Que contiennent les flux de données sur les menaces de Kaspersky (hachages de fichiers malveillants) ?

Hachages de fichiers malveillants – MD5 par enregistrement, avec SHA-1 et SHA-256 en option.
Contexte de la menace – Nom de la menace selon Kaspersky, type de fichier, taille du fichier, noms de fichiers courants.
Chronologie et propagation – Date de première détection, date de dernière détection et indice de popularité à cinq niveaux.
Cartographie des attaques – Paires de tactiques et de techniques MITRE ATT&CK par objet.
Données de distribution –  Les dix principales adresses IP d’hébergement et URL de téléchargement.
Important – Pas de console, pas d’agent et pas de blocage en soi.

Quels sont les principaux avantages de Kaspersky Threat Data Feeds Malicious Hashes ?

Les « Kaspersky Threat Data Feeds Malicious Hashes » constituent un abonnement à des renseignements sur les menaces, et non un produit de protection : ils fournissent un ensemble continuellement mis à jour de hachages de fichiers malveillants, accompagnés d’informations contextuelles, que votre propre SIEM, pare-feu ou passerelle peut exploiter. Kaspersky commercialise également ce même catalogue sous le nom de « Kaspersky Threat Intelligence Data Feeds », et le flux lui-même est référencé sous le nom de « Malicious Hash Data Feed » ; ces deux noms désignent donc ce même ensemble de données.

Triage plus rapide des alertes –  Les analystes voient le nom de la menace au lieu d’un hachage inconnu.
Moins de faux positifs – Les indicateurs sont filtrés par rapport à une vaste base de données de fichiers légitimes.
Mises à jour en temps quasi réel – Les nouveaux enregistrements arrivent sans avoir à attendre la publication OSINT.
Réutilisation des outils existants – Aucune nouvelle plateforme n’est nécessaire, le flux s’intègre à votre infrastructure actuelle.
Moteur de correspondance gratuit – Kaspersky CyberTrace Community Edition effectue la mise en correspondance des flux sans frais.
Recherche rétrospective – Les anciens hachages de fichiers peuvent être revérifiés par rapport aux enregistrements les plus récents du flux.

À quelle taille d’entreprise les flux de données sur les menaces de Kaspersky (hachages malveillants) sont-ils adaptés ?

Ce flux n’apporte de la valeur ajoutée que si un élément de votre infrastructure collecte déjà des hachages de fichiers à partir des journaux ou du trafic réseau et est capable de les comparer. Sans SIEM, sans pare-feu de nouvelle génération ni passerelle de messagerie et Web capable d’ingérer des listes d’indicateurs, il n’y a aucun système dans lequel intégrer ces données.

Les flux de données sur les menaces de Kaspersky (hachages malveillants) répondent-ils aux exigences de la législation suisse en matière de cybersécurité ?

En Suisse, l’obligation de signalement prévue par la loi révisée sur la sécurité de l’information s’applique aux opérateurs d’infrastructures critiques, et non à l’ensemble des entreprises ; la plupart des PME ne sont donc pas directement concernées. Les opérateurs concernés doivent signaler toute cyberattaque significative à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte. Dans ce délai, le flux apporte une aide concrète : un hachage de fichier extrait de vos journaux peut être associé à un nom de menace Kaspersky, à une date de première détection et à des tactiques MITRE ATT&CK, ce qui correspond exactement aux informations nécessaires pour un premier rapport, au lieu de la mention « fichier binaire inconnu ». Ce que le flux ne fait pas, c’est détecter le fichier, générer le journal d’origine, tenir un registre des incidents ou transmettre quoi que ce soit au BACS ; ces tâches relèvent de votre solution de protection des terminaux, de votre gestion des journaux et de vos propres processus. Il ne couvre pas non plus les objets mobiles ou les systèmes ICS (systèmes de contrôle-commande industriels) ; un opérateur disposant de ces environnements reste donc confronté à une lacune. Ce texte ne constitue pas un avis juridique ; il convient de vérifier auprès d’un conseiller qualifié si votre organisation est soumise à l’obligation de signalement.

