¿Qué incluyen los «Hash de archivos maliciosos» de Kaspersky Threat Data Feeds?

Hashes de archivos maliciosos: MD5 por registro, con SHA1 y SHA256 opcionales.
Contexto de la amenaza: nombre de la amenaza de Kaspersky, tipo de archivo, tamaño del archivo y nombres de archivo habituales.
Cronología y propagación: primera detección, última detección e índice de popularidad de cinco niveles.
Mapeo de ataques: pares de tácticas y técnicas de MITRE ATT&CK por objeto.
Datos de distribución: las diez principales direcciones IP de alojamiento y las URL de descarga.
Importante: no requiere consola, ni agente, ni bloqueo por sí solo.

¿Cuáles son las principales ventajas de «Kaspersky Threat Data Feeds Malicious Hashes»?

«Kaspersky Threat Data Feeds Malicious Hashes» es una suscripción a inteligencia sobre amenazas, no un producto de protección: proporciona un conjunto de hash de archivos maliciosos actualizado continuamente, con contexto, que puede ser utilizado por su propio SIEM, cortafuegos o pasarela. Kaspersky también comercializa el mismo catálogo como «Kaspersky Threat Intelligence Data Feeds», y la propia fuente está documentada como «Malicious Hash Data Feed», por lo que ambos nombres hacen referencia a este conjunto de datos.

Clasificación más rápida de las alertas: los analistas ven el nombre de la amenaza en lugar de un hash desconocido.
Menos falsos positivos: los indicadores se filtran comparándolos con una amplia base de datos de archivos legítimos.
Actualizaciones casi en tiempo real: los nuevos registros llegan sin tener que esperar a la publicación de OSINT.
Reutilización de las herramientas existentes: no se necesita una nueva plataforma, el feed se integra en su infraestructura actual.
Motor de coincidencia gratuito: Kaspersky CyberTrace Community Edition compara las fuentes sin coste alguno.
Búsqueda retrospectiva: los hash de archivos antiguos se pueden volver a comprobar con los registros más recientes de la fuente.

¿Para qué tamaño de empresa son adecuados los «Kaspersky Threat Data Feeds Malicious Hashes»?

Este feed solo aporta valor si ya existe algún componente en su infraestructura que recopile hash de archivos a partir de registros o del tráfico de red y sea capaz de compararlos. Sin un SIEM, un cortafuegos de última generación o una pasarela de correo y web que incorpore listas de indicadores, no hay ningún sistema al que enviar los datos.

¿Cumple Kaspersky Threat Data Feeds Malicious Hashes los requisitos de la legislación suiza en materia de ciberseguridad?

En Suiza, la obligación de notificación prevista en la Ley de Seguridad de la Información revisada se aplica a los operadores de infraestructuras críticas, no a todas las empresas, por lo que la mayoría de las pymes no se ven directamente afectadas. Los operadores afectados deben notificar cualquier ciberataque significativo a la Oficina Federal de Ciberseguridad (BACS) en un plazo de 24 horas desde su detección. Dentro de ese plazo, el servicio de datos ayuda de una forma concreta: un hash de archivo extraído de sus registros puede resolverse en un nombre de amenaza de Kaspersky, una fecha de primera detección y tácticas MITRE ATT&CK, que es exactamente la información que necesita un primer informe en lugar de la frase «binario desconocido». Lo que el servicio de información no hace es detectar el archivo, generar el registro en primer lugar, mantener un registro de incidentes ni enviar nada a la BACS; todo eso corresponde a su protección de terminales, su gestión de registros y su propio proceso. Tampoco cubre dispositivos móviles ni sistemas de control industrial (ICS), por lo que un operador con esos entornos sigue teniendo una laguna. Este texto no constituye asesoramiento jurídico; para aclarar si su organización está sujeta a la obligación de notificación, debe consultar a un asesor cualificado.

¿Cumplen los «Threat Data Feeds Malicious Hashes» de Kaspersky los requisitos de la legislación europea en materia de ciberseguridad?

