Kaspersky Threat Infrastructure Tracking

Que comprend le service « Kaspersky Threat Infrastructure Tracking » ?

Liste d’adresses IP d’infrastructures de menaces – Adresses IP associées à des menaces avancées, mises à jour quotidiennement.
Contexte relatif aux acteurs et aux logiciels malveillants – Le groupe de menaces, l’opération ou le logiciel malveillant derrière chaque adresse.
Contexte complémentaire sur les adresses IP –  Fournisseur d’accès, système autonome, ainsi que les dates de première et dernière détection.
Filtres par pays et par date –  Affinez les résultats à un pays ou à une période d’observation spécifique.
Exportation lisible par machine – Transférez les listes d’adresses vers vos outils de sécurité existants via une API.
Important – Pas d’agent, de console ni de fonction de blocage ; ce service fournit uniquement des données.

Quels sont les principaux avantages de Kaspersky Threat Infrastructure Tracking ?

Kaspersky Threat Infrastructure Tracking est un service par abonnement de la gamme Kaspersky Threat Intelligence qui révèle les adresses IP des infrastructures utilisées dans le cadre d’attaques sophistiquées. Il n’y a ni agent ni console sur les appareils : les analystes travaillent dans le portail Kaspersky Threat Intelligence ou extraient ces mêmes données via son API RESTful.

Vue par pays – Filtrez les infrastructures de menaces actives pour ne retenir qu’un seul pays.
Attribution plus rapide – Associez une adresse observée à un groupe de menaces connu.
Mises à jour quotidiennes des recherches – Alimentées par les conclusions de l’équipe mondiale de recherche et d’analyse de Kaspersky.
Prêt pour l’automatisation – L’API RESTful et les flux d’exportation alimentent vos outils de détection existants.
Points d’ancrage – Les adresses d’hébergement associées facilitent la recherche d’infrastructures à plus grande échelle.
Aide à la réponse – Accélère la réponse aux incidents et le travail de recherche de menaces dans toutes les régions.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Pourquoi une seule couche de protection intégrée laisse des failles, et ce qu’apporte une configuration de sécurité multicouche en complément.

À quelle taille d’entreprise le service Kaspersky Threat Infrastructure Tracking est-il adapté ?

Le facteur déterminant n’est pas l’effectif, mais la capacité d’un membre de l’organisation à agir sur la base d’une liste d’adresses IP hostiles. Kaspersky positionne ce service à l’intention des CERT, des SOC nationaux et des agences de sécurité nationales, ce qui indique clairement le niveau d’analyse interne attendu.

Kaspersky Threat Infrastructure Tracking répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de déclaration suisse s’applique aux exploitants d’infrastructures critiques, et non à toutes les entreprises. Depuis le 1er avril 2025, la loi révisée sur la sécurité de l’information impose à ces exploitants de signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, avec un délai supplémentaire de 14 jours pour compléter le rapport. Threat Infrastructure Tracking facilite le travail qui précède le début de ce délai : il permet à un analyste de déterminer rapidement si une adresse détectée dans les journaux du pare-feu ou du proxy appartient à une infrastructure d’attaquants connue et à quel groupe de menaces elle a été associée, ce qui correspond exactement au type d’informations qu’un rapport doit contenir. Il ne détecte pas l’incident à votre place, ne rédige ni ne soumet le rapport, et ne couvre aucune des obligations organisationnelles liées à la gestion et à la remontée des incidents. La question de savoir si votre organisation est soumise à cette obligation relève du droit, et ce texte ne constitue pas un avis juridique.

