Kaspersky Threat Data Feeds Open Source Threats

Que contient le service « Kaspersky Threat Data Feeds Open Source Threats » ?

Enregistrements de paquets open source – Entrées concernant les paquets connus pour être malveillants, compromis ou vulnérables.
Huit référentiels de paquets – PyPI, npm, NuGet, Maven, Composer, Go, RPM et Debian.
Liens vers les avis de sécurité – Avis de sécurité GitHub, CVE MITRE, alertes Debian et CentOS.
Contexte des versions et des correctifs – Listes des versions vulnérables, chaînes CPE et versions corrigées recommandées.
Contexte des paquets malveillants – Gravité, impact sur le système, CWE et hachages des versions compromises.
Important – Aucune console de gestion, aucun agent et aucun moteur d’analyse ne sont inclus.

Quels sont les principaux avantages de Kaspersky Threat Data Feeds Open Source Threats ?

« Kaspersky Threat Data Feeds Open Source Threats » est le nom commercial du flux de données « Kaspersky Open Source Software Threats Data Feed », l’un des plus de 25 flux de la gamme Kaspersky Threat Data Feeds. Il ne dispose pas de modèle de gestion propre : vous vous abonnez à un ensemble de données JSON et le comparez à votre propre inventaire de dépendances à l’aide de vos propres outils.

Filtrage des dépendances – Signale les paquets à risque avant qu’ils n’atteignent une version de production.
Mises à jour toutes les quatre heures – Le flux est actualisé toutes les quatre heures par Kaspersky.
Pas de fichiers binaires – Enregistrements au format texte uniquement, de sorte qu’aucun fichier exécutable ne pénètre sur vos serveurs de compilation.
Au-delà des données CVE – Couvre les paquets délibérément malveillants et ceux altérés à des fins politiques, et pas seulement les vulnérabilités.
Sortie prête pour l’automatisation – JSON avec des chaînes CPE pour la mise en correspondance automatisée dans les pipelines d’intégration continue (CI).
Hachages d’exploits – Hachages d’exploits observés en milieu réel pour la hiérarchisation des menaces.

À quelle taille d’entreprise le service « Kaspersky Threat Data Feeds Open Source Threats » est-il adapté ?

La taille de l’entreprise n’est pas un critère pertinent pour ce produit. La question déterminante est de savoir si votre organisation développe des logiciels qui intègrent des paquets open source tiers, et si vous utilisez déjà un outil capable de comparer une liste de paquets au format JSON avec votre inventaire de dépendances. Une entreprise comptant 30 développeurs tirera davantage profit de ce flux qu’une entreprise de 800 employés de bureau qui n’achète que des logiciels prêts à l’emploi.

Les flux de données sur les menaces open source de Kaspersky répondent-ils aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration prévue par la loi révisée sur la sécurité de l’information s’applique aux opérateurs d’infrastructures critiques, et non aux entreprises en général, et elle est déclenchée en fonction du secteur d’activité et du rôle plutôt qu’en fonction des effectifs. Les opérateurs concernés doivent signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte. Ce flux couvre un aspect très précis de ce tableau : il vous indique quels paquets open source présents dans vos propres logiciels sont connus pour être malveillants, compromis ou vulnérables, ce qui correspond exactement au type d’information dont un rapport a besoin lorsque le point d’entrée était une dépendance corrompue. Il ne détecte pas l’attaque, ne surveille pas votre réseau, ne conserve pas de journaux et ne génère aucun rapport que vous pourriez soumettre ; le délai de 24 heures reste donc géré par votre processus de surveillance et de gestion des incidents, et non par cet abonnement. Il ne fournit par ailleurs aucune information sur votre propre code source, mais uniquement sur les paquets tiers que vous intégrez. Ce texte ne constitue pas un avis juridique, et il vous appartient de déterminer, avec votre propre conseiller juridique, si votre organisation est soumise à l’obligation de déclaration.

