XDR
Plateforme qui corrèle les alertes des postes, de la messagerie, des identités et du cloud pour détecter une attaque dans son ensemble.
Définition complète
Le XDR (Extended Detection and Response, détection et réponse étendues) prolonge le principe de l'EDR au-delà des seuls ordinateurs. Il rassemble les signaux de plusieurs couches du système d'information : postes et serveurs, messagerie, comptes utilisateurs, applications cloud, parfois réseau.
Son intérêt est la corrélation. Pris isolément, un email suspect, une connexion depuis un pays inhabituel et un fichier exécuté sur un poste ne déclenchent parfois que des alertes mineures. Le XDR les relie en un seul incident, ce qui fait gagner du temps d'analyse et permet une réponse coordonnée (bloquer le compte, supprimer l'email dans toutes les boîtes, isoler le poste).
Le terme recouvre des offres très différentes selon les éditeurs : certaines ne corrèlent que leurs propres produits, d'autres acceptent des sources tierces. Comme pour l'EDR, un XDR suppose que quelqu'un analyse les incidents qu'il remonte.
Source : NIST, glossaire du Computer Security Resource Center (SP 1800-30)
Exemple concret
Une PME industrielle de 120 salariés près de Lyon utilise Microsoft 365 et un XDR. Un commercial saisit son mot de passe sur une fausse page de connexion. Quelques minutes plus tard, son compte se connecte depuis l'étranger et crée une règle de transfert automatique des emails. Le XDR relie l'email de hameçonnage, la connexion anormale et la règle de transfert, désactive la session et alerte le prestataire, qui réinitialise le compte avant qu'une fausse demande de virement ne parte vers un client.
Comment se protéger
- Faire l'inventaire des sources à connecter (postes, messagerie, annuaire, cloud) avant de choisir une offre
- Vérifier que le XDR accepte les outils déjà en place, pas seulement ceux du même éditeur
- Définir à l'avance les actions automatiques autorisées (blocage de compte, isolement de poste)
- Confier l'analyse des incidents à une équipe disponible en permanence, interne ou externalisée
- Contrôler que les journaux sont conservés assez longtemps pour mener une enquête après coup
Questions fréquentes
Un EDR bien supervisé couvre déjà une grande partie des risques. Le XDR devient intéressant lorsque l'entreprise dépend fortement de la messagerie et d'applications cloud, où commencent aujourd'hui de nombreuses attaques.
Non. Le SIEM centralise et conserve les journaux de toutes sortes d'équipements, avec des règles à écrire soi-même. Le XDR est plus orienté détection et réponse prêtes à l'emploi, sur un périmètre souvent plus restreint.
Termes liés
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
EDR
Logiciel installé sur chaque poste et serveur qui détecte les comportements suspects et permet d'isoler une machine attaquée.
MDR
Service externalisé qui fournit l'outil de détection, surveille les alertes en continu et intervient en cas d'attaque.
SIEM
Outil qui centralise et analyse les journaux d'activité de tout le système d'information pour repérer les incidents de sécurité.
Vous avez besoin d'un expert en XDR ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.