Kaspersky Threat Data Feeds Whitelisting

Que comprend la fonctionnalité « Liste blanche » des flux de données sur les menaces de Kaspersky ?

Flux de données de liste blanche – Base de connaissances systématique et mise à jour en continu sur les logiciels légitimes.
Formats lisibles par machine – Fournis sous forme de fichiers JSON, CSV, OpenIoC ou STIX.
Diffusion via HTTPS et TAXII – Extraction par vos propres systèmes selon un calendrier défini.
Prise en charge des plateformes SIEM et TIP – QRadar, ArcSight, Splunk, MISP et autres plateformes prises en charge.
Données sources validées – Agrégées à partir du Kaspersky Security Network et des équipes de recherche.
Important – Aucune console, aucun agent et aucune fonction de blocage n’est inclus.

Quels sont les principaux avantages de la liste blanche Kaspersky Threat Data Feeds ?

La liste blanche des flux de données sur les menaces de Kaspersky est un abonnement à un flux de la gamme Kaspersky Threat Intelligence ; elle fournit des données sur les logiciels légitimes connus plutôt que sur les logiciels eux-mêmes. Il n’y a pas de console de gestion : le flux est téléchargé par votre propre SIEM, votre plateforme de renseignements sur les menaces ou Kaspersky CyberTrace, et c’est là que s’effectue la mise en correspondance.

Moins de faux positifs – Les objets reconnus comme sûrs sont filtrés avant d’être examinés par les analystes.
Triage plus rapide des alertes – Les analystes n’ont plus à réanalyser les fichiers dont la non-malveillance a déjà été prouvée.
Charge de travail réduite pour le SIEM –  Moins d’événements atteignent la couche de corrélation et de stockage.
Diffusion sous forme de texte uniquement –  Aucun code exécutable ne s’exécute au sein de votre infrastructure.
Intégration indépendante du fournisseur – Utilisable sans qu’aucun produit Kaspersky pour terminaux ne soit installé.
Prise en charge du contrôle des applications – Les flux facilitent les décisions de mise sur liste blanche dans les solutions et services tiers.

À quelle taille d’entreprise la fonctionnalité de liste blanche de Kaspersky Threat Data Feeds est-elle adaptée ?

Il s’agit d’un produit destiné aux opérations de sécurité, et non d’un produit destiné aux petites entreprises. Il n’est rentable que si un membre de votre organisation exploite déjà un système capable de collecter des données d’indicateurs et de les recouper avec des événements. Une entreprise ne disposant pas d’un SIEM ou d’une plateforme de renseignements sur les menaces n’a aucun système dans lequel intégrer ces données.

Le service « Kaspersky Threat Data Feeds Whitelisting » répond-il aux exigences de la législation suisse en matière de cybersécurité ?

Aucun produit de sécurité ne répond à lui seul aux exigences de la loi révisée sur la sécurité de l’information (LSI). Depuis le 1er avril 2025, les exploitants d’infrastructures critiques en Suisse doivent signaler les cyberattaques éligibles à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant leur découverte, et disposent de 14 jours supplémentaires pour compléter un premier rapport qui était nécessairement incomplet. Le délai de 24 heures relève davantage d’un problème de triage que d’un problème de signalement, et c’est là que le flux apporte sa contribution : en retirant de la file d’attente des alertes les fichiers dont la légitimité a déjà été prouvée, il réduit le temps dont les analystes ont besoin pour déterminer si un événement constitue un incident à signaler. Ce que le flux ne fait pas, c'est détecter l'attaque, générer le rapport, consigner qui a découvert quoi et à quel moment, ni conserver les preuves pour la soumission ultérieure — ces éléments proviennent de votre plateforme de surveillance, de votre protection des terminaux et de votre processus documenté de gestion des incidents. Ce texte constitue une information générale sur le produit et ne constitue pas un avis juridique ; il convient de vérifier auprès d’un conseiller juridique qualifié si votre organisation est soumise à l’obligation de signalement.