Le service « Kaspersky Threat Data Feeds Open Source Threats » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une entreprise de se conformer à la directive NIS 2, car celle-ci porte sur les mesures et processus organisationnels plutôt que sur les outils. La directive NIS 2 exige une analyse des risques et des politiques de sécurité, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la sécurité lors de l’acquisition, du développement et de la maintenance des systèmes d’information et de réseau — y compris la gestion des vulnérabilités, l’hygiène informatique et la formation —, le contrôle d’accès et la cryptographie. Ce flux correspond à deux de ces catégories : la sécurité de la chaîne d’approvisionnement, en identifiant les progiciels tiers porteurs de menaces connues, et la gestion des vulnérabilités pendant le développement, en fournissant les plages de versions vulnérables, les chaînes CPE et les versions corrigées recommandées. Il n’apporte aucune contribution à la gestion des incidents, à la continuité des activités, au contrôle d’accès, à l’authentification multifactorielle, à la formation du personnel, à la cryptographie ou à la protection des terminaux, et il ne génère aucune documentation relative aux politiques. Considérez-le comme un élément parmi d’autres d’un processus de sécurité du développement qui doit exister indépendamment de lui.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux mesures officielles sont en vigueur et il est utile de les connaître avant tout achat. L’Office fédéral allemand de la sécurité de l’information (BSI) a émis une mise en garde contre l’utilisation du logiciel antivirus Kaspersky depuis le 15 mars 2022 et continue de publier cet avertissement ; conformément à la loi allemande transposant la directive NIS 2, entrée en vigueur le 6 décembre 2025, cet avertissement relève désormais de l’article 13 de la BSIG. Le BSI précise que l’avertissement concerne les logiciels antivirus de la gamme Kaspersky et qu’il n’a fait aucune déclaration concernant d’autres produits, ce qui constitue une distinction importante pour un flux de données exclusivement textuel. Aux États-Unis, le ministère du Commerce a publié, le 20 juin 2024, une décision définitive interdisant à Kaspersky de fournir des logiciels antivirus et des produits ou services de cybersécurité à des personnes américaines, en vigueur depuis le 29 septembre 2024, et a ajouté AO Kaspersky Lab ainsi que deux autres entités à la liste des entités (Entity List). La Suisse a adopté une ligne de conduite différente : l’OFAC n’a émis aucun avertissement ni aucune directive interne concernant les logiciels Kaspersky, a déclaré que son évaluation technique n’avait pas été modifiée par l’interdiction américaine et a indiqué qu’il informerait le public s’il obtenait des preuves d’utilisation abusive. Kaspersky rejette l’avertissement du BSI, estimant qu’il ne repose pas sur une analyse objective des risques techniques, met en avant ses centres de données situés en Suisse et a demandé début 2026 au BSI de retirer cet avertissement, tout en se réservant le droit d’engager des poursuites judiciaires. En ce qui concerne les tests, il convient de noter que les laboratoires comparatifs indépendants évaluent les produits Kaspersky destinés aux terminaux, et non ce flux de données ; aucun résultat de test ne peut donc lui être attribué, dans un sens comme dans l’autre. Dans la pratique, cela revêt une importance particulière pour les appels d’offres du secteur public, les fournisseurs des organismes fédéraux allemands et toute personne dont les contrats ou les clauses de la chaîne d’approvisionnement des clients restreignent l’utilisation de logiciels d’origine russe ; pour les autres acheteurs, le fait technique pertinent est que ce flux ne transmet aucun code exécutable et n’exécute aucun processus sur vos systèmes.

Norton vs Kaspersky – Quel programme antivirus offre la meilleure protection en 2025 ?
Comparaison côte à côte des résultats de détection et des fonctionnalités de deux éditeurs d’antivirus largement déployés.

Les flux de données sur les menaces open source de Kaspersky sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

Oui, mais uniquement pour un bloc de questions. Il vous apporte une réponse défendable aux questions relatives à l’analyse des composants tiers, à la manière dont vous identifiez les dépendances open source vulnérables et malveillantes, et à la question de savoir si vos vérifications vont au-delà des listes CVE publiées, puisque le flux signale également les paquets délibérément malveillants, les « riskwares » et les paquets altérés pour des raisons politiques. Il n’apporte aucune réponse concernant la protection des terminaux, l’EDR, la gestion des correctifs des systèmes d’exploitation, le chiffrement, l’authentification multifactorielle, la sauvegarde et la restauration, le contrôle d’accès, la conservation des journaux, la formation à la sensibilisation, la réponse aux incidents, les tests d’intrusion ou les certifications. Il ne génère pas non plus de document probatoire en soi : la piste d’audit qu’un client souhaite consulter doit provenir des rapports de l’outil qui exploite ce flux, ce que la plupart des acheteurs sous-estiment. Pour combler les lacunes les plus importantes au moindre coût, restez au sein de la même famille de fournisseurs avant de mélanger les prestataires : les questions relatives aux terminaux et à l’EDR sont couvertes par la gamme Kaspersky Next, tandis que la mise en correspondance côté SIEM et le contexte des alertes sont pris en charge par Kaspersky CyberTrace ou la plateforme Kaspersky Unified Monitoring and Analysis.

