Kaspersky lance un service d’ingénierie de la détection pour les équipes SOC

J. Actualclo

X (Twitter) Facebook Pinterest LinkedIn Email

Kaspersky a présenté Detection Engineering, un service de conseil dans lequel ses spécialistes développent, testent et déploient des cas d’usage de détection sur mesure pour les organisations qui utilisent Kaspersky SIEM et Kaspersky Next XDR Expert. L’entreprise l’a annoncé le 04/11/2026 et l’inscrit dans son offre SOC Consulting, destinée aux centres d’opérations de sécurité (SOC) des entreprises de tous secteurs.

Les points clés du service Detection Engineering de Kaspersky en 20 secondes

Kaspersky ajoute Detection Engineering à son catalogue de conseil SOC Consulting.
Il conçoit et ajuste des règles de détection uniquement pour Kaspersky SIEM et Next XDR Expert.
Il comprend des tests avec les données du client, de la documentation et la formation de l’équipe.
L’annonce ne détaille ni le prix, ni le calendrier, ni la disponibilité par région.
Aux États-Unis, la vente de produits Kaspersky est interdite depuis le 20/07/2024.

L’argument commercial de l’entreprise repose sur un chiffre tiré de son propre rapport Anatomy of a Cyber World, élaboré par Kaspersky Security Services et daté de 2026 : selon ce document, en moyenne seulement 43 % des sources d’événements d’une organisation sont couvertes par des règles de corrélation. Le communiqué n’explique pas comment ce pourcentage a été calculé, combien d’organisations ont été analysées ni sur quelle période, et la page publique du rapport ne le précise pas non plus ; il convient donc de le lire comme une donnée du fournisseur et non comme une mesure indépendante.

Roman Nazarov, responsable de SOC Consulting chez Kaspersky, résume l’approche dans une phrase que l’entreprise diffuse en anglais et qui, en traduction libre, dit : « Une détection efficace des menaces exige plus que des règles prêtes à l’emploi ». Nazarov soutient en outre que la logique de détection doit refléter l’infrastructure de chaque organisation et s’appuyer sur la bonne télémétrie, et que le service aide les équipes SOC à transformer leurs priorités de détection en cas d’usage validés et prêts pour l’exploitation quotidienne.

Ce que comprend le service et avec quelles plateformes il fonctionne

Selon la description de Kaspersky, le travail commence par une évaluation de l’infrastructure et des sources de données du client. À partir de là, les consultants identifient les événements et les champs nécessaires à chaque détection et développent une nouvelle logique ou adaptent celle qui existe. Chaque cas d’usage est testé avec les données disponibles et ajusté pour réduire les faux positifs avant de passer en production. Le client reçoit les cas d’usage développés et testés, une documentation d’appui, des recommandations opérationnelles et un transfert de connaissances pour que son équipe comprenne la logique de chaque règle et sache la maintenir.

L’entreprise donne pour exemple la détection de changements inhabituels dans les données de paiement ou dans les flux d’approbation, un type de scénario métier que les règles génériques ne couvrent pas toujours. Elle énumère aussi les profils visés : des équipes SOC déjà établies qui doivent étendre la couverture de surveillance, intégrer de nouveaux systèmes, combler des lacunes de détection ou migrer du contenu de détection depuis une autre plateforme.

Le service est lié aux produits maison. Il fonctionne sur Kaspersky SIEM (système de gestion des informations et des événements de sécurité) et Kaspersky Next XDR Expert (plateforme de détection et de réponse étendues, XDR). La page du SIEM évoque plus de 800 règles de détection préconfigurées, mises à jour chaque trimestre et mappées avec MITRE ATT&CK, et Detection Engineering se présente comme la couche sur mesure qui s’ajoute à ce contenu de série. Ni le communiqué ni la page de SOC Consulting ne citent d’outils EDR (détection et réponse sur le endpoint) tiers ni de SIEM d’autres éditeurs comme cible des règles ; la mention d’autres plateformes concerne la migration de contenu depuis celles-ci vers l’environnement Kaspersky.

Le format Sigma n’apparaît pas non plus dans la description du service, pas plus qu’un mappage explicite de chaque cas d’usage avec MITRE ATT&CK. Dans le catalogue de SOC Consulting, les tests de couverture avec des techniques d’attaque mappées sur ATT&CK relèvent d’un autre service, Adversary Attack Emulation, que l’entreprise présente comme une validation de la détection et non comme un test d’intrusion. Le communiqué ne publie pas de prix : la page de conseil indique que le coût et la durée dépendent du périmètre, du nombre de systèmes ou de scénarios et de la disponibilité du client, et qu’il faut demander un devis. Les pays où le service est proposé ne sont pas précisés.

