Kaspersky Threat Data Feeds Mobile Threat

Que contient le service « Kaspersky Threat Data Feeds Mobile Threat » ?

Hachages de programmes malveillants mobiles – Hachages de fichiers avec contexte pour les menaces ciblant Android et iPhone.
URL de botnets mobiles – URL et masques couvrant les serveurs C&C des botnets mobiles.
Champs de contexte exploitables – Noms des menaces, horodatages, géolocalisation et popularité par enregistrement.
Formats de flux standard – Fournis sous forme de fichiers JSON, OpenIoC, CSV et STIX.
Connecteurs SIEM prêts à l’emploi – Splunk, QRadar, ArcSight, Azure Sentinel, MISP et bien d’autres.
Important – Pas de console, pas d’agent, pas de blocage ; vos outils s’adaptent.

Quels sont les principaux avantages de Kaspersky Threat Data Feeds Mobile Threat ?

Kaspersky Threat Data Feeds Mobile Threat est une source de renseignements sur les menaces, et non un logiciel de protection : il fournit des hachages de logiciels malveillants mobiles et des indicateurs C&C de botnets mobiles aux outils de sécurité que vous utilisez déjà. Il ne dispose pas de modèle de gestion propre, car Kaspersky précise que la mise en correspondance des menaces est effectuée par les outils du client.

Détection mobile plus précoce – Les enregistrements peuvent apparaître avant que les mêmes indicateurs n’atteignent les sources OSINT.
Moins d’alertes inutiles – Le contexte permet aux analystes d’établir des priorités au lieu de vérifier chaque résultat.
Intégration indépendante des éditeurs – Fonctionne avec votre SIEM, pare-feu ou passerelle existants.
Faible taux de faux positifs – Filtrage par rapport à des bases de données de listes blanches et validation par des analystes.
Listes noires de passerelles – Les URL C&C mobiles alimentent les pare-feu et les passerelles Web.
Identifiants de flux documentés – Kaspersky publie ouvertement les identifiants de flux 67 et 139.

À quelle taille d’entreprise le flux de données sur les menaces mobiles de Kaspersky est-il adapté ?

Il s’agit d’un flux de renseignements sur les menaces destiné aux entreprises. Il n’apporte aucune valeur en soi : quelqu’un doit l’ingérer, le recouper avec les données télémétriques et donner suite aux détections. Les entreprises ne disposant pas d’un SIEM, d’une plateforme de renseignements sur les menaces ou d’un pare-feu acceptant les listes d’indicateurs externes ne peuvent pas l’utiliser.

Kaspersky Threat Data Feeds Mobile Threat répond-il aux exigences de la législation suisse en matière de cybersécurité ?

En Suisse, la loi révisée sur la sécurité de l’information oblige les opérateurs d’infrastructures critiques à signaler les cyberattaques à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant leur découverte ; cette obligation s’applique donc au secteur d’activité plutôt qu’à l’effectif. Ce service prend en charge cette obligation d’une manière très spécifique : lorsqu’un hachage mobile ou une URL C&C de botnet mobile provenant de vos journaux correspond à une entrée de la base de données, vous recevez le nom de la menace et l’horodatage de sa première détection, ce qui raccourcit l’étape de classification du rapport. Il ne détecte pas l’incident à votre place, car il ne contient ni moteur d’analyse, ni agent, ni système de collecte de télémétrie propre. Il ne génère pas non plus de dossier d’enquête, de chronologie ni de modèle de rapport ; le délai de 24 heures dépend donc toujours de votre système de journalisation, de vos alertes et d’une personne désignée qui est de garde. Aucun élément du produit ne garantit qu’un rapport sera établi dans les délais, et aucun logiciel ne rend une entreprise conforme. Cette description est une présentation du produit et ne constitue pas un avis juridique ; il convient de vérifier auprès d’un conseiller juridique qualifié si votre organisation est soumise à l’obligation de déclaration.

