Kaspersky Threat Intelligence Bundle

Que comprend le pack « Kaspersky Threat Intelligence » ?

Flux de données sur les menaces – Flux d’indicateurs de compromission (IoC) lisibles par machine pour les solutions SIEM, les pare-feu et les proxys.
Recherche de menaces – Recherches sur le Web et via des API pour les hachages, les URL et les domaines.
Rapports de renseignements sur les menaces – Rapports sur les APT, le crimeware et les systèmes ICS (ICS), mis en correspondance avec le modèle MITRE ATT&CK.
Analyse des menaces – Sandbox de recherche, moteur d’attribution et recherche de similitudes pour les échantillons.
Renseignements sur l’empreinte numérique – Surveillance du dark web à la recherche d’identifiants divulgués et de services exposés.
Important – Pas d’agent sur les terminaux, pas de composant de protection, pas de console de gestion.

Quels sont les principaux avantages du Kaspersky Threat Intelligence Bundle ?

Le Kaspersky Threat Intelligence Bundle est un abonnement aux services de renseignements sur les menaces de Kaspersky, fournis via le portail Web Kaspersky Threat Intelligence Portal et une API RESTful, plutôt que par le biais d’un logiciel installé sur vos appareils. Certains composants, notamment CyberTrace, le bac à sable de recherche et le moteur d’attribution, peuvent toutefois être déployés sur votre propre infrastructure.

Triage plus rapide des alertes – Le contexte fourni par les flux permet aux analystes d’écarter les alertes sans fondement sans escalade.
Renforcement des outils existants – Les flux s’intègrent à ArcSight, QRadar, Sentinel et Splunk.
Attribution en quelques minutes – Relie un échantillon à des acteurs et des campagnes APT connus.
Détection des fuites – Identifie les identifiants volés des employés avant que les attaquants ne les utilisent.
Suppression des domaines de hameçonnage – Kaspersky gère la demande de suppression de bout en bout.
Accès aux recherches privées – Plus de 200 rapports non publics par an, ainsi qu’un accès rétrospectif.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique pourquoi la protection intégrée laisse des failles que des couches de sécurité supplémentaires doivent combler.

À quelle taille d’entreprise le Kaspersky Threat Intelligence Bundle est-il adapté ?

Le facteur déterminant n’est pas l’effectif, mais la présence au sein de l’organisation d’une personne capable de lire les informations de renseignement et d’agir en conséquence. Les flux et les rapports génèrent du travail plutôt qu’ils n’en suppriment : sans SIEM pour recevoir les indicateurs et sans analyste pour les évaluer, l’abonnement génère des alertes que personne ne traite.

Le Kaspersky Threat Intelligence Bundle répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration prévue par la loi révisée sur la sécurité de l’information s’applique aux exploitants d’infrastructures critiques en Suisse, et non à toutes les entreprises. Les organisations concernées doivent signaler toute cyberattaque significative à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte. Cet abonnement apporte une aide précieuse pour la rédaction de ce rapport : Threat Lookup, le bac à sable de recherche et le moteur d’attribution permettent à un analyste de classer un échantillon, d’identifier la famille de logiciels malveillants et de recouper le comportement observé avec le modèle MITRE ATT&CK, le tout dans des délais très courts. En revanche, il ne détecte pas l’incident en premier lieu, car il ne dispose d’aucun agent et ne reçoit aucune donnée télémétrique de vos systèmes ; il ne stocke pas non plus les journaux, n’enregistre pas la notification et ne détermine pas si vous relevez de son champ d’application. La détection, la conservation des journaux et le processus de signalement lui-même doivent relever de votre solution de protection des terminaux, de votre SIEM et de vos propres procédures documentées. Il s’agit d’informations générales sur le produit et non de conseils juridiques ; pour savoir si votre organisation est soumise à l’obligation de signalement, il convient de consulter un conseiller qualifié.

