Kaspersky Threat Data Feeds IP Reputation

Que comprend le flux de données sur les menaces « Réputation IP » de Kaspersky ?

Flux de données sur la réputation IP – Adresses IP d’hôtes malveillants et suspects.
Score de menace dynamique – Valeur comprise entre 50 et 100, enregistrements triés par score.
Catégories de menaces – Spam, C&C de botnets, hameçonnage, proxy, VPN, nœuds Tor.
Champs contextuels – Première détection, dernière détection, popularité, géolocalisation et Whois.
Hachages de fichiers associés – Jusqu’à dix hachages de fichiers malveillants par adresse.
Important – Aucune console, aucun agent et aucune fonction de blocage ne sont inclus.

Quels sont les principaux avantages du flux de données sur les menaces « Réputation IP » de Kaspersky ?

Kaspersky Threat Data Feeds IP Reputation est un abonnement à un flux d’indicateurs lisible par machine issu du portefeuille Kaspersky Threat Intelligence Data Feeds, documenté par le fournisseur sous le nom de « IP Reputation Data Feed ». Il ne comporte ni console ni agent, car les données sont extraites par votre propre SIEM, pare-feu de nouvelle génération ou plateforme de renseignements sur les menaces ; par ailleurs, les anciennes documentations et listes portent encore l’ancien nom du fournisseur, Kaspersky Lab.
Blocage prioritaire – Bloquer à partir de 75, examiner les scores compris entre 50 et 74.
Moins d’entrées obsolètes – Les adresses dont le score est inférieur à 50 sont supprimées du flux.
Triage plus rapide des alertes – Le contexte permet de savoir « qui » et « où » sans recherche supplémentaire.
Flexibilité du format – JSON pour les entreprises, avec conversion vers STIX, CSV et Snort.
Deux modes de transmission – HTTPS avec un certificat client, ou TAXII avec un jeton.
Visibilité des anonymiseurs – Catégories distinctes pour les nœuds Tor, les proxys et les hôtes VPN.

Contre quoi un VPN protège-t-il – et contre quoi ne protège-t-il pas ?
Démystifier les idées reçues les plus courantes explique ce que le trafic VPN et proxy masque et ce qu’il ne masque pas, ce qui vous aide à décider comment traiter les catégories d’anonymiseurs dans ce flux.

À quelle taille d’entreprise le flux de données sur les menaces « Réputation IP » de Kaspersky est-il adapté ?

La question déterminante n’est pas le nombre d’employés, mais le fait de savoir si vous disposez déjà d’un système capable d’intégrer des indicateurs. Sans SIEM, sans pare-feu de nouvelle génération prenant en charge les listes externes, ni sans plateforme de renseignements sur les menaces, le flux n’a nulle part où aller et ne fournit aucune information.

Le service « Kaspersky Threat Data Feeds IP Reputation » répond-il aux exigences de la législation suisse en matière de cybersécurité ?

La loi révisée sur la sécurité de l’information oblige les exploitants d’infrastructures critiques, notamment les services publics d’énergie et d’eau, les opérateurs de transport, les hôpitaux répertoriés, les centres de données ainsi que les administrations cantonales et communales, à signaler les cyberattaques à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant leur découverte. Le respect de ce délai dépend de la détection préalable de la cyberattaque, et c’est là qu’un flux d’indicateurs joue un rôle essentiel : une correspondance avec une adresse de commande et de contrôle de botnet dans les journaux du pare-feu ou du proxy vous fournit un horodatage, une catégorie et un score de menace que vous pouvez directement intégrer dans le rapport initial. Le flux ne détecte rien de lui-même, ne déclenche pas d’alerte, ne génère pas de rapport et ne suit pas le délai de 14 jours imparti pour effectuer une notification initiale ; tout cela doit donc provenir de votre SIEM, de votre politique de conservation des journaux et de votre procédure écrite de gestion des incidents. Il ne couvre par ailleurs qu’un seul type d’indicateur, ce qui signifie qu’une attaque provenant d’une pièce jointe de hameçonnage ou d’identifiants compromis n’y apparaîtra pas du tout. Ceci ne constitue pas un avis juridique, et vous devriez faire évaluer vos propres obligations de déclaration par un conseiller juridique qualifié.