Ningún producto garantiza por sí solo el cumplimiento de la Directiva NIS 2, ya que esta se centra en la gestión del riesgo organizativo y no en una mera lista de herramientas. La NIS 2 exige categorías de medidas que incluyen el análisis de riesgos y las políticas de seguridad, la gestión de incidentes, la continuidad del negocio, la seguridad de la cadena de suministro, la seguridad en la adquisición y el desarrollo, la criptografía y el control de acceso, la ciberhigiene básica y la formación del personal. Este servicio contribuye a una de ellas, la gestión de incidentes, al acortar el paso entre el hash de un archivo sospechoso y una amenaza identificada, fechada y clasificada. No contribuye a la planificación de la continuidad, la criptografía, el control de acceso, la formación ni la documentación de políticas, y por sí solo no genera pruebas de auditoría, ya que se trata de un conjunto de datos y no de un sistema de generación de informes. La seguridad de la cadena de suministro solo se aborda aquí de forma parcial, ya que los indicadores de la cadena de suministro de software se encuentran en el «Feed de datos sobre amenazas de software de código abierto», que es independiente.

¿Qué debe saber sobre las evaluaciones oficiales de Kaspersky?

Hay dos medidas oficiales en vigor. La Oficina Federal Alemana de Seguridad de la Información emitió una advertencia contra el software antivirus de Kaspersky el 15 de marzo de 2022; dicha advertencia sigue vigente y ahora se regula en virtud del artículo 13 de la Ley alemana del BSI, tras la enmienda que entró en vigor el 6 de diciembre de 2025. En Estados Unidos, la Oficina de Industria y Seguridad prohibió las nuevas ventas de Kaspersky a partir del 20 de julio de 2024 y el suministro de actualizaciones a partir del 29 de septiembre de 2024, y añadió a las entidades de Kaspersky a la Lista de Entidades. Kaspersky afirma que estas decisiones se basan en el país de origen de la empresa y no en un hallazgo técnico publicado sobre sus productos, y ha presionado públicamente para que se retire la advertencia alemana. Suiza no ha tomado ninguna medida equivalente: la BACS no ha emitido ni una advertencia ni una prohibición, y los productos se venden y actualizan con normalidad en Suiza, la Unión Europea y el Reino Unido. En la práctica, esto es especialmente relevante si se vende en el marco de contratos del sector público alemán o de otros países europeos, si se tienen operaciones en Estados Unidos o si el cuestionario para proveedores de un gran cliente incluye preguntas sobre proveedores de origen ruso. Para una empresa privada suiza sin exposición al sector público, no se aplica ninguna restricción.

Norton frente a Kaspersky: ¿qué programa antivirus ofrece la mejor protección en 2025?
Una comparación detallada de cómo se comportan ambos proveedores en cuanto a detección y funcionalidades.

¿Ayudan los «Threat Data Feeds Malicious Hashes» de Kaspersky a completar los cuestionarios de seguridad de los grandes clientes?

En parte, y solo para un conjunto limitado de aspectos. Responde a preguntas sobre si estás suscrito a servicios comerciales de inteligencia sobre amenazas, si los indicadores de compromiso se cotejan con tus datos de registro, en qué formatos se utiliza la inteligencia y con qué rapidez llegan los nuevos indicadores a tus controles. No responde a nada relacionado con la protección de terminales, la gestión de parches, el cifrado, la autenticación multifactorial, las copias de seguridad y la restauración, los períodos de retención de registros, el control de acceso o la formación en concienciación, y no genera ningún certificado ni declaración que se pueda adjuntar. Tampoco aporta pruebas de cobertura para dispositivos móviles o sistemas industriales. Si un cuestionario pone de manifiesto carencias más allá de la comparación de hash, la opción más económica suele ser ampliar la cobertura dentro de la misma familia, por ejemplo, añadiendo fuentes de reputación de IP, URL o vulnerabilidades, o pasando a una suscripción más amplia a Kaspersky Threat Intelligence, en lugar de mezclar proveedores de fuentes y tener que conciliar luego diferentes formatos de contexto.

¿Cuál es la diferencia entre el feed de datos de hash maliciosos y el feed de datos de hash maliciosos para móviles?