Ce n’est pas la première annonce de l’entreprise centrée sur l’exploitation du SOC. En août, elle renforçait son service MDR pour détecter plus tôt l’utilisation d’identifiants volés, et en juillet elle avait déjà soutenu que l’EDR seul ne suffit pas si l’exploitation du SOC défaille.

Ingénierie de la détection, Sigma et MITRE ATT&CK

L’ingénierie de la détection est la discipline qui conçoit, teste et maintient la logique avec laquelle un SOC identifie une activité malveillante dans ses journaux et sa télémétrie. De nombreuses équipes l’abordent sous forme de detection-as-code : les règles sont stockées dans un dépôt avec gestion de versions, relues et validées par des tests avant d’être déployées, comme n’importe quel autre code.

Deux références ouvertes sont fréquemment utilisées dans ce travail. MITRE ATT&CK est la base de connaissances des tactiques et techniques d’attaquants que maintient l’organisation américaine MITRE et que de nombreuses équipes emploient pour mesurer quels comportements leurs règles couvrent. Sigma, maintenu par la communauté SigmaHQ, se définit comme un format de signatures générique et ouvert pour décrire des événements de journal ; son dépôt réunit plus de 3 000 règles publiées sous la licence Detection Rule License 1.1, et des outils comme Sigma CLI ou la bibliothèque pySigma les convertissent en requêtes pour différents SIEM. Son objectif est qu’une règle écrite une fois puisse être transposée sur plusieurs plateformes.

D’autres fournisseurs proposent des services comparables. CyberProof commercialise un service de Detection Engineering, qu’elle appelle aussi gestion des cas d’usage, construit sur une analyse de couverture avec MITRE ATT&CK, bien que sa page ne précise pas avec quel SIEM elle travaille. LevelBlue propose son Customized SIEM Optimization Program, qui développe et ajuste des cas d’usage sur mesure et cite Microsoft Sentinel, Devo et Splunk parmi les plateformes compatibles. La différence de départ est que le service de Kaspersky se limite à ses propres outils.

Les restrictions visant Kaspersky aux États-Unis et en Europe

Pour qui évalue le service, la situation réglementaire de l’entreprise varie selon le pays. Aux États-Unis, le Bureau de l’industrie et de la sécurité (BIS) du Département du commerce a interdit les nouvelles ventes de produits et services de cybersécurité de Kaspersky à partir du 20/07/2024. Depuis le 29/09/2024, l’entreprise ne peut plus non plus y distribuer de mises à jour de signatures et de code ni exploiter son réseau Kaspersky Security Network, et la revente et l’intégration de son logiciel dans des produits tiers ont été interdites. Le BIS exclut lui-même de l’interdiction le renseignement sur les menaces à caractère informatif, la formation et les services de conseil.

En Allemagne, l’Office fédéral de la sécurité des technologies de l’information (BSI) a émis le 15/03/2022 un avertissement fondé sur l’article 7 de sa loi (BSIG), recommandant de remplacer l’antivirus de Kaspersky par d’autres produits. La page du BSI, désormais archivée, précise que le pays n’interdit pas son utilisation dans l’administration et conseille des analyses de risques individuelles. L’Italie, par l’intermédiaire de son Agence nationale de cybersécurité (ACN), a publié en avril 2022 une circulaire demandant aux administrations publiques de diversifier leurs fournisseurs de sécurité des endpoints, Kaspersky figurant parmi les entreprises citées. Au niveau de l’UE, le Parlement européen a adopté en juin 2018 une résolution non contraignante demandant d’exclure ses produits des institutions communautaires. Les sources consultées pour cet article ne mentionnent pas, en Espagne, de norme ou d’alerte officielle équivalente à l’interdiction américaine ; la décision revient donc à l’analyse de risques de chaque organisation.

Questions fréquentes

Qu’est-ce que Kaspersky Detection Engineering ?

C’est un service de conseil de Kaspersky, intégré à SOC Consulting, dans lequel ses experts développent, testent et déploient des cas d’usage de détection adaptés à l’infrastructure et aux données de chaque client.

Fonctionne-t-il avec des SIEM d’autres éditeurs ?

Pas selon les informations publiées. Le service est conçu pour Kaspersky SIEM et Kaspersky Next XDR Expert ; les autres plateformes n’apparaissent que comme origine du contenu migré.

Combien coûte le service ?

Kaspersky ne publie pas de prix. L’entreprise indique que le coût et la durée dépendent du périmètre et du nombre de systèmes ou de scénarios, et qu’il faut demander un devis.

Peut-on souscrire à Kaspersky aux États-Unis ?

Le BIS interdit depuis le 20/07/2024 les nouvelles ventes de produits et services de cybersécurité de Kaspersky aux États-Unis, et depuis le 29/09/2024 la distribution de mises à jour. La règle exclut le conseil et la formation.

Sources :