Le produit « Kaspersky Threat Data Feeds Mobile Threat » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit la conformité à la directive NIS 2, car celle-ci porte sur la gestion des risques au sein de l’organisation, et non sur l’achat d’un outil spécifique. La directive NIS 2 exige des mesures dans des domaines tels que l’analyse des risques et les politiques de sécurité, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, l’hygiène informatique, le contrôle d’accès et l’utilisation de l’authentification multifactorielle. Ce flux contribue à la gestion des incidents et au partage de renseignements sur les menaces : les indicateurs mobiles arrivent en continu et peuvent être corrélés avec les événements déjà collectés par votre système de surveillance. Il n’apporte aucune contribution au contrôle d’accès, à l’authentification multifactorielle, au chiffrement, à la sauvegarde, à la gestion des vulnérabilités ou à la formation du personnel, et il ne contient aucune preuve en soi qu’un auditeur pourrait examiner. Les acheteurs qui ont besoin d’une couverture de ces catégories doivent se les procurer séparément.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux mesures officielles sont pertinentes et toutes deux sont toujours en vigueur. L’Office fédéral allemand de la sécurité de l’information (BSI) a publié le 15 mars 2022 un avertissement contre l’utilisation des logiciels antivirus Kaspersky en vertu de la loi allemande sur le BSI ; cet avertissement n’a pas été retiré et a été repris dans la loi modifiée entrée en vigueur le 6 décembre 2025. Le 20 juin 2024, le ministère américain du Commerce a publié une décision définitive interdisant les produits antivirus et de cybersécurité de Kaspersky aux personnes américaines, les nouveaux contrats étant interdits à compter du 20 juillet 2024 et les mises à jour des signatures et du code source à compter du 29 septembre 2024. La décision précise explicitement qu’elle ne s’applique pas aux produits et services de renseignement sur les menaces de Kaspersky, catégorie à laquelle appartient ce flux. Kaspersky estime pour sa part que l’avertissement allemand ne reposait pas sur une analyse technique objective et que la décision américaine reflétait davantage le climat géopolitique qu’une évaluation de ses produits. Dans la pratique, cela a surtout de l’importance pour les contrats du secteur public et pour les fournisseurs dont les clients imposent des clauses relatives à l’origine du fournisseur ; comme ce flux est constitué de données textuelles traitées par vos propres outils plutôt que d’un logiciel disposant de privilèges système, certaines organisations le traitent différemment d’un agent installé, mais c’est la formulation contractuelle utilisée par votre client qui en décide, et non la distinction technique.

Norton contre Kaspersky – Quel antivirus offre la meilleure protection en 2025 ?
Une comparaison côte à côte des résultats de détection et de l'étendue des fonctionnalités des deux éditeurs, destinée aux acheteurs qui hésitent entre les deux.

Le flux de données sur les menaces mobiles de Kaspersky est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement dans une section d’un questionnaire type. Il répond aux questions concernant l’approvisionnement en renseignements sur les menaces externes, la couverture des indicateurs spécifiques aux appareils mobiles pour Android et iPhone, les formats que vous pouvez importer, ainsi que les plateformes de détection auxquelles les données sont transmises. Il ne répond pas aux questions qui pèsent le plus dans la balance : si une protection des terminaux et des appareils mobiles est déployée, si les appareils sont enregistrés sur une plateforme de gestion des appareils mobiles, comment la gestion des correctifs est assurée, si les disques sont chiffrés, si l’authentification multifactorielle est appliquée, combien de temps les journaux sont conservés, ou comment les incidents sont triés et escaladés. Ces lacunes ne peuvent pas être comblées en ajoutant davantage de flux. La solution la plus économique consiste généralement à commencer par étendre les capacités au sein de la même gamme, car les packs de flux Kaspersky plus complets intègrent des hachages de postes de travail, des URL malveillantes et de hameçonnage ainsi que la réputation des adresses IP, et Kaspersky CyberTrace fournit la couche de mise en correspondance qui fait défaut au flux lui-même, avant d’intégrer un deuxième fournisseur dans le même flux de travail. La gestion des terminaux, des appareils mobiles et des contrôles d’identité reste dans tous les cas un achat distinct.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit
pas à lui seul. Ce document explique où s’arrêtent les protections intégrées et quelles couches une entreprise doit encore ajouter elle-même.

