Kaspersky Threat Data Feeds Ransomware URL

Que contient le flux de données sur les menaces « URL de ransomware » de Kaspersky ?

Indicateurs d’URL de ransomware – URL, domaines et hôtes hébergeant des ransomwares.
Données contextuelles sur les menaces – Nom de la menace, horodatage, popularité et adresse IP résolue.
Diffusion du flux au format JSON – JSON natif, actualisé toutes les vingt minutes via HTTPS.
Utilitaire de conversion de format –  Feed Utility convertit les données aux formats STIX, OpenIoC, CSV et texte.
Accès à la collecte TAXII – Objets STIX récupérables depuis le serveur TAXII de Kaspersky.
Important – Aucune console, aucun agent et aucun moteur de blocage n’est inclus.

Quels sont les principaux avantages du flux de données sur les menaces Kaspersky « URL de ransomware » ?

Kaspersky Threat Data Feeds Ransomware URL est un flux d’indicateurs lisible par machine couvrant les ressources Web qui hébergent ou diffusent des ransomwares, vendu sous forme d’abonnement aux données autonome. Il n’y a ni console de gestion ni agent : le flux est exploité par les systèmes que vous utilisez déjà, tels qu’un SIEM, un pare-feu de nouvelle génération, une passerelle Web ou Kaspersky CyberTrace ; la documentation Kaspersky désigne également cette gamme sous le nom de « Kaspersky Threat Intelligence Data Feeds ».

Source de liste noire pour pare-feu – Alimente les connecteurs externes des pare-feu de nouvelle génération (NGFW) sous forme de liste noire dynamique.
Enrichissement des alertes SIEM – Compare les journaux proxy et DNS aux infrastructures de ransomware connues.
Déchargement vers CyberTrace – La mise en correspondance s’effectue en dehors du SIEM, ce qui réduit le volume d’événements corrélés.
Champ d’application restreint aux ransomwares – Une liste plus courte qu’un flux d’URL malveillantes généraliste.
Actualisation toutes les vingt minutes – Les nouvelles URL d’hébergement détectées sont transmises à vos systèmes de contrôle dans l’heure qui suit.
Intégration indépendante des fournisseurs – Fonctionne avec des produits SIEM, des proxys et des passerelles tiers.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique jusqu’où va la protection intégrée et pourquoi l’ajout de renseignements sur les menaces modifie ce qu’un réseau détecte réellement.

À quelle taille d’entreprise le flux de données sur les menaces Kaspersky « Ransomware URL » est-il adapté ?

Il s’agit d’un flux, et non d’un produit doté d’une interface utilisateur. Il n’est rentable que si un système capable de traiter les indicateurs est déjà en place et si une personne examine les résultats des correspondances. Les entreprises ne disposant pas de leur propre SIEM, de leur propre gestion de pare-feu ou d’un prestataire de services de sécurité n’en tireront aucun bénéfice concret.

Le service « Kaspersky Threat Data Feeds Ransomware URL » répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation prévue par la loi révisée sur la sécurité de l’information incombe aux exploitants d’infrastructures critiques, et non à toutes les entreprises suisses, bien que les petits fournisseurs soient souvent impliqués par le biais de contrats avec leurs clients. Les opérateurs concernés doivent signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, ce qui signifie que celle-ci doit d’abord avoir lieu et être documentée. Ce flux répond précisément à cette exigence : une correspondance entre une entrée de journal de proxy, de DNS ou de pare-feu et une URL d'hébergement de ransomware connue génère un événement de détection daté et attribuable qui peut être mentionné dans le rapport. Il ne détecte rien de lui-même, car le moteur de correspondance, la conservation des journaux et la personne chargée d’examiner l’alerte doivent tous être déjà en place. Il ne couvre aucun autre aspect de l’obligation : ni la classification des incidents, ni la chronologie judiciaire, ni le processus de notification au BACS, ni l’archivage des preuves. Ce texte ne constitue pas un avis juridique, et vos propres obligations de déclaration doivent être évaluées avec l’aide d’un conseiller juridique qualifié.

