EDR
Logiciel installé sur chaque poste et serveur qui détecte les comportements suspects et permet d'isoler une machine attaquée.
Définition complète
Un EDR (Endpoint Detection and Response, détection et réponse sur les terminaux) est un logiciel installé sur les ordinateurs, serveurs et parfois smartphones. Il enregistre en continu ce qui s'y passe (programmes lancés, connexions réseau, modifications de fichiers) et repère les comportements anormaux, même lorsqu'aucun virus connu n'est en jeu.
Là où un antivirus classique compare surtout les fichiers à une liste de menaces connues, l'EDR analyse des enchaînements d'actions : un tableur qui lance une commande système, un compte qui chiffre des centaines de fichiers en quelques minutes. Il permet ensuite de réagir à distance : isoler la machine du réseau, arrêter un processus, collecter des traces pour l'enquête.
Un EDR produit des alertes qu'il faut lire et traiter. Sans personne pour les surveiller, y compris la nuit et le week-end, son efficacité chute fortement : c'est pourquoi beaucoup de PME le confient à un service managé (MDR ou SOC). En France, certains EDR ont obtenu une certification de sécurité de premier niveau (CSPN) délivrée par l'ANSSI.
Source : NIST, glossaire du Computer Security Resource Center
Exemple concret
Un cabinet d'expertise comptable de 35 salariés à Nantes équipe ses postes d'un EDR. Un vendredi à 22 h, l'outil détecte qu'un poste du service paie exécute un script qui désactive les sauvegardes Windows puis commence à renommer des fichiers en masse. L'EDR isole automatiquement le poste du réseau. Le lundi, le prestataire constate que le rançongiciel n'a touché qu'une seule machine au lieu des serveurs de l'entreprise.
Comment se protéger
- Déployer l'EDR sur 100 % des postes et serveurs, y compris les machines des dirigeants et les serveurs anciens : une machine oubliée suffit à l'attaquant
- Prévoir qui traite les alertes 24 h/24 et 7 j/7, en interne ou via un service MDR
- Activer le mode blocage (et pas seulement l'alerte) une fois la phase de test terminée
- Protéger la console d'administration de l'EDR par une authentification multifacteur
- Vérifier régulièrement qu'aucun agent n'est désactivé ou hors ligne depuis plusieurs jours
- Tester la réaction avec un exercice ou une simulation d'attaque au moins une fois par an
Questions fréquentes
La plupart des EDR du marché intègrent une protection antivirus et la remplacent. L'inverse n'est pas vrai : un antivirus seul ne donne ni la visibilité ni les moyens de réaction d'un EDR.
Oui, à condition de confier la surveillance des alertes à un prestataire (service MDR ou SOC externalisé). Un EDR dont personne ne lit les alertes protège beaucoup moins qu'on ne le croit.
L'EDR surveille les terminaux (postes, serveurs). Le XDR étend la détection à d'autres sources, comme la messagerie, les identités ou le cloud, et corrèle ces signaux entre eux.
Termes liés
Antivirus
Logiciel détectant et supprimant les programmes malveillants.
MDR
Service externalisé qui fournit l'outil de détection, surveille les alertes en continu et intervient en cas d'attaque.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
SOC (centre opérationnel de sécurité)
Équipe et outils chargés de surveiller en continu le système d'information pour détecter les incidents et y réagir.
Vous avez besoin d'un expert en EDR ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.