Le Kaspersky Threat Intelligence Bundle répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une entreprise d’être conforme à la directive NIS 2, car celle-ci porte sur la responsabilité de la direction, les processus et les preuves plutôt que sur les fonctionnalités logicielles. La directive NIS 2 exige des catégories de mesures comprenant l’analyse des risques, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la gestion et la divulgation des vulnérabilités, ainsi que des procédures permettant d’évaluer si ces mesures sont réellement efficaces. Cet abonnement facilite la gestion des incidents en fournissant le contexte et les indicateurs nécessaires au triage, renforce la sécurité de la chaîne d’approvisionnement grâce à la surveillance du dark web pour détecter les identifiants divulgués et l’usurpation de marque, et facilite la gestion des vulnérabilités grâce aux filières de signalement et aux données sur les vulnérabilités contenues dans les flux. Il ne contribue en rien à la continuité d’activité, à la cryptographie, au contrôle d’accès, à l’authentification multifactorielle ou à la formation du personnel, et il ne génère aucune preuve concernant l’état de vos propres contrôles. Ces catégories nécessitent des produits distincts et des processus internes documentés.

Que faut-il savoir concernant les évaluations officielles de Kaspersky ?

L’Office fédéral allemand pour la sécurité de l’information (BSI) a émis en mars 2022 un avertissement officiel contre l’utilisation des produits Kaspersky en vertu de l’article 7 de la loi sur le BSI, arguant qu’un fabricant dont le siège social se trouve en Russie pourrait être contraint d’agir à l’encontre des utilisateurs. Cet avertissement est toujours en vigueur, et Kaspersky a engagé une action en justice pour le contester. Le 20 juin 2024, le Bureau de l’industrie et de la sécurité du ministère américain du Commerce a rendu une décision définitive interdisant à Kaspersky de vendre ses produits à des personnes américaines à compter du 20 juillet 2024, ainsi que de fournir des mises à jour ou d’exploiter le Kaspersky Security Network sur le territoire américain à compter du 29 septembre 2024 ; trois entités du groupe ont été ajoutées à la liste des entités (Entity List). Kaspersky rejette ce raisonnement, affirme que la décision repose sur le contexte géopolitique plutôt que sur une évaluation de ses produits, a proposé une vérification indépendante par un tiers de son code et de ses mises à jour, et a déclaré que la décision américaine n’affecte pas sa capacité à vendre des services de renseignements sur les menaces et des formations aux États-Unis. En Suisse, la position est différente : la BACS n’a émis aucun avertissement ni aucune directive interne concernant Kaspersky, a indiqué qu’aucun abus ne lui avait été signalé et a précisé que son évaluation technique n’avait pas été modifiée par l’interdiction américaine. La reconnaissance indépendante du portefeuille de renseignements sur les menaces n’est pas affectée par ces mesures : Kaspersky est en effet désigné comme leader dans le « Frost Radar for Cyber Threat Intelligence 2024 » et figure dans la « SPARK Matrix for Digital Threat Intelligence Management ». Dans la pratique, cela a surtout une incidence sur les appels d’offres du secteur public, sur les fournisseurs d’organisations liées aux États-Unis et sur les filiales dont la maison mère allemande suit les recommandations du BSI ; pour une entreprise suisse privée n’ayant pas ce type d’engagement contractuel, cela n’aura peut-être aucune incidence sur la décision.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Comparaison des performances de détection des deux éditeurs à la lumière de résultats de tests indépendants.