Le service « Kaspersky Threat Data Feeds Ransomware URL » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit la conformité à la directive NIS 2, car celle-ci porte sur les obligations organisationnelles plutôt que sur les fonctionnalités logicielles. Les catégories de mesures qu’elle exige comprennent l’analyse des risques, la gestion des incidents, la continuité des activités et la gestion des sauvegardes, la sécurité de la chaîne d’approvisionnement, ainsi que la responsabilité des organes de direction. Ce flux aborde deux de ces catégories : pour la gestion des incidents, il fournit des indicateurs externes qui transforment une connexion sortante banale en une détection identifiée ; et pour la sécurité de la chaîne d’approvisionnement, il constitue une source de données commerciales documentée que vous pouvez citer lorsqu’un client vous demande comment votre contenu de détection est maintenu à jour. Il n’apporte rien en matière de continuité des activités, de sauvegarde et de restauration, de gestion de crise, ni concernant les obligations de gouvernance et de formation que la directive impose à la direction. Il ne génère pas non plus de rapport de lui-même ; ce sont donc vos processus, et non le flux, qui permettent de respecter les délais de notification prévus par la directive NIS 2.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux mesures officielles ont été enregistrées et sont toutes deux toujours en vigueur. L’Office fédéral allemand de la sécurité de l’information (BSI) a émis en mars 2022 un avertissement public à l’encontre des logiciels antivirus du fabricant Kaspersky ; cet avertissement reste en vigueur en 2026, est désormais régi par l’article 13 de la loi sur le BSI suite à la mise en œuvre de la directive NIS 2 en Allemagne en décembre 2025, et le BSI a confirmé publiquement qu’il continuait à le maintenir. En juin 2024, le ministère américain du Commerce, par l’intermédiaire de son Bureau de l’industrie et de la sécurité, a rendu une décision définitive interdisant à Kaspersky de fournir des produits ou services de cybersécurité et antivirus à des personnes américaines, la revente, l’intégration et l’octroi de licences en vue de la revente étant interdits à compter du 29 septembre 2024. Kaspersky rejette ces deux positions, estimant que la décision américaine est motivée par le climat géopolitique et des préoccupations théoriques plutôt que par une évaluation de ses produits, et a officiellement demandé au BSI de retirer cet avertissement. Aucune de ces deux décisions ne repose sur la découverte technique publiée d’un code malveillant dans les logiciels de Kaspersky, et les tests en laboratoire indépendants des produits Kaspersky se sont poursuivis en dehors des États-Unis. Dans la pratique, cela a une importance là où les règles de passation de marchés s’appliquent : les marchés publics allemands, les organisations dont les clients appliquent les recommandations du BSI tout au long de leur chaîne d’approvisionnement, toute entité considérée comme une « personne américaine », ainsi que les appels d’offres qui demandent le pays d’origine du fournisseur. Les acheteurs n’appartenant pas à ces catégories ne sont soumis à aucune restriction de vente en Suisse ou dans l’Union européenne, et c’est à vous qu’il revient de faire votre propre évaluation.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Comparaison des résultats de détection et de l’étendue des fonctionnalités des deux fournisseurs, informations utiles lorsque le pays d’origine fait partie de vos critères de décision.

Les flux de données sur les menaces de Kaspersky (Kaspersky Threat Data Feeds) concernant les URL de ransomware sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et principalement sur un seul point. Les questionnaires demandent généralement si vous utilisez des renseignements externes sur les menaces, dans quelle mesure ces renseignements sont à jour et comment ils parviennent à vos systèmes de détection ; un flux commercial sous licence, avec un cycle de rafraîchissement documenté de vingt minutes et un chemin d’intégration nommé vers un SIEM ou un pare-feu, répond à ces trois points par un fait vérifiable plutôt que par une simple affirmation. Il n’apporte aucune autre réponse. La couverture de la protection des terminaux, l’état des correctifs, l’authentification multifactorielle, le chiffrement des disques, les tests de sauvegarde et de restauration, les durées de conservation des journaux, les plans de réponse aux incidents, la formation de sensibilisation du personnel, les revues d’accès et les listes de sous-traitants restent tous des points ouverts, et le flux ne génère aucun rapport ni tableau de bord propre ; de sorte que toute preuve doit être exportée depuis votre SIEM ou votre pare-feu plutôt que depuis Kaspersky. Si plusieurs lignes sont ouvertes simultanément, l’ajout de flux supplémentaires issus de la même gamme Kaspersky, ou le passage au Kaspersky Threat Intelligence Portal pour la génération de rapports et les recherches, s’avère généralement moins coûteux en termes d’exploitation que de faire appel à un deuxième fournisseur de renseignements, car les formats de livraison et l’utilitaire de flux restent les mêmes. Lorsque la lacune est d’ordre opérationnel plutôt qu’informationnel, comme pour les tests de sauvegarde ou la planification des interventions, aucun flux ne permettra de la combler et le travail devra être planifié.