Le service « Kaspersky Threat Data Feeds IP Reputation » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une organisation d’être conforme à la directive NIS 2, car celle-ci porte sur la gouvernance, la gestion des risques et les processus plutôt que sur les fonctionnalités logicielles. La directive NIS 2 impose des catégories de mesures comprenant l’analyse des risques, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la sécurité des réseaux et des systèmes d’information, ainsi que l’évaluation de l’efficacité des mesures prises. Ce flux contribue à deux d’entre elles : la sécurité des réseaux et des systèmes d’information, en alimentant les contrôles périmétriques avec des listes de blocage notées, et la gestion des incidents, en fournissant des données de catégorie et de contexte qui raccourcissent l’étape d’identification. Il ne contribue en rien à la continuité des activités, à la sauvegarde, au contrôle d’accès, à la cryptographie, à la formation du personnel ou à la gestion des risques liés aux fournisseurs, et il ne produit aucun élément de preuve qu’un auditeur pourrait examiner. Considérez-le comme un élément contribuant à une capacité de détection, et non comme une mesure à part entière.

Que faut-il savoir des évaluations officielles concernant Kaspersky ?

Deux mesures officielles sont pertinentes et restent toutes deux en vigueur. L’Office fédéral allemand de la sécurité de l’information (BSI) a émis une mise en garde contre l’utilisation des logiciels antivirus Kaspersky depuis le 15 mars 2022, et le BSI précise explicitement que cette mise en garde concerne la gamme de produits antivirus et qu’aucune déclaration n’a été faite au sujet des autres produits Kaspersky. Le ministère américain du Commerce a publié une décision définitive le 20 juin 2024 interdisant la conclusion de nouveaux contrats avec des personnes américaines à compter du 20 juillet 2024, ainsi que les mises à jour des signatures et du code source à compter du 29 septembre 2024 ; cette décision ne s’applique expressément pas aux produits et services de renseignements sur les menaces de Kaspersky, qui sont considérés comme purement informatifs. Kaspersky rejette l’avertissement du BSI, affirmant qu’il ne repose pas sur une analyse technique objective des risques liés à l’utilisation de ses logiciels. Dans la pratique, cela revêt une importance majeure pour les marchés publics, pour les acheteurs dont les clients appliquent des exigences en matière de chaîne d’approvisionnement, et pour toute entité dont la politique d’achat exclut les fournisseurs faisant l’objet d’un avertissement officiel, quel que soit le produit concerné ; cela a moins d’importance pour un centre de sécurité opérationnelle (SOC) du secteur privé qui intègre les données dans ses propres systèmes. Il est utile de préciser cette distinction de champ d’application, car un évaluateur de questionnaire qui ne connaît que le titre pourrait ignorer l’existence de cette exception.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Comparaison des performances de détection des deux fournisseurs, informations utiles si vous évaluez la qualité des produits au regard des questions d’approvisionnement soulevées ci-dessus.

Le service « Threat Data Feeds IP Reputation » de Kaspersky est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement pour un ensemble restreint de questions. Il permet de déterminer si vous êtes abonné à une source commerciale de renseignements sur les menaces, si vous enrichissez vos journaux de périmètre avec des indicateurs externes, si vous bloquez les infrastructures malveillantes connues à la périphérie du réseau, et si vous êtes en mesure de détecter les connexions provenant d’infrastructures d’anonymisation telles que les nœuds de sortie Tor et les proxys publics. Il ne répond pas aux questions concernant la protection des terminaux, la couverture EDR, la gestion des correctifs, le chiffrement des disques, l’authentification multifactorielle, les tests de sauvegarde et de restauration, les durées de conservation des journaux, la gestion des accès privilégiés, ni votre processus documenté de réponse aux incidents et d’escalade. Il ne génère pas non plus de rapport que vous pourriez joindre à titre de preuve ; par conséquent, toute réponse que vous donnez doit être étayée par les données issues de votre SIEM ou de votre pare-feu, plutôt que par celles du flux. Pour combler les lacunes au niveau des indicateurs, l’ajout de flux supplémentaires issus de la même famille Kaspersky, tels que les flux « Malicious URL », « Malicious Hash » ou « Botnet C&C », s’avère généralement moins coûteux et moins fastidieux que de faire appel à un deuxième fournisseur de renseignements utilisant un schéma différent. Attendez-vous à ce qu’au moins un questionnaire vous interroge sur le pays d’origine du fournisseur ; préparez donc cette réponse en même temps que les réponses techniques.

