Que contiennent les flux de données sur les menaces de Kaspersky – APT IOC ?

Flux de données APT Hash – Hachages d’éléments malveillants utilisés dans les campagnes APT.
Flux de données APT IP – Adresses IP associées à l’infrastructure des attaques ciblées.
Flux de données APT URL – Adresses Web utilisées dans les campagnes de menaces persistantes avancées.
Flux de données APT Yara – Règles YARA permettant de détecter localement les fichiers liés à des attaques ciblées.
Connecteurs SIEM – Connecteurs inclus pour ArcSight, QRadar et Splunk.
Important – Aucun agent, console ou fonction de blocage n’est inclus.

Quels sont les principaux avantages de « Kaspersky Threat Data Feeds - APT IOC » ?

Kaspersky Threat Data Feeds - APT IOC est un abonnement à quatre flux d’indicateurs lisibles par machine couvrant les campagnes de menaces persistantes avancées. Il ne comporte ni console ni modèle de gestion propre : les données sont récupérées via HTTPS et exploitées par le SIEM, la plateforme de renseignements sur les menaces ou le pare-feu que vous utilisez déjà.

Origine GReAT Research – Indicateurs produits par l’équipe de recherche sur les attaques ciblées de Kaspersky.
Formats lisibles par machine – Sortie au format JSON avec conversion vers STIX, OpenIOC et CSV.
Recherche rétrospective de menaces – Les règles YARA identifient les fichiers d’attaques ciblées déjà stockés.
Triage plus rapide des alertes – Des indicateurs validés réduisent le bruit lors de la corrélation des événements SIEM.
Utilisation indépendante des fournisseurs – Fonctionne avec des SIEM, pare-feu et systèmes IDS tiers.
Diffusion authentifiée – Téléchargement HTTPS sécurisé par un certificat client Kaspersky.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique pourquoi une seule couche de protection intégrée laisse des lacunes de détection que des sources de renseignements supplémentaires sont censées combler.

À quelle taille d’entreprise le service Kaspersky Threat Data Feeds - APT IOC est-il adapté ?

Le facteur déterminant n’est pas l’effectif, mais la présence d’une personne chargée de lire les alertes. Les données du flux ne deviennent utiles qu’une fois qu’une plateforme SIEM ou de renseignements sur les menaces est opérationnelle et qu’une personne ou un prestataire de services effectue le tri des correspondances générées.

Les flux de données sur les menaces de Kaspersky (APT IOC) répondent-ils aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de signalement s’applique aux exploitants d’infrastructures critiques, et non à toutes les entreprises : à compter du 1er avril 2025, la loi modifiée sur la sécurité de l’information les oblige à signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, les détails restants devant être communiqués dans les 14 jours. APT IOC contribue au respect de ce délai d’une manière très spécifique, car une correspondance dans le flux fournit à l’analyste le nom de la campagne et le contexte des indicateurs nécessaires pour décrire l’incident dans le rapport initial, au lieu de le classer comme un événement non classifié. Il ne détecte rien de lui-même ; il se contente d’évaluer les données de journaux que vos systèmes existants transmettent déjà. Il ne fournit ni chronologie de l’incident, ni preuves techniques, ni gestion de dossier, ni processus de signalement ; le suivi dans les 14 jours doit donc toujours être constitué à partir de votre SIEM, de vos outils de gestion des terminaux et de la documentation relative à l’incident. Il ne permet pas non plus de déterminer si votre organisation relève de l’un des secteurs concernés. Ce texte est une description de produit et ne constitue pas un avis juridique ; il convient de vérifier auprès d’un conseiller juridique qualifié si l’obligation de signalement s’applique à votre organisation.