Le service « Kaspersky Threat Data Feeds Malicious Hashes » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit à lui seul la conformité à la directive NIS 2, car celle-ci porte sur la gestion des risques au sein de l’organisation plutôt que sur une liste d’outils à acquérir. La directive NIS 2 exige des catégories de mesures comprenant l’analyse des risques et les politiques de sécurité, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la sécurité lors de l’acquisition et du développement, la cryptographie et le contrôle d’accès, les pratiques élémentaires de cybersécurité et la formation du personnel. Ce flux contribue à l’une d’entre elles, la gestion des incidents, en raccourcissant le délai entre un hachage de fichier suspect et une menace identifiée, datée et classifiée. Il ne contribue pas à la planification de la continuité, à la cryptographie, au contrôle d’accès, à la formation ou à la documentation des politiques, et ne produit pas en soi de preuves d’audit puisqu’il s’agit d’un ensemble de données plutôt que d’un système de reporting. La sécurité de la chaîne d’approvisionnement n’est ici que partiellement couverte, car les indicateurs relatifs à la chaîne d’approvisionnement logicielle se trouvent dans le flux de données distinct « Menaces liées aux logiciels open source ».

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux mesures officielles sont en vigueur. L’Office fédéral allemand de la sécurité de l’information (BSI) a émis un avertissement à l’encontre des logiciels antivirus Kaspersky le 15 mars 2022 ; celui-ci reste en vigueur et est désormais régi par l’article 13 de la loi allemande sur le BSI, suite à l’amendement entré en vigueur le 6 décembre 2025. Aux États-Unis, le Bureau de l’industrie et de la sécurité (BIS) a interdit les nouvelles ventes de produits Kaspersky à compter du 20 juillet 2024 et la fourniture de mises à jour à compter du 29 septembre 2024, et a ajouté les entités de Kaspersky à la liste des entités (Entity List). Kaspersky affirme que ces décisions reposent sur le pays d’origine de l’entreprise plutôt que sur des conclusions techniques publiées concernant ses produits, et a publiquement fait pression pour que l’avertissement allemand soit retiré. La Suisse n’a pris aucune mesure équivalente : l’OFAC n’a émis ni avertissement ni interdiction, et les produits sont vendus et mis à jour normalement en Suisse, dans l’Union européenne et au Royaume-Uni. Dans la pratique, cela revêt une importance particulière si vous participez à des marchés publics allemands ou européens, si vous exercez des activités aux États-Unis, ou si le questionnaire fournisseur d’un gros client pose des questions sur les fournisseurs d’origine russe. Pour une entreprise privée suisse n’ayant aucune exposition au secteur public, aucune restriction ne s’applique.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Une comparaison détaillée des performances des deux éditeurs en matière de détection et de fonctionnalités.

Les flux de données sur les menaces de Kaspersky (Malicious Hashes) sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement pour un ensemble restreint de points. Il permet de répondre aux questions visant à savoir si vous êtes abonné à un service commercial de renseignements sur les menaces, si les indicateurs de compromission sont recoupés avec vos données de journaux, sous quels formats ces renseignements sont exploités, et à quelle vitesse les nouveaux indicateurs parviennent à vos contrôles. Il n’apporte aucune réponse concernant la protection des terminaux, la gestion des correctifs, le chiffrement, l’authentification multifactorielle, la sauvegarde et la restauration, les durées de conservation des journaux, le contrôle d’accès ou les formations de sensibilisation, et il ne génère aucun certificat ou attestation que vous pourriez joindre. Il ne fournit pas non plus de preuve de couverture pour les appareils mobiles ou les systèmes industriels. Si un questionnaire met en évidence des lacunes allant au-delà de la comparaison de hachages, la solution la plus économique consiste généralement à élargir la couverture au sein de la même gamme de produits, par exemple en ajoutant des flux de réputation IP, d’URL ou de vulnérabilités, ou en optant pour un abonnement Kaspersky Threat Intelligence plus complet, plutôt que de mélanger les fournisseurs de flux et de devoir ensuite harmoniser différents formats de contexte.

Quelle est la différence entre le flux de données de hachages malveillants et le flux de données de hachages malveillants pour mobiles ?