Le « Kaspersky Threat Intelligence Bundle » est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et dans une mesure plus limitée que ne s’y attendent la plupart des acheteurs. Il répond aux questions concernant les sources externes de renseignements sur les menaces auxquelles vous êtes abonné, si vous surveillez le dark web à la recherche d’identifiants d’employés et de clients ayant fait l’objet de fuites, si vous assurez le suivi de vos propres services exposés à l’extérieur, si les échantillons de logiciels malveillants sont analysés dans un bac à sable avant qu’un verdict ne soit rendu, et si le comportement des attaquants est classé selon le modèle MITRE ATT&CK. Il n’apporte aucune réponse concernant la protection des terminaux, les niveaux de correctifs, le chiffrement des disques, l’authentification multifactorielle, les accès privilégiés, les tests de sauvegarde et de restauration, les durées de conservation des journaux ou les formations à la sensibilisation à la sécurité, et il ne fournit aucune preuve d’audit concernant votre propre environnement. Il existe également une question de plus en plus courante dans les questionnaires à laquelle ce produit soulève des interrogations plutôt que d’apporter des réponses : certains clients demandent spécifiquement si des logiciels ou des services d’origine russe sont utilisés, et un abonnement à un service de renseignements sur les menaces entre dans le champ d’application de cette question. Pour combler les lacunes de contrôle au sein d’une même famille de produits, un produit de protection des terminaux et XDR de la gamme Kaspersky constitue généralement la solution la plus économique par rapport à l’ajout d’un deuxième fournisseur ; lorsque l’origine du fournisseur constitue en soi une contrainte dans vos questionnaires, il faut reconnaître honnêtement que la valeur de cet abonnement est interne à votre équipe de sécurité plutôt que d’être un élément que vous pouvez présenter à l’extérieur.

Quelles sont les restrictions à connaître avant d’acheter ?

La restriction régionale la plus évidente concerne les États-Unis, où l’interdiction du ministère du Commerce s’applique aux produits et services Kaspersky, bien que Kaspersky affirme que ses offres de renseignements sur les menaces n’en sont pas affectées ; les organisations disposant d’entités aux États-Unis devraient clarifier ce point avant l’achat plutôt que de se baser sur l’une ou l’autre interprétation. Kaspersky Threat Intelligence est un portefeuille de services pouvant faire l’objet de licences individuelles, et les offres groupées au détail varient selon les services qu’elles contiennent ; il convient donc de vérifier la liste exacte des composants de l’offre que vous achetez plutôt que de supposer qu’elle inclut l’intégralité du portefeuille. Les rapports analytiques de Digital Footprint Intelligence constituent un module complémentaire et ne font pas partie du service de base. Le déploiement sur site et en mode « air-gapped » est disponible pour CyberTrace, le bac à sable de recherche et le moteur d’attribution, mais pas pour les services fournis via le portail. La limitation qui entraîne le plus souvent un achat complémentaire est l’absence de toute couche de protection : cet abonnement enrichit les décisions mais ne bloque rien ; il suppose donc que vous disposez déjà d’une protection des terminaux et d’un SIEM.

Foire aux questions sur le Kaspersky Threat Intelligence Bundle

A-t-on besoin d’un SIEM pour utiliser les flux de données sur les menaces ?

Pour les flux, oui, en effet, car il s’agit de flux d’indicateurs lisibles par machine destinés à être comparés à vos journaux. CyberTrace se situe entre les flux et le SIEM : il analyse les journaux entrants, les compare aux indicateurs et ne transmet que les événements de détection, ce qui réduit la charge sur le SIEM. Les services du portail, tels que « Threat Lookup » et les rapports, peuvent être utilisés manuellement via un navigateur sans aucune intégration.

Les composants d’analyse peuvent-ils fonctionner sans envoyer de fichiers à Kaspersky ?

Oui, pour les composants conçus à cet effet. Le bac à sable de recherche peut être déployé sur site afin que les échantillons ne soient pas exposés à l’extérieur de l’organisation, et le moteur d’attribution prend en charge le déploiement dans des environnements isolés physiquement, ce qui vous permet également d’ajouter vos propres acteurs et échantillons et d’exporter des règles YARA.

Un prestataire de services peut-il utiliser cette solution pour plusieurs clients ?

CyberTrace et Digital Footprint Intelligence prennent tous deux en charge la multi-location, une fonctionnalité destinée aux prestataires de services de sécurité gérés et aux grandes organisations disposant de plusieurs succursales. Chaque locataire est géré séparément ; ainsi, un seul abonnement peut desservir plusieurs environnements clients sans mélanger leurs données.