Le service « Kaspersky Threat Data Feeds - APT IOC » répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit la conformité à la directive NIS 2, car celle-ci porte sur des mesures organisationnelles plutôt que sur des fonctionnalités logicielles. La directive NIS 2 exige des entités essentielles et importantes qu’elles mettent en place une analyse des risques et des politiques de sécurité, une gestion des incidents, un plan de continuité des activités et de gestion de crise, la sécurité de la chaîne d’approvisionnement, la gestion et la divulgation des vulnérabilités, ainsi que des procédures permettant d’évaluer si les mesures sont réellement efficaces. APT IOC contribue à la gestion des incidents en ajoutant des indicateurs d’attaques ciblées et du contexte à la couche de détection, et il ne contribue à l’évaluation de l’efficacité que dans la mesure où les correspondances du flux montrent où la surveillance produit des résultats. Il n’apporte rien en matière de continuité, de sauvegarde, de gestion de crise, de contrôle d’accès, de formation du personnel ou d’obligations de gouvernance que la directive impose aux organes de direction. La sécurité de la chaîne d’approvisionnement n’est pas non plus prise en compte, puisque le flux décrit l’infrastructure des attaquants externes et ne dit rien sur le niveau de sécurité de vos propres fournisseurs.

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

En juin 2024, le Bureau de l’industrie et de la sécurité du ministère américain du Commerce a rendu une décision définitive interdisant à Kaspersky de conclure de nouveaux accords avec des personnes américaines à compter du 20 juillet 2024, et de fournir des mises à jour de signatures et de code source, ni d’exploiter le Kaspersky Security Network aux États-Unis à compter du 29 septembre 2024. La revente et l’intégration des logiciels de cybersécurité Kaspersky aux États-Unis sont interdites en vertu de cette même décision, et trois entités de Kaspersky ont été ajoutées à la liste des entités (Entity List). Cette mesure reste en vigueur. L’Office fédéral allemand de la sécurité de l’information a émis en 2022 un avertissement recommandant le remplacement des logiciels antivirus Kaspersky ; il s’agit d’une recommandation et non d’une interdiction de vente, et l’Allemagne n’a pas interdit les ventes. Kaspersky estime pour sa part que la décision américaine reposait sur le contexte géopolitique plutôt que sur une évaluation de ses produits, et la société a déclaré que cette décision n’affectait pas sa capacité à vendre des services de renseignements sur les menaces et des formations aux États-Unis. Kaspersky traite également les données relatives aux menaces provenant d’utilisateurs européens dans deux centres de données situés à Zurich et y exploite un «Centre de transparence» où des partenaires agréés peuvent examiner le code et les règles de détection. Concrètement, cela concerne principalement les organisations disposant d’entités aux États-Unis ou ayant conclu des contrats avec le gouvernement américain, ainsi que les fournisseurs dont les clients appliquent des règles relatives au pays d’origine dans le cadre de leurs marchés publics ; pour les autres acheteurs en Suisse et dans l’Union européenne, la vente et l’utilisation ne font l’objet d’aucune restriction.

Norton vs Kaspersky – Quel logiciel antivirus offre la meilleure protection en 2025 ?
Une comparaison directe des deux éditeurs portant sur les performances de détection, l’étendue des fonctionnalités et les différences pratiques entre eux.

Les flux de données sur les menaces de Kaspersky (APT IOC) sont-ils utiles pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement dans une mesure limitée. Il apporte une réponse documentée aux questions demandant si vous êtes abonné à un service commercial de renseignements sur les menaces, si des indicateurs externes sont corrélés à vos données de journaux, si vous êtes en mesure de détecter des attaques ciblées plutôt que de simples logiciels malveillants courants, et si vous pouvez rechercher rétrospectivement des traces d’attaquants connues, ce que le flux YARA permet de faire sur les fichiers stockés. Il n’apporte aucune réponse concernant la couverture de la protection des terminaux, l’état des correctifs, le chiffrement des disques, l’authentification multifactorielle, les délais de sauvegarde et de restauration, les revues d’accès, les formations de sensibilisation ou la gestion des fournisseurs, alors que ces points figurent dans presque tous les questionnaires. Pour combler les lacunes du côté des flux, rester au sein de la même gamme est généralement la solution la plus économique : les offres groupées Expert Security et Total Security ajoutent les ensembles de flux « Crimeware IOC » et « Mobile Threat », tandis que Total Security ajoute les données « Passive DNS », les règles Suricata, les menaces liées aux logiciels open source, les URL IoT et les données de vulnérabilité. Les éléments relatifs aux terminaux, aux correctifs et au chiffrement ne peuvent en aucun cas être traités à l’aide de données de flux et nécessitent plutôt un produit dédié aux terminaux, tel que la gamme Kaspersky Next.

Quelle est la différence entre les flux de données sur les menaces « APT IOC » et « Crimeware IOC » ?