La différence déterminante réside dans le champ d’application des objets, et les flux ne se recoupent pas : l’achat de hachages malveillants seuls laisse les systèmes mobiles et industriels non couverts. Le flux de données de hachages malveillants cible les logiciels malveillants courants et émergents présents dans les fichiers des ordinateurs de bureau et des serveurs ; le flux de données de hachages malveillants pour mobiles couvre les objets infectant les appareils Android et iPhone ; et le flux de données de hachages ICS couvre les fichiers utilisés contre les systèmes de contrôle industriels et les systèmes informatiques qui y sont intégrés. Ces trois flux partagent la même structure d’enregistrement ; il n’est donc pas nécessaire de procéder à un analyse syntaxique distincte si vous en ajoutez un ultérieurement. Kaspersky publie également des versions de démonstration de ces flux, qui présentent un taux de détection inférieur à celui des versions commerciales et sont destinées à l’évaluation plutôt qu’à une utilisation en production.

Quelles sont les limites à connaître avant d’acheter ?

La principale limitation réside dans le fait qu’il s’agit de données et non d’une solution de défense : ce produit ne détecte rien, ne bloque rien et ne dispose d’aucune console ; il est donc inutile sans un SIEM, un pare-feu de nouvelle génération ou une passerelle capable d’intégrer des listes d’indicateurs. La disponibilité régionale est restreinte sur un marché, les États-Unis, où l’interdiction du Bureau of Industry and Security s’applique aux nouvelles ventes et aux mises à jour ; les ventes et les mises à jour en Suisse, dans l’Union européenne et au Royaume-Uni ne sont pas concernées. Si vous effectuez la mise en correspondance des flux avec Kaspersky CyberTrace plutôt qu’au sein de votre SIEM, l’édition Community gratuite est plafonnée à 250 événements par seconde et à un million d’enregistrements toutes sources de renseignements confondues, ce qui correspond au seuil à partir duquel des achats supplémentaires deviennent le plus souvent nécessaires. Effectuer la mise en correspondance directement au sein d’un SIEM permet d’éviter cette licence, mais se fait généralement au détriment des performances du SIEM. Enfin, les hachages n’identifient que les fichiers déjà détectés et classés ; ce flux n’apporte donc rien face à un fichier binaire véritablement unique conçu pour une cible spécifique.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique pourquoi un scanner intégré laisse des failles que des couches de sécurité supplémentaires doivent combler.

Foire aux questions sur les flux de données sur les menaces de Kaspersky : hachages malveillants

Ai-je besoin d’une protection des terminaux Kaspersky pour utiliser ce flux ?

Non. Ce flux est un abonnement autonome de renseignements sur les menaces et ne nécessite pas de produit Kaspersky pour terminaux. Il est compatible avec n’importe quel SIEM, pare-feu ou passerelle que vous utilisez déjà, quel que soit le fournisseur.

Sous quels formats le flux est-il fourni ?

Le flux de données sur les hachages malveillants, accompagné d’informations contextuelles supplémentaires, est fourni au format JSON. L’ensemble du catalogue des flux de données sur les menaces de Kaspersky prend en charge les formats JSON, CSV, OpenIoC et STIX, diffusés via HTTPS, TAXII ou tout autre mécanisme convenu.

Quels outils de sécurité peuvent exploiter ce flux dès leur installation ?

Kaspersky publie des intégrations prêtes à l'emploi pour IBM QRadar, Splunk Enterprise Security, ArcSight ESM, RSA NetWitness, Azure Sentinel, Anomali ThreatStream, ThreatConnect, EclecticIQ, ThreatQ, MISP, Cisco Firepower, Suricata, McAfee Web Gateway et Maltego, ainsi qu’une API REST pour tout ce qui ne figure pas dans cette liste.

D’où proviennent les données ?

Les enregistrements sont agrégés à partir des données télémétriques du Kaspersky Security Network, fournies par plus de 400 millions de participants volontaires, des robots d’indexation, des recherches sur les botnets, des pièges à spam, des honeypots et des sinkholes, des DNS passifs provenant de fournisseurs d’hébergement et de FAI, ainsi que des sources OSINT et des partenariats avec des fournisseurs. Chaque indicateur est soumis à un filtrage automatisé et à une analyse en sandbox avant sa publication.