Pendant longtemps, la protection d'un ordinateur se résumait à l'installation d'un antivirus. Aujourd'hui, les fournisseurs parlent d'EDR, de XDR, de MDR, et il devient difficile de s'y retrouver. Ces termes ne sont pas que du marketing : ils traduisent une évolution réelle des menaces et des moyens de défense. Pour une PME, la question est pragmatique : quelle protection choisir pour les postes de travail et les serveurs, et que faut-il en attendre ?
L'antivirus classique : utile mais limité
L'antivirus traditionnel repose principalement sur des signatures. Il compare les fichiers à une base de logiciels malveillants connus et bloque ceux qui correspondent. Cette approche reste efficace contre les menaces répandues et anciennes. Elle a toutefois des limites importantes face aux attaques actuelles :
- les logiciels malveillants sont modifiés en permanence pour échapper aux signatures ;
- certaines attaques n'utilisent aucun fichier malveillant, mais détournent des outils légitimes du système ;
- un attaquant qui dispose d'identifiants valides peut agir sans déclencher d'alerte ;
- l'antivirus offre peu d'informations pour comprendre ce qui s'est passé après un incident.
Les antivirus modernes intègrent souvent des fonctions d'analyse comportementale, et la protection intégrée aux systèmes d'exploitation récents a beaucoup progressé. La frontière avec l'EDR est donc moins nette qu'auparavant.
L'EDR : détecter et répondre
L'EDR, pour Endpoint Detection and Response, surveille en continu l'activité des postes : processus lancés, modifications de fichiers, connexions réseau, comportements inhabituels. Plutôt que de chercher uniquement des fichiers connus, il repère des enchaînements suspects, par exemple un document bureautique qui lance un script, lequel tente de désactiver les sauvegardes et de chiffrer des fichiers en masse.
Ses atouts principaux sont :
- la détection comportementale, efficace contre des menaces nouvelles ou ciblées ;
- la réponse : isoler un poste du réseau à distance, arrêter un processus, parfois annuler des modifications ;
- la visibilité : un historique détaillé qui aide à comprendre l'origine et l'étendue d'un incident ;
- la gestion centralisée de tous les appareils depuis une console.
La question clé : qui regarde les alertes ?
Un EDR génère des alertes. Encore faut-il que quelqu'un les analyse et réagisse, y compris la nuit ou le week-end, moments souvent choisis par les attaquants. Dans une PME sans équipe de sécurité dédiée, c'est le principal défi. Plusieurs options existent :
- une surveillance interne, réaliste seulement si une personne compétente dispose du temps nécessaire ;
- un suivi par votre prestataire informatique, dans le cadre d'un contrat de support ;
- un service MDR (Managed Detection and Response), où une équipe spécialisée surveille les alertes en continu et intervient selon des procédures convenues.
Un EDR installé mais dont personne ne consulte la console apporte une protection automatique, mais une partie de sa valeur reste inexploitée.
Comment choisir pour votre PME
Le bon choix dépend de votre exposition au risque, de la sensibilité de vos données et de vos ressources internes. Quelques critères aident à décider :
- la couverture de tous vos systèmes : Windows, macOS, serveurs, éventuellement smartphones ;
- la facilité de déploiement et l'impact sur les performances des postes ;
- la qualité de la console et la clarté des alertes ;
- les capacités de réponse automatique, par exemple l'isolement d'un poste ;
- l'intégration avec vos autres outils, comme Microsoft 365 ;
- la disponibilité d'un service de surveillance si vous n'avez pas les ressources en interne.
Pour beaucoup de PME, un EDR géré par un prestataire constitue un bon équilibre. Les organisations soumises à des exigences plus strictes, par exemple dans le cadre de NIS2 ou à la demande de clients importants, ont souvent intérêt à envisager une surveillance plus poussée.
Une brique parmi d'autres
Aussi performant soit-il, un EDR ne remplace ni les mises à jour, ni l'authentification multifacteur, ni les sauvegardes, ni la segmentation du réseau. Il s'intègre dans une défense en profondeur. Nous pouvons vous aider à choisir et à exploiter la protection adaptée dans le cadre de notre support et infogérance, en complément de la sécurisation de votre réseau.
Passer d'un antivirus classique à un EDR, c'est passer d'une logique de filtre à une logique de surveillance. Avant de choisir un produit, posez-vous surtout la question de qui suivra les alertes : c'est souvent là que se joue l'efficacité réelle.