La diferencia decisiva radica en el alcance de los objetos, y las fuentes de datos no se solapan: adquirir únicamente el «Malicious Hash Data Feed» deja sin cobertura a los sistemas móviles e industriales. El feed de datos de hash maliciosos se centra en el malware prevalente y emergente en archivos de ordenadores de sobremesa y servidores; el feed de datos de hash maliciosos para móviles cubre los objetos que infectan dispositivos Android y iPhone, y el feed de datos de hash para ICS cubre los archivos utilizados contra los sistemas de control industrial y los sistemas informáticos integrados en ellos. Los tres comparten la misma estructura de registros, por lo que no es necesario realizar ningún trabajo de análisis por separado si se añade uno más adelante. Kaspersky también publica versiones de demostración de estas fuentes, que tienen una tasa de detección inferior a la de las versiones comerciales y están pensadas para la evaluación, no para la producción.

¿Qué limitaciones debes conocer antes de comprarlo?

La limitación más importante es que se trata de datos, no de defensa: no detecta nada, no bloquea nada y no tiene consola, por lo que no tiene utilidad alguna sin un SIEM, un cortafuegos de última generación o una pasarela que ya incorpore listas de indicadores. La disponibilidad regional está restringida en un mercado, Estados Unidos, donde la prohibición de la Oficina de Industria y Seguridad (BIS) afecta a las nuevas ventas y actualizaciones; las ventas y actualizaciones en Suiza, la Unión Europea y el Reino Unido no se ven afectadas. Si comparas las fuentes de datos con Kaspersky CyberTrace en lugar de hacerlo dentro de tu SIEM, la edición gratuita Community Edition tiene un límite de 250 eventos por segundo y un millón de registros en todas las fuentes de inteligencia, lo que suele ser el punto en el que se hacen necesarias las compras adicionales. La comparación directa dentro de un SIEM evita esa licencia, pero suele afectar al rendimiento del SIEM. Por último, los hash solo identifican archivos que ya se han visto y clasificado, por lo que esta fuente de datos no aporta nada frente a un binario verdaderamente único creado para un objetivo concreto.

¿El mejor antivirus? Por qué Windows Defender por sí solo no es suficiente
Explica por qué un escáner integrado deja lagunas que deben subsanarse con capas de seguridad adicionales.

Preguntas frecuentes sobre las fuentes de datos de amenazas de Kaspersky: hash maliciosos

¿Necesito la protección para terminales de Kaspersky para utilizar este feed?

No. La fuente de datos es una suscripción independiente de inteligencia sobre amenazas y no requiere ningún producto de Kaspersky para terminales. Se puede utilizar con cualquier SIEM, cortafuegos o puerta de enlace que ya utilices, independientemente del proveedor.

¿En qué formatos se entrega el feed?

El servicio de datos de hash maliciosos con contexto adicional se proporciona en formato JSON. En todo el catálogo de servicios de datos sobre amenazas de Kaspersky, se admiten los formatos JSON, CSV, OpenIoC y STIX, que se distribuyen a través de HTTPS, TAXII o cualquier otro mecanismo alternativo acordado.

¿Qué herramientas de seguridad pueden utilizar el feed tal cual?

Kaspersky publica integraciones listas para usar con IBM QRadar, Splunk Enterprise Security, ArcSight ESM, RSA NetWitness, Azure Sentinel, Anomali ThreatStream, ThreatConnect, EclecticIQ, ThreatQ, MISP, Cisco Firepower, Suricata, McAfee Web Gateway y Maltego, además de una API REST para cualquier otra herramienta que no figure en esa lista.

¿De dónde proceden los datos?

Los registros se agregan a partir de la telemetría de Kaspersky Security Network aportada por más de 400 millones de participantes voluntarios, rastreadores web, investigación de botnets, trampas de spam, honeypots y sinkholes, DNS pasivo de proveedores de alojamiento y proveedores de servicios de Internet (ISP), OSINT y colaboraciones con proveedores. Cada indicador se somete a un filtrado automatizado y a un análisis en entorno aislado antes de su publicación.