Quelle est la différence entre le flux « Open Source Threats » et les flux de données de sécurité réseau ?

La différence décisive réside dans l’endroit où les données sont mises en correspondance : le flux « Open Source Threats » est mis en correspondance avec votre liste de dépendances au sein du processus de compilation, tandis que les flux de sécurité réseau sont mis en correspondance avec le trafic et les événements au niveau du périmètre et dans le SIEM. Cette différence détermine tout le reste, y compris le type de données, le format de diffusion et la fréquence des mises à jour. Il s’agit dans les deux cas d’abonnements à des données plutôt qu’à des logiciels, et aucun des deux ne bloque quoi que ce soit de lui-même. L’achat de l’un ne couvre pas le cas d’utilisation de l’autre ; les équipes de développement et les équipes chargées des opérations de sécurité ont donc généralement besoin de flux différents issus de la même gamme.

Quelles sont les contraintes à connaître avant d’acheter ?

La disponibilité régionale est la première restriction à vérifier : en vertu de la décision finale américaine de juin 2024, Kaspersky n’est pas autorisé à fournir des produits ou services de cybersécurité aux États-Unis ou à des personnes américaines, cette décision étant en vigueur depuis le 29 septembre 2024 ; les entités américaines et les filiales basées aux États-Unis sont donc exclues du marché cible de cet abonnement. La deuxième restriction est à l’origine de la plupart des achats ultérieurs : le flux contient uniquement des données ; Kaspersky n’effectue aucune mise en correspondance, et vous devez soit disposer d’un outil d’analyse de composants logiciels existant capable d’importer une liste de paquets au format JSON, soit consacrer des efforts de développement pour créer vous-même cette fonctionnalité de mise en correspondance. La couverture des référentiels est limitée aux huit référentiels publiés ; les paquets provenant de crates.io, RubyGems, Conda ou des registres d’images de conteneurs ne sont donc pas pris en compte, bien que Kaspersky indique que d’autres référentiels pourront être ajoutés à mesure qu’ils gagneront en popularité. Enfin, le champ d’application se limite aux paquets open source tiers : votre propre code source, les bibliothèques commerciales tierces et les erreurs de configuration de votre infrastructure ne relèvent pas de ce que ce flux peut vous indiquer, et il ne protège aucun terminal, serveur ou boîte mail.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit
pas à lui seul. Explication des lacunes laissées par une seule couche de protection intégrée, que des mesures de sécurité supplémentaires doivent combler.

Foire aux questions sur les flux de données sur les menaces de Kaspersky : menaces open source

Ce flux remplace-t-il un outil d’analyse des composants logiciels ?

Non. Il s'agit d'une source de données conçue pour être exploitée par un tel outil ou par vos propres scripts. Kaspersky fournit les enregistrements des paquets et le contexte ; c'est à vos outils qu'il revient d'identifier lesquels de ces paquets apparaissent dans vos projets, en effectuant une correspondance sur la base de paramètres tels que le nom et la version du paquet.

Couvre-t-il les paquets des distributions Linux ainsi que les écosystèmes de langages de programmation ?

Oui. Outre PyPI, npm, NuGet, Maven, Composer et Go, le flux analyse les dépôts RPM et Debian, et enregistre les versions des systèmes d’exploitation prises en charge pour ces paquets. Les résultats sont reliés aux avis de sécurité Debian, aux alertes de sécurité CentOS et aux avis de sécurité Red Hat.

Ces données peuvent-elles être utilisées dans un système SIEM plutôt que dans un pipeline de compilation ?

La gamme Kaspersky Threat Data Feeds s’intègre aux plateformes SIEM et de renseignements sur les menaces, notamment IBM QRadar, Splunk Enterprise Security, ArcSight ESM, Azure Sentinel et MISP, généralement via Kaspersky CyberTrace. Les résultats relatifs aux paquets restent toutefois plus utiles au moment de la compilation, car un SIEM n’a pas connaissance des dépendances déclarées par un projet.