Kaspersky Threat Data Feeds Suricata Rules

Que contiennent les règles Suricata issues des flux de données sur les menaces de Kaspersky ?

Ensemble de règles Suricata – Environ 5 000 règles IDS au format compatible avec Suricata.
Mises à jour quotidiennes des règles – Publication quotidienne de signatures nouvelles et révisées.
Couverture des catégories de menaces – APT, C&C de botnets, crimeware, tunneling DNS, ransomware, exploits.
Contexte du nom de détection – Chaque alerte comporte le nom de détection Kaspersky pour faciliter le triage.
Diffusion via certificat – Flux récupéré via HTTPS à l’aide d’un certificat numérique émis.
Important – Aucune console, aucun agent et aucun moteur de détection ne sont inclus.

Quels sont les principaux avantages des flux de données sur les menaces Kaspersky « Règles Suricata » ?

Les règles Suricata de Kaspersky Threat Data Feeds constituent un flux de règles par abonnement plutôt qu’un produit à installer : elles fournissent des signatures que votre propre Suricata, IDS, IPS ou pare-feu de nouvelle génération charge et exécute. Il n’y a ni console de gestion Kaspersky ni agent ; la définition des politiques, le réglage et la gestion des alertes restent donc entièrement au sein des outils de sécurité réseau que vous utilisez déjà.

Déploiement indépendant du fournisseur – Fonctionne avec n’importe quel moteur compatible Suricata que vous utilisez déjà.
Aucune installation de logiciel – Règles au format texte uniquement, aucun binaire Kaspersky sur les hôtes.
Triage plus rapide des alertes – Les noms de détection orientent directement les analystes vers la famille de logiciels malveillants.
Testé avant publication – Les règles sont soumises à une infrastructure de test dédiée afin de limiter les faux positifs.
Détection au niveau de la couche réseau – Cible les menaces réseau que les contrôles standard ne détectent pas.
Origine des règles éprouvée – Il s’agit des mêmes règles que celles utilisées par Kaspersky dans sa propre infrastructure.

À quelle taille d’entreprise les règles Suricata de Kaspersky Threat Data Feeds sont-elles adaptées ?

La question déterminante n’est pas le nombre d’employés, mais le fait de savoir si vous exploitez déjà un capteur réseau et si vous disposez d’une personne chargée d’analyser ses alertes. Un flux de règles génère des alertes, pas des décisions ; par conséquent, une organisation ne disposant pas d’un IDS, d’un IPS ou d’un NGFW en service ne peut en aucun cas utiliser ce produit, quelle que soit sa taille.

Les règles Suricata de Kaspersky Threat Data Feeds répondent-elles aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration prévue par la loi révisée sur la sécurité de l’information s’applique depuis le 1er avril 2025 et concerne les exploitants d’infrastructures critiques, notamment les services publics d’énergie et d’eau, les opérateurs de transport, les hôpitaux répertoriés, les centres de données ainsi que les administrations cantonales et communales. Les organisations concernées doivent soumettre un rapport initial à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant la découverte d’une cyberattaque, et disposent d’un délai maximal de 14 jours pour compléter les informations manquantes. Ce flux prend en charge la partie «détection» de cette obligation : les alertes concernant le trafic de commande et de contrôle des botnets, le tunneling DNS ou les activités de ransomware vous fournissent une observation technique horodatée et une détection nommée que vous pouvez intégrer dans le rapport initial, ce qui constitue généralement la partie la plus difficile à produire en une seule journée. Il ne couvre en aucun cas le reste de l’obligation, car ce flux ne comprend ni workflow de signalement, ni gestion des incidents, ni conservation des journaux, ni processus d’escalade, et il ne produit absolument rien si vous ne disposez pas d’un capteur réseau sur lequel appliquer les règles. La question de savoir si votre organisation est soumise à cette obligation et comment vous vous en acquittez dans la pratique relève du droit, et cette description ne constitue pas un avis juridique.