Le service « Kaspersky Threat Data Feeds Whitelisting » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit la conformité à la directive NIS 2, et tout fournisseur affirmant le contraire exprime une position marketing plutôt que de se référer à la directive elle-même. La directive NIS 2 impose aux entités essentielles et importantes de mettre en œuvre des mesures de gestion des risques couvrant la gestion des incidents, la sécurité des réseaux et des systèmes d’information, la sécurité de la chaîne d’approvisionnement, la continuité des activités et le signalement des incidents significatifs. Ce flux ne concerne qu’un aspect très restreint de ces exigences : il améliore le rapport signal/bruit dans la surveillance de la sécurité, de sorte que les événements méritant d’être signalés soient plus faciles à distinguer de l’activité courante. Il ne contribue en rien aux processus de gestion des incidents, au contrôle d’accès, au chiffrement, à la planification de la continuité des activités, à la formation du personnel ou à l’évaluation des risques liés aux fournisseurs, et il ne génère pas en soi de piste d’audit. Considérez-le comme un élément qui améliore une capacité de détection que vous exploitez déjà, et non comme une mesure que vous pouvez présenter de manière isolée.

Que faut-il savoir des évaluations officielles de Kaspersky ?

En Suisse, l’Office fédéral de la cybersécurité (BACS) ne formule aucune recommandation en faveur ou contre des produits spécifiques et n’a publié aucun avertissement concernant Kaspersky ; il a déclaré qu’il informerait le public s’il recevait des preuves confirmées d’une utilisation abusive. En Allemagne, l’Office fédéral de la sécurité de l’information (BSI) a émis un avertissement contre l’utilisation du logiciel antivirus Kaspersky depuis le 15 mars 2022. Cet avertissement est toujours en vigueur en 2026, il concerne spécifiquement les logiciels antivirus plutôt que l’ensemble de la gamme de produits de Kaspersky, et Kaspersky l’a publiquement contesté, mettant en avant le stockage de ses données en Suisse, ses centres de transparence et l’absence de tout incident confirmé, tout en annonçant des poursuites judiciaires début 2026 si l’avertissement n’est pas retiré. Aux États-Unis, le ministère du Commerce a publié, le 20 juin 2024, une décision définitive interdisant à Kaspersky de fournir des logiciels antivirus et des produits de cybersécurité à des personnes américaines, la revente, l’intégration et l’octroi de licences étant interdits à compter du 29 septembre 2024. Un détail de cette décision revêt une importance particulière dans le présent contexte : elle ne s’applique explicitement pas aux produits et services « Kaspersky Threat Intelligence » de nature purement informative, catégorie à laquelle appartient ce flux d’informations. Dans la pratique, cela concerne trois groupes d’acheteurs : les organisations disposant d’entités américaines ou ayant des obligations contractuelles envers des personnes américaines, les organismes du secteur public allemand et les organisations qui suivent les recommandations du BSI, ainsi que tout fournisseur dont les grands clients tiennent compte du pays d’origine du fournisseur lors de leurs achats. Les tests de détection indépendants réalisés par les laboratoires antivirus portent sur les moteurs de protection des terminaux de Kaspersky et ne mentionnent en rien un flux de données textuelles ; ils ne constituent donc pas un indicateur utile pour ce produit, dans un sens comme dans l’autre. C’est à vous qu’il revient de prendre une décision en fonction de vos propres exigences contractuelles et sectorielles.

Norton vs Kaspersky – Quel programme antivirus offre la meilleure protection en 2025 ?
Une comparaison détaillée des performances de détection et des fonctionnalités des deux éditeurs.