La solution Kaspersky Threat Infrastructure Tracking répond-elle aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne rend une organisation conforme à la directive NIS 2, car celle-ci porte sur la responsabilité de la direction et les processus plutôt que sur les fonctionnalités logicielles. La directive NIS 2 exige des entités essentielles et importantes qu’elles mettent en place une analyse des risques et des politiques de sécurité de l’information, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, ainsi que des procédures permettant d’évaluer si les mesures mises en place fonctionnent réellement. Threat Infrastructure Tracking contribue à la gestion des incidents et à l’analyse des risques : il fournit un contexte externe sur l’infrastructure des attaquants que les journaux internes ne peuvent à eux seuls fournir, et le filtre par pays restreint ce contexte aux régions dans lesquelles une organisation opère. Il ne contribue en rien à la planification de la continuité des activités, à l’évaluation de la chaîne d’approvisionnement, au contrôle d’accès, à la formation du personnel ou aux obligations de gouvernance qui incombent à la direction. Considérez-le comme un élément parmi d’autres d’un processus de détection et de réponse qui doit exister indépendamment de lui.

Que faut-il savoir des évaluations officielles concernant Kaspersky ?

La Suisse n’a émis ni avertissement ni interdiction. L’Office fédéral de la cybersécurité (BACS) a déclaré qu’il n’émettait d’avertissement que lorsqu’il disposait d’indications techniques confirmées d’un risque, qu’aucun usage abusif des logiciels Kaspersky ne lui avait été signalé en Suisse et qu’aucune directive fédérale n’interdisait ces produits. Au sein de l’Union européenne, l’autorité fédérale allemande chargée de la sécurité de l’information met en garde contre l’utilisation des logiciels antivirus Kaspersky depuis le 15 mars 2022 ; cet avertissement est toujours en ligne et a été réactualisé en décembre 2025 sur la base d’une modification de la législation allemande. Il se limite explicitement à la gamme de logiciels antivirus, et l’autorité précise qu’elle n’a procédé à aucune évaluation des autres produits Kaspersky. Aux États-Unis, le ministère du Commerce a publié en juin 2024 une décision définitive interdisant à Kaspersky de fournir des produits antivirus et de cybersécurité à des personnes américaines, les nouvelles ventes prenant fin le 20 juillet 2024 et les mises à jour le 29 septembre 2024 ; cette décision ne s’applique expressément pas aux produits et services « Threat Intelligence » de Kaspersky qui sont purement informatifs ou éducatifs, catégorie dans laquelle s’inscrit ce service. Kaspersky rejette ces évaluations, a demandé à l’autorité allemande de retirer son avertissement et met en avant son initiative « Global Transparency Initiative », dans le cadre de laquelle les données relatives aux menaces provenant d’utilisateurs européens sont traitées dans des centres de données situés à Zurich et dont le code source peut être consulté dans un centre de transparence établi dans cette même ville. La reconnaissance indépendante de l’activité de renseignement se poursuit en parallèle : Frost & Sullivan a désigné Kaspersky comme « Leader » dans son rapport « Frost Radar for Cyber Threat Intelligence » pour 2024. Dans la pratique, cela revêt une importance particulière si vous répondez à des appels d’offres du secteur public, travaillez avec les autorités allemandes ou répondez à des questionnaires sur la chaîne d’approvisionnement portant sur des fournisseurs faisant l’objet d’avertissements de l’État ; pour une entreprise privée suisse ou de l’UE non soumise à ces exigences, il s’agit d’une décision en matière de risque, et non d’un obstacle juridique.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Comparaison des performances des deux fournisseurs lors de tests de protection indépendants.