Les règles Suricata issues des flux de données sur les menaces de Kaspersky répondent-elles aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une organisation d’être conforme à la directive NIS 2, car celle-ci porte sur la responsabilité de la direction, l’analyse des risques et les processus organisationnels plutôt que sur un outil en particulier. La directive NIS 2 exige des catégories de mesures comprenant notamment l’analyse des risques et les politiques de sécurité des systèmes d’information, la gestion des incidents, la continuité des activités et la gestion de crise, la sécurité de la chaîne d’approvisionnement, la sécurité lors de l’acquisition et du développement, la gestion des vulnérabilités, ainsi que l’utilisation de la cryptographie et du contrôle d’accès. Ce flux ne couvre qu’une partie restreinte de la gestion et de la détection des incidents : il déclenche des alertes en cas de trafic réseau malveillant et fournit le contexte de détection dont un analyste a besoin pour classer ce qui a été détecté. Il ne contribue en rien à la continuité des activités, à la sauvegarde, au contrôle d’accès, à la cryptographie, à la gestion des vulnérabilités, à l’évaluation des fournisseurs ou à la formation du personnel, et il ne fournit aucune preuve de la supervision de la direction, qui est la catégorie de mesures que les acheteurs sous-estiment le plus souvent.

Que faut-il savoir des évaluations officielles de Kaspersky ?

L’Office fédéral allemand de la sécurité de l’information (BSI) a émis un avertissement contre l’utilisation des logiciels antivirus Kaspersky depuis le 15 mars 2022, et cet avertissement est toujours en vigueur ; il est désormais régi par l’article 13 de la loi modifiée sur le BSI depuis le 6 décembre 2025. Le champ d’application est important pour ce produit spécifique : l’avertissement concerne la gamme de logiciels antivirus de Kaspersky, et la FAQ de l’autorité elle-même précise qu’aucune évaluation n’a été émise concernant les autres produits Kaspersky. Par ailleurs, le Bureau américain de l’industrie et de la sécurité (BIS) a interdit toute nouvelle vente de produits Kaspersky aux États-Unis à compter du 20 juillet 2024 et a ajouté les entités Kaspersky à la liste des entités (Entity List). Kaspersky rejette l’évaluation allemande, qu’elle juge motivée par des considérations politiques plutôt que techniques, et souligne que ses flux de données sont exclusivement textuels, toutes les analyses de menaces étant effectuées par les propres outils du client plutôt que par les logiciels Kaspersky. La Suisse n’a pris aucune mesure comparable : le BACS a confirmé qu’il n’existait aucune directive interne ni aucune interdiction concernant les logiciels Kaspersky, et que les décisions relevaient de chaque office fédéral à l’expiration des contrats. Les résultats des tests antivirus standard en laboratoire ne constituent pas un point de référence utile pour ce produit, car un flux de règles n’est pas soumis aux tests de détection destinés aux consommateurs. Dans la pratique, cela concerne les appels d’offres du secteur public, les organisations dont la société mère ou une filiale est allemande, ainsi que les acheteurs dont les clients appliquent des critères liés au pays d’origine lors de l’évaluation des fournisseurs, tandis que les organisations purement privées, qui ne sont pas soumises à de telles contraintes, ne font l’objet d’aucune restriction légale en Suisse.

Norton vs Kaspersky : quel programme antivirus offre la meilleure protection ?
Une comparaison directe des deux éditeurs portant sur les performances de détection et les critères pratiques utilisés par les acheteurs pour choisir entre les deux.

Les flux de données sur les menaces Kaspersky « Suricata Rules » sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement pour un bloc de questions. Elles vous fournissent une réponse documentée aux questions demandant si une détection des intrusions réseau est en place, si vous êtes abonné à une source externe de renseignements sur les menaces, à quelle fréquence le contenu de détection est mis à jour (vous pouvez répondre « quotidiennement ») et si vous êtes en mesure de détecter le trafic de commande et de contrôle ainsi que celui lié aux ransomwares par catégorie. Il ne répond à aucun des autres blocs : la protection des terminaux, l’EDR et les mesures de réponse, la gestion des correctifs, l’authentification multifactorielle, le chiffrement des disques, les tests de sauvegarde et de restauration, les durées de conservation des journaux, les audits de contrôle d’accès et les formations de sensibilisation du personnel ne relèvent pas de ce produit. Un point mérite une attention particulière : de nombreux questionnaires de fournisseurs posent désormais des questions sur le pays d’origine des éditeurs de solutions de sécurité ; ce produit ne vous aidera pas sur ce point et risque au contraire de susciter des questions complémentaires. Le moyen le plus économique de combler les lacunes en matière de renseignements consiste à étendre la couverture au sein de la même gamme Kaspersky Threat Data Feeds plutôt que de mélanger les fournisseurs de renseignements ; toutefois, les lacunes concernant les terminaux, la sauvegarde et le contrôle d’accès ne peuvent pas être comblées au sein de cette gamme et nécessitent de toute façon des produits distincts.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les interruptions de service.
Cela explique pourquoi les tests de sauvegarde et de restauration constituent une exigence distincte que les outils de détection ne peuvent pas satisfaire à eux seuls.

