière.

Norton ou Kaspersky : quel antivirus offre la meilleure protection en 2025 ?
Comparez Kaspersky à un autre fournisseur si la question de l’origine est un facteur déterminant dans votre décision.

Le flux de données sur les menaces de Kaspersky (URL malveillantes) est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement sur un petit nombre de points. Il vous apporte une réponse documentée aux questions concernant l’utilisation de renseignements externes sur les menaces, les sources d’indicateurs alimentant votre surveillance, ainsi que le blocage automatisé des destinations malveillantes connues au niveau du périmètre, car vous pouvez citer un flux commercial, sa fréquence de mise à jour et le contrôle qu’il alimente. Il n’apporte aucune réponse concernant la protection des terminaux, l’état des correctifs, le chiffrement, la sauvegarde, le contrôle d’accès, la durée de conservation des journaux, les procédures de réponse aux incidents ou la gouvernance des fournisseurs, et il ne génère aucun rapport que vous puissiez joindre comme preuve, puisqu’il fournit des indicateurs plutôt que des conclusions. Il existe une deuxième lacune, moins évidente : certains questionnaires demandent le pays d’origine des fournisseurs de sécurité, et un fournisseur d’origine russe déclenchera une question complémentaire quel que soit le type de produit ; prévoyez donc cette réponse plutôt que d’être pris au dépourvu. Pour combler les lacunes techniques, l’ajout de flux supplémentaires issus du même portefeuille « Kaspersky Threat Data Feeds » revient généralement moins cher que de faire appel à un deuxième fournisseur de renseignements, car la diffusion, le format et l’intégration restent identiques ; en revanche, les lacunes en matière de rapports et de terminaux nécessitent un produit de protection et un SIEM, et non pas davantage de flux.

Quelle est la différence entre le flux de données d’URL malveillantes et le flux de données d’URL malveillantes exactes ?

La différence déterminante réside dans le format des indicateurs et, par conséquent, dans les capacités requises de vos outils. Ce produit, le flux basé sur des masques, fournit des masques d’URL et est conçu pour la mise en correspondance via Kaspersky CyberTrace ou via l’analyse du trafic réseau dans un pare-feu ou une passerelle de nouvelle génération. La variante « Exact » fournit des URL, des hôtes et des domaines exacts, et est précisément destinée aux cas où les masques et le moteur de correspondance de CyberTrace ne peuvent pas être utilisés, comme lors d’une importation directe dans un SIEM ou une plateforme tierce de renseignements sur les menaces. Si votre plateforme ne peut traiter que des indicateurs littéraux, le flux de masques ne sera pas suffisamment performant et le flux « Exact » est le choix qui s’impose.

Quelles sont les limites à connaître avant l’achat ?

Il ne s'agit pas d'un produit de protection et il ne peut rien bloquer de lui-même : il s'agit d'une liste d'indicateurs, et chaque détection ou blocage s'effectue au sein des équipements que vous possédez et exploitez déjà. Le format des masques est la source de déception la plus courante, car les plateformes qui n'acceptent que des URL littérales ne feront pas correspondre correctement les masques et auront besoin de la variante « Exact » à la place. En ce qui concerne la disponibilité régionale, le flux lui-même n’est pas limité à certaines régions, contrairement à la manière dont les fournisseurs restreignent parfois certaines fonctionnalités aux États-Unis et au Royaume-Uni, mais le cadre juridique varie selon les marchés : l'interdiction américaine des logiciels de cybersécurité Kaspersky ne s'étend pas aux produits de renseignements sur les menaces, tandis que l'avertissement du BSI allemand contre les logiciels antivirus Kaspersky reste en vigueur ; les acheteurs dont les entités du groupe sont situées aux États-Unis ou en Allemagne doivent donc vérifier leur politique interne avant l'achat plutôt qu'après. Enfin, il existe des flux de démonstration, mais ceux-ci offrent des taux de détection inférieurs à ceux de la version commerciale ; une évaluation via une démo sous-estimera donc la couverture réelle.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique pourquoi la correspondance des indicateurs de périmètre nécessite toujours une couche de protection sur le terminal lui-même.

Foire aux questions sur les flux de données sur les menaces de Kaspersky : URL malveillantes

Kaspersky CyberTrace est-il nécessaire pour utiliser ce flux ?

Pas strictement, mais le flux basé sur des masques est conçu autour de cet outil. CyberTrace effectue l’analyse et la correspondance en dehors de votre SIEM et ne transmet que les correspondances confirmées avec leur contexte, ce qui correspond à l’utilisation prévue des masques ; un pare-feu ou une passerelle de nouvelle génération effectuant une analyse du trafic réseau peut également les exploiter. Les plateformes qui ne prennent pas en charge les masques doivent utiliser la variante « Exact » à la place.

Une version de démonstration est-elle disponible à des fins d’évaluation ?

Kaspersky propose des flux de démonstration pour plusieurs de ses flux de données, et un accès de démonstration au serveur TAXII est disponible pour les utilisateurs enregistrés du portail Threat Intelligence Portal disposant d’un jeton dédié. Les flux de démonstration présentent des taux de détection inférieurs à ceux de leurs équivalents commerciaux ; il convient donc de les considérer comme un test d’intégration plutôt que comme un test de couverture.