Le service « Threat Infrastructure Tracking » de Kaspersky est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement dans une section. Les questionnaires demandent généralement si vous utilisez une source externe de renseignements sur les menaces, si vous êtes en mesure d’identifier les infrastructures malveillantes connues, et si ces renseignements parviennent effectivement à vos outils de détection. Cet abonnement vous permet de répondre à ces trois questions en indiquant une source nommée, une fréquence de mise à jour quotidienne et un parcours d’intégration API documenté, plutôt qu’une déclaration générale. Il n’apporte aucune réponse concernant la couverture de la protection des terminaux, les niveaux de correctifs, le chiffrement des appareils, les tests de sauvegarde et de restauration, le contrôle d’accès, la formation du personnel ou les dispositifs de réponse aux incidents, alors que c’est là que se concentre l’essentiel d’un questionnaire. Il ne fournit pas non plus de preuve d’audit : il n’existe aucun rapport indiquant qu’une alerte a été vue, triée et clôturée. Si ces lacunes sont importantes, comblez-les d’abord au sein de la même gamme de produits, car les niveaux EDR et XDR de Kaspersky Next couvrent la détection et le reporting au niveau des terminaux, tandis que Kaspersky Threat Intelligence Reporting couvre les questions relatives aux renseignements rédigés par des analystes, ce qui revient généralement moins cher que d’ajouter un deuxième fournisseur et une deuxième console.

Quelle est la différence entre Kaspersky Threat Infrastructure Tracking et Kaspersky Threat Data Feeds ?

La différence décisive réside dans la finalité des données. « Threat Infrastructure Tracking » répond à une question d’enquête, à savoir quelle infrastructure d’attaquants est active et qui se cache derrière, et cette analyse peut être ciblée sur un seul pays. Threat Data Feeds répond à une question de détection, en fournissant des indicateurs aux contrôles de sécurité afin qu’ils bloquent ou déclenchent automatiquement des alertes. Il s’agit de deux abonnements distincts au sein de la gamme Kaspersky Threat Intelligence, et l’achat de l’un n’inclut pas l’autre.

Quelles sont les limites à connaître avant l’achat ?

Il s'agit d'une source de données de renseignement, et non d'un contrôle de sécurité : il n'y a ni agent, ni console de politiques, ni capacité à bloquer quoi que ce soit de manière autonome. Son champ d’application se limite aux adresses IP des infrastructures malveillantes ; ainsi, les hachages de fichiers, les domaines et la réputation des URL sont gérés par d’autres services de la même famille, tels que Threat Lookup et Threat Data Feeds. Les acheteurs qui s’attendent à un abonnement couvrant tous les indicateurs finissent généralement par acheter deux fois. Kaspersky positionne ce service à l’intention des CERT, des SOC nationaux et des agences de sécurité nationales, ce qu’il convient de prendre au pied de la lettre : sans analyste capable d’agir sur la base d’une liste d’adresses IP, l’abonnement ne produit aucun effet mesurable. En ce qui concerne la disponibilité régionale, nous n’avons constaté aucune restriction pour les acheteurs suisses ou européens ; la seule particularité régionale concerne les États-Unis, où la décision du ministère du Commerce de juin 2024 couvre les produits antivirus et de cybersécurité de Kaspersky, mais exclut expressément les services de renseignements sur les menaces à vocation purement informative. L’accès s’effectue entièrement via le portail Kaspersky Threat Intelligence Portal ; les données sont donc transmises via Internet par navigateur ou API, et non par un composant que vous hébergez vous-même.

Foire aux questions sur le suivi de l’infrastructure de menaces de Kaspersky

Les adresses IP suivies peuvent-elles être intégrées automatiquement à des outils de sécurité existants ?

Oui. La liste peut être exportée dans un format lisible par machine ; la consultation, le filtrage par date et par pays, ainsi que l’exportation sont tous disponibles via l’API RESTful ainsi que via l’interface web. Une tâche planifiée peut donc transférer l’ensemble actuel vers un SIEM ou un pare-feu sans que quiconque ait à copier les adresses manuellement.

Le service inclut-il des rapports sur les APT ou la surveillance du dark web ?

Non. Les rapports rédigés par des analystes sur les menaces APT, le crimeware et les menaces ICS relèvent de Kaspersky Threat Intelligence Reporting, tandis que la surveillance des fuites de données et des discussions sur le marché noir concernant votre propre organisation relève de Kaspersky Digital Footprint Intelligence. Threat Infrastructure Tracking fournit uniquement l’ensemble de données relatives aux adresses IP de l’infrastructure.