Quelle est la différence entre le flux de données de règles Suricata et le flux de données de règles Sigma ?

La différence décisive réside dans le lieu d’exécution des règles. Les règles Suricata inspectent le trafic réseau en temps réel au sein d’un IDS, d’un IPS ou d’un NGFW ; elles détectent donc ce qui transite sur le réseau et nécessitent un capteur positionné de manière à observer ce trafic. Les règles Sigma décrivent la logique de détection pour les données de journaux et d’événements ; elles s’exécutent donc au sein d’une plateforme SIEM ou de gestion des journaux, détectant ce que vos systèmes ont enregistré plutôt que ce qu’ils ont transmis. Les deux sont complémentaires plutôt qu’alternatives, et les acheteurs font leur choix en fonction de la plateforme qu’ils utilisent déjà. Kaspersky publie le nombre de règles et la fréquence de mise à jour pour le flux Suricata, mais pas pour le flux Sigma ; les deux lignes du bas ne sont donc pas indiquées, par défaut, plutôt que d’être estimées.

Quelles sont les restrictions à connaître avant d’acheter ?

La principale limitation est d’ordre géographique plutôt que technique : les produits Kaspersky ne pourront plus être commercialisés aux États-Unis en raison de l’interdiction entrant en vigueur le 20 juillet 2024. Les organisations disposant de filiales aux États-Unis ou comptant des clients fédéraux américains doivent donc clarifier leur situation avant tout achat. D'un point de vue technique, le flux est livré par défaut en mode détection, ce qui signifie que les règles génèrent des alertes plutôt que de bloquer les menaces ; le passage en mode prévention est une décision que vous prenez et que vous configurez au sein de votre propre IPS, avec le risque opérationnel que cela implique. Environ 5 000 règles génèrent des alertes qu’il faut lire ; le flux de données crée donc du travail au lieu d’en supprimer, et les entreprises ne disposant pas de capacités d’analyse l’abandonnent généralement en l’espace de quelques semaines. L’intégration n’est pas automatique non plus : le flux est fourni sous forme de texte via HTTPS à l’aide d’un certificat délivré et doit être récupéré, filtré et compilé dans votre moteur, généralement à l’aide de Kaspersky Feed Utility ou de CyberTrace, ce qui représente un petit projet plutôt qu’un simple paramétrage. Enfin, ce produit ne protège ni les terminaux, ni les boîtes mail, ni les charges de travail des serveurs, et l’achat supplémentaire qu’il déclenche le plus souvent concerne une protection des terminaux que les acheteurs ont à tort supposée incluse.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique pourquoi la protection des terminaux reste une exigence distincte, parallèlement à la détection au niveau du réseau.

Foire aux questions sur les flux de données sur les menaces de Kaspersky et les règles Suricata

Faut-il installer un logiciel Kaspersky pour utiliser ce flux ?

Non. Kaspersky fournit uniquement des flux textuels, et toute la reconnaissance des menaces est effectuée par vos propres outils. C'est la raison pour laquelle ce flux est utilisé par des organisations qui ne déploieraient pas de logiciel Kaspersky sur leurs terminaux.

Ce flux est-il compatible avec les pare-feu de nouvelle génération et les outils PCAP ?

Oui. Kaspersky précise que les règles sont destinées aux appareils de sécurité réseau, notamment les systèmes de détection et de prévention des intrusions, les pare-feu de nouvelle génération et autres outils de sécurité réseau ou de traitement PCAP, à condition qu’ils prennent en charge les règles au format Suricata.

Comment les règles sont-elles fournies et mises à jour ?

Une fois la commande passée, Kaspersky délivre un certificat numérique qui autorise le téléchargement via un service basé sur le protocole HTTPS. Kaspersky Feed Utility ou CyberTrace télécharge, filtre et compile ensuite les mises à jour quotidiennes afin que votre moteur charge toujours l’ensemble de règles à jour.