Quelle est la différence entre « Mobile Threat » et « URL & Hash & Mobile Threat » ?

La différence décisive réside dans la couverture des ordinateurs de bureau : « Mobile Threat » ne comprend que les deux flux mobiles, tandis que le pack plus complet ajoute les flux de hachages pour ordinateurs de bureau et d’URL. Dans la documentation de Kaspersky, les deux flux vendus ici sont nommés « Mobile Malicious Hash Data Feed » (ID 67) et « Mobile Botnet Data Feed » (ID 139) ; les acheteurs recherchant ces noms trouveront le même contenu. Kaspersky publie au total plus de 25 flux prêts à l’emploi ; les offres au détail constituent donc des sous-ensembles d’un même catalogue plutôt que des générations de produits distinctes. Ne choisissez « Mobile Threat » que si vos indicateurs pour ordinateurs de bureau proviennent déjà d’une autre source ; sinon, la couverture exclusivement mobile laissera une lacune visible dans le même SIEM.

Quelles sont les limites à connaître avant l’achat ?

Le flux ne protège rien en soi. Kaspersky précise que la mise en correspondance doit être effectuée par les outils du client, car seules des données textuelles sont fournies ; ainsi, une correspondance n'existe que si votre SIEM, votre passerelle ou votre plateforme de renseignements sur les menaces génère déjà les hachages de fichiers et les URL à comparer. Les appareils mobiles ne sont ni analysés ni enregistrés, ce qui signifie qu’un téléphone situé en dehors du réseau d’entreprise ne génère a priori aucun événement à comparer. Aucune restriction régionale n’a été constatée pour les flux eux-mêmes, mais la situation réglementaire du fournisseur décrite ci-dessus constitue la question de disponibilité qui importe pour les acheteurs du secteur public et ceux soumis à des contraintes de chaîne d’approvisionnement en Suisse et dans l’Union européenne. Les achats complémentaires les plus courants sont une couche de mise en correspondance telle que Kaspersky CyberTrace, des flux supplémentaires pour les indicateurs de postes de travail et du temps d’analyse, car les indicateurs bruts, sans personne pour les trier, ne font qu’ajouter des lignes à une base de données.

Foire aux questions sur les flux de données sur les menaces de Kaspersky : menaces mobiles

Faut-il disposer de Kaspersky CyberTrace pour utiliser le flux ?

Non. Le flux peut être chargé directement dans un SIEM, un pare-feu de nouvelle génération, une passerelle Web ou une plateforme de renseignements sur les menaces, et Kaspersky fournit des connecteurs pour Splunk Enterprise Security, IBM QRadar, ArcSight ESM, RSA NetWitness, Azure Sentinel, MISP, ThreatConnect, EclecticIQ, ThreatQ, Anomali ThreatStream, Maltego, Cisco Firepower et Suricata, ainsi qu’une API REST. CyberTrace est un produit Kaspersky distinct qui effectue la mise en correspondance avant que les événements n’atteignent le SIEM, ce qui réduit la charge du SIEM, mais n’est pas obligatoire.

D’où proviennent les données du flux ?

Kaspersky les agrège à partir du Kaspersky Security Network, de ses propres robots d’indexation, d’un service de surveillance des botnets fonctionnant 24 h/24, 7 j/7 et 365 j/an, de pièges à spam, de ses équipes de recherche et de ses partenaires. Les données brutes sont ensuite filtrées à l'aide de critères statistiques, de sandbox et de moteurs heuristiques, puis validées par des analystes et soumises à des contrôles de liste blanche avant d'intégrer le flux.

Que se passe-t-il lorsqu’un de vos journaux correspond à un enregistrement ?

Il n’y a pas d’action automatique. L’outil de correspondance déclenche l’alerte et applique la règle que vous avez configurée, tandis que le flux fournit le contexte associé, tel que le nom de la menace, l’horodatage, la géolocalisation et la popularité de l’objet. La décision de bloquer la connexion, d’isoler l’appareil ou d’ouvrir un ticket relève entièrement de vos propres outils et processus.