La liste blanche des flux de données sur les menaces de Kaspersky est-elle utile pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement dans une section d’un questionnaire type. Elle vous apporte une réponse concrète aux questions demandant si vous utilisez des sources externes de renseignements sur les menaces, si votre surveillance s’appuie sur des données de réputation provenant d’une source extérieure à votre propre environnement, et si vous prenez des mesures actives pour réduire la fatigue liée aux alertes lors du triage. Elle ne répond à rien d’autre. Les questions relatives à la couverture de la protection des terminaux, à l’état des correctifs, au chiffrement des appareils mobiles, aux tests de sauvegarde et de restauration, à l’authentification multifactorielle, aux révisions des accès, aux durées de conservation des journaux, aux délais de réponse aux incidents et à la sensibilisation du personnel ne sont pas abordées, tout comme les questions vous demandant de fournir des preuves ou des rapports, car ce produit n’en génère aucun. Il existe également un type de question où le flux d’informations peut jouer en votre défaveur : certains questionnaires vous demandent de déclarer le pays d’origine de vos fournisseurs de sécurité, et un fournisseur dont le siège social est situé en Russie nécessitera une explication, quel que soit le mode de fourniture du produit. Si ces lacunes correspondent effectivement à ce que vous devez combler, un abonnement plus complet à Kaspersky Threat Intelligence, couvrant les flux d’indicateurs malveillants et les rapports, coûtera généralement moins cher et posera moins de problèmes d’intégration que de constituer une couverture équivalente auprès de plusieurs fournisseurs.

Quelle est la différence entre le flux de données de liste blanche et les flux d’indicateurs de menaces ?

La différence fondamentale réside dans l’orientation : le flux de données de liste blanche indique à vos systèmes ce qui est reconnu comme sûr, tandis que les flux d’indicateurs malveillants leur indiquent ce qui est reconnu comme dangereux. Cela signifie que le flux de liste blanche ne peut rien détecter de lui-même — il ne peut que supprimer le bruit généré par une autre source. Les acheteurs qui l’acquièrent en espérant une couverture de détection ont choisi le mauvais flux. Les deux sont fournis dans les mêmes formats lisibles par machine et nécessitent tous deux un moteur de correspondance de votre côté ; le travail d’intégration est donc identique dans les deux cas.

Quelles sont les limitations à connaître avant l’achat ?

L'achat complémentaire le plus courant concerne la couche de mise en correspondance elle-même : le flux est constitué de données textuelles, et un outil doit les comparer à votre flux d'événements, ce qui, dans la pratique, implique un SIEM existant, une plateforme de renseignements sur les menaces ou Kaspersky CyberTrace en tant que composant distinct. Le deuxième point concerne la portée : ce flux réduit le bruit mais n’ajoute aucune détection ; ainsi, un centre d’opérations de sécurité qui l’achète isolément aura toujours besoin des flux d’indicateurs de menaces pour bénéficier d’une couverture complète. En ce qui concerne la disponibilité régionale, la décision finale des États-Unis à l’encontre de Kaspersky exclut expressément les produits de renseignements sur les menaces à vocation purement informative ; toutefois, une entité américaine de votre groupe doit tout de même confirmer sa propre position avant le déploiement, et les organisations suivant les recommandations du BSI allemand auront besoin d’une justification interne, même si cet avertissement concerne les logiciels antivirus plutôt que les flux de données. Enfin, la présentation publique actuelle des flux de Kaspersky met en avant un sous-ensemble différent de ses plus de 25 flux et ne mentionne pas le flux de liste blanche par son nom ; veillez donc à confirmer la composition exacte du pack actuel auprès de votre distributeur avant de planifier une intégration autour de celui-ci.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit
pas à lui seul. Cet article explique où la protection intégrée présente des lacunes et quelles couches de protection une entreprise doit encore ajouter elle-même.

Foire aux questions sur la liste blanche des flux de données sur les menaces de Kaspersky

Ce flux remplace-t-il un logiciel de contrôle des applications ou de liste blanche ?

Non. Un logiciel de contrôle des applications applique une politique sur un terminal et bloque ce qui n’est pas autorisé. Ce flux fournit des données de référence sur les logiciels légitimes qu’un tel système, ou un service tiers, peut consulter pour prendre cette décision. Le composant d’application reste un élément que vous achetez et exploitez séparément.

Que se passe-t-il si un fichier légitime ne figure pas dans le flux ?

Rien n’est bloqué, car le flux ne bloque rien. Un fichier non répertorié ne reçoit tout simplement pas de confirmation de légitimité ; il reste donc dans la file d’attente et est traité par votre processus d’analyse habituel. Les applications internes, les scripts personnalisés et les binaires fraîchement compilés entrent systématiquement dans cette catégorie, ce dont il convient de tenir compte lorsque vous estimez le volume de tri que le flux permettra réellement d’éliminer.