Quelle est la différence entre le flux de données d’URL de ransomware et le flux de données d’URL malveillantes ?

La différence décisive réside dans la portée, et non dans la qualité des données. Le flux d’URL de rançongiciels ne couvre que les ressources Web liées aux rançongiciels, tandis que le flux d’URL malveillantes couvre toutes sortes de ressources Web malveillantes et constitue donc une liste bien plus vaste. Le flux d’URL de rançongiciels constitue donc le meilleur choix lorsque vous recherchez une liste de blocage concise et très ciblée pour un pare-feu ou une passerelle, tandis que le flux d’URL malveillantes est préférable lorsque vous souhaitez une couverture étendue dans un SIEM capable de gérer ce volume. Les deux sont fournis au format JSON natif et utilisent des masques d’URL ; ainsi, un contrôle qui ne peut pas traiter les masques nécessite Kaspersky CyberTrace comme moteur de correspondance. Au sein de la gamme, une variante d’URL exacte est documentée pour le flux d’URL malveillantes, mais pas pour le flux de ransomware.

Quelles restrictions devez-vous connaître avant d’acheter ?

La restriction régionale la plus claire est la décision finale des États-Unis : les produits et services de cybersécurité Kaspersky, y compris leur revente et leur intégration dans d’autres services, ne peuvent pas être fournis à des personnes américaines, ce qui exclut d’emblée les filiales américaines et les prestataires de services ayant des clients basés aux États-Unis. La deuxième limitation est d'ordre architectural : le flux ne contient ni console, ni agent, ni moteur de blocage ; il est donc nécessaire qu'un SIEM, un pare-feu de nouvelle génération, une passerelle sécurisée ou Kaspersky CyberTrace soit en place et correctement configuré avant qu'une seule correspondance ne puisse être générée. Le troisième concerne la couverture : ce flux répertorie les ressources Web hébergeant des ransomwares, ce qui signifie que les ransomwares arrivant via une pièce jointe à un e-mail, un RDP exposé, des identifiants volés ou un mouvement latéral ne génèrent aucune correspondance ici, et que les hachages de fichiers relèvent de flux de hachages distincts. Kaspersky publie également des variantes régionales de flux portant la mention « META », dont la couverture est adaptée à la région concernée, tandis que les flux standard visent une couverture mondiale ; vous devez donc choisir la variante correspondant à la destination réelle de votre trafic. Enfin, le flux utilise des masques d’URL ; les contrôles incapables de traiter ces masques nécessitent soit le moteur de correspondance de CyberTrace, soit un fichier de sortie converti généré à l’aide de l’utilitaire Kaspersky Feed Utility.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les pannes
Cet article aborde l’aspect de la récupération que nul flux de renseignements sur les menaces ne traite, notamment le coût réel d’une panne pour une entreprise.

Foire aux questions sur les flux de données sur les menaces de Kaspersky : URL de ransomware

Le flux contient-il des hachages de fichiers de ransomware ?

Non. Ce flux contient des URL, des domaines et des hôtes accompagnés de leur contexte. Les hachages de fichiers sont fournis par des flux de hachages distincts de la même famille, tels que le flux de données de hachages malveillants, qui fait l’objet d’un abonnement séparé.

Peut-on tester le flux avant de l'acheter ?

Kaspersky publie des flux de démonstration destinés à l'évaluation et aux tests d'intégration, et précise que leurs taux de détection sont inférieurs à ceux des flux de production. Ils permettent de vérifier que votre SIEM ou votre pare-feu analyse correctement le format, mais ne permettent pas d'évaluer la couverture.

Faut-il disposer des produits Kaspersky pour terminaux pour utiliser ce flux ?

Non. Le flux est conçu pour une intégration directe dans des contrôles de sécurité tiers tels que les systèmes SIEM, les pare-feu de nouvelle génération et les passerelles de messagerie ou Web sécurisées, y compris via STIX sur TAXII. Kaspersky CyberTrace est facultatif et sert à décharger le SIEM de la correspondance des indicateurs.