La différence déterminante réside dans le type d’attaquant décrit : « Threat Data Feeds APT IOC » couvre les indicateurs d’intrusions ciblées, menées dans le cadre de campagnes et attribuées à des acteurs de menaces persistantes avancées (APT), tandis que « Threat Data Feeds Crimeware IOC » couvre la cybercriminalité de masse à motivation financière, telle que les chevaux de Troie bancaires et les opérations de rançongiciel. Cette différence influe sur les bénéficiaires, car les indicateurs APT sont peu nombreux mais ont des conséquences importantes, tandis que les indicateurs de crimeware sont nombreux et touchent beaucoup plus souvent un réseau moyen. Les indicateurs APT sont également les seuls des deux à inclure un flux dédié aux adresses IP. Les deux sont inclus dans les offres groupées « Expert Security » et « Total Security » ; il est donc intéressant de comparer le prix d’un achat séparé avec celui d’une offre groupée. Si votre SOC reçoit actuellement principalement des alertes de logiciels malveillants génériques et n’a jamais traité d’intrusion ciblée, les indicateurs de crimeware produiront généralement davantage de correspondances par mois.

Quelles sont les limites à connaître avant d’acheter ?

APT IOC fournit des données, pas une protection : il n’y a ni agent, ni console, ni fonction de blocage ; un SIEM, une plateforme de renseignements sur les menaces ou un pare-feu doit donc déjà être en service pour que l’abonnement produise des résultats exploitables. En ce qui concerne la disponibilité régionale, l’interdiction du Département du Commerce américain restreint l’accès aux produits de cybersécurité Kaspersky pour les personnes américaines ; les organisations disposant de filiales ou de contrats aux États-Unis doivent donc vérifier leur situation avant d’intégrer ces données dans des systèmes exploités dans ce pays, tandis que la vente et l’utilisation en Suisse et dans l’Union européenne ne sont pas affectées. Les flux APT sont publiés au format JSON, et les formats STIX, OpenIOC, Snort, CSV et texte brut sont générés via un outil de conversion Kaspersky, ce qui implique une étape de script dans la plupart des pipelines d’ingestion ; La livraison au format TAXII n’est confirmée que pour les flux les plus populaires ; il convient donc de vérifier la disponibilité de ce format pour l’ensemble des APT avant de concevoir une solution autour de celles-ci. L’utilisation des données est limitée à la protection de votre propre infrastructure et de vos propres collaborateurs, et la transmission du contenu des flux à des tiers n’est pas autorisée, ce qui exclut la réutilisation d’un même abonnement par un prestataire de services pour plusieurs clients. L’achat complémentaire le plus courant est l’édition payante de Kaspersky CyberTrace, qui supprime les limites de traitement des événements et des indicateurs de la version communautaire gratuite.

Nous vous aidons à faire votre choix. Test : Logiciels antivirus : les meilleurs antivirus pour Windows 2025.
Un aperçu des produits de protection Windows actuels pour la couche des terminaux, que les flux de renseignements sur les menaces ne peuvent pas remplacer.

Foire aux questions sur les flux de données sur les menaces de Kaspersky - IOC APT

Comment les données du flux sont-elles fournies après l’achat ?

Kaspersky envoie un certificat numérique par e-mail chiffré dans les cinq jours ouvrés suivant la commande, et les flux sont ensuite téléchargés via un service HTTPS utilisant ce certificat pour l’authentification du client. Il n’y a pas de programme d’installation et rien n’est déployé sur les terminaux.

Quels systèmes SIEM sont pris en charge sans développement sur mesure ?

Des connecteurs pour HP ArcSight, IBM QRadar et Splunk sont inclus dans l’abonnement aux flux de données sur les menaces. Pour les autres systèmes SIEM et sources de journaux, Kaspersky CyberTrace fait office de couche de correspondance et accepte les flux aux formats JSON, STIX, XML et CSV.

Les indicateurs de compromission (IOC) APT peuvent-ils être utilisés sans Kaspersky CyberTrace ?

Oui. Toute plateforme capable de traiter la sortie JSON, ou l’un des formats convertis, peut exploiter directement les flux. CyberTrace est facultatif et sert principalement à effectuer la mise en correspondance des indicateurs en dehors du SIEM, ce qui réduit le volume d’événements que le SIEM doit corréler lui-même.