Quelle est la différence entre le flux de données de réputation IP de démonstration et le flux de données de réputation IP ?

La différence déterminante réside dans le taux de détection : le flux de démonstration contient un ensemble d’indicateurs délibérément réduit et est destiné à l’évaluation, et non au blocage en production. La version de démonstration porte l’identifiant de flux 87 et la version commerciale l’identifiant 68 ; Kaspersky CyberTrace utilise par défaut les flux de démonstration lorsqu’aucune clé de licence n’est installée. L'utilisation du flux commercial via CyberTrace nécessite une clé de licence CyberTrace, qui constitue un élément distinct à prévoir. Si votre SIEM peut ingérer directement des fichiers JSON ou STIX, vous pouvez utiliser le flux commercial sans passer par CyberTrace.

Quelles sont les limitations à connaître avant l'achat ?

Il s'agit de données, et non d'un logiciel : ce produit n'installe rien, ne protège rien par lui-même et n'apporte aucune valeur ajoutée tant qu'un système dont vous disposez déjà n'est pas configuré pour les exploiter et agir en conséquence. Le flux ne contient que des adresses IP ; les URL malveillantes, les pages de hameçonnage, les hachages de fichiers, les URL de commande et de contrôle des botnets et les logiciels vulnérables sont donc couverts par des flux distincts de la même famille et font souvent l’objet d’un achat complémentaire. Au niveau régional, l’interdiction américaine des produits Kaspersky exclut explicitement les produits et services de renseignements sur les menaces, et l’avertissement du BSI allemand concerne uniquement les logiciels antivirus sans mentionner les autres produits ; toutefois, les politiques d’achat de vos clients peuvent ne pas faire cette distinction, il est donc recommandé de vérifier avant de vous engager. Un aspect pratique de la planification qui surprend régulièrement les acheteurs : les pare-feu et les passerelles limitent le nombre d’entrées qu’une liste dynamique externe peut contenir ; il est donc généralement nécessaire, plutôt que facultatif, de filtrer le flux en fonction du score de menace avant de le transmettre à l’appareil. Enfin, l’utilisation du flux commercial via Kaspersky CyberTrace nécessite une clé de licence CyberTrace, car l’édition communautaire gratuite est limitée aux flux de démonstration.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Cet article explique pourquoi une seule couche de protection laisse des failles, ce qui justifie également le fait de considérer ce flux comme un complément à la protection des terminaux plutôt que comme un remplacement.

Foire aux questions sur les flux de données sur les menaces de Kaspersky : réputation IP

Quels systèmes peuvent utiliser ce flux ?

Kaspersky conçoit ce flux pour qu’il s’intègre aux systèmes SIEM, aux pare-feu de nouvelle génération, aux passerelles de messagerie et Web sécurisées, ainsi qu’aux outils d’analyse du trafic réseau, soit sous la forme d’une liste de blocage mise à jour dynamiquement, soit en tant que source d’enrichissement. La diffusion s’effectue par téléchargement HTTPS à l’aide d’un certificat client Kaspersky ; les flux les plus utilisés sont également disponibles via TAXII avec une authentification par jeton.

Faut-il disposer de Kaspersky CyberTrace pour utiliser ce flux ?

Non. Kaspersky précise que ses flux de données sur les menaces peuvent également être gérés par un SIEM à l’aide des fonctionnalités intégrées de ce dernier, sans avoir recours à CyberTrace. CyberTrace est utile lorsque vous souhaitez que la mise en correspondance et le triage aient lieu avant que les événements n'atteignent le SIEM, mais son utilisation avec des flux commerciaux nécessite une clé de licence plutôt que l'édition Community gratuite.

D’où proviennent les données du flux ?

Kaspersky agrège les flux provenant du Kaspersky Security Network, de ses propres robots d’indexation, de la surveillance 24 h/24 des botnets, de pièges à spam, de ses équipes de recherche internes et de ses partenaires. Les données agrégées sont ensuite filtrées selon des critères statistiques, via des sandbox et des moteurs heuristiques, puis validées par des analystes et soumises à des contrôles de liste blanche avant d’être publiées.