Défense
EDR et XDR
Aussi appeléEDRXDREndpoint Detection and ResponseExtended Detection and Response
En résumé
L’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance. Le XDR étend ce principe en corrélant les données de plusieurs sources : messagerie, identités, réseau, cloud.
EDR et XDR, en détail
EDR signifie Endpoint Detection and Response. Contrairement à un antivirus classique, qui compare des fichiers à des signatures connues, l’EDR observe en continu les processus, les connexions, les modifications du système et les appels sensibles, puis juge les comportements. Il conserve un historique qui permet d’enquêter après coup, et offre des actions de réponse : isoler la machine du réseau, arrêter un processus, collecter des preuves.
Le XDR (Extended Detection and Response) agrège dans une même plateforme les signaux de plusieurs couches, ce qui permet de relier un courriel d’hameçonnage : définition, une connexion inhabituelle et un processus suspect en un seul incident. Le périmètre exact du terme varie selon les éditeurs, et il faut vérifier quelles sources sont intégrées et ce qui est corrélé plutôt qu’affiché côte à côte. Ces outils ne servent que s’ils sont exploités. Une alerte non traitée ne protège de rien : il faut une équipe ou un service (SOC : définition) qui surveille, qualifie et agit, y compris la nuit et le week-end. Les attaquants cherchent d’ailleurs à désactiver l’agent, à utiliser des outils légitimes qu’il ne bloque pas, ou à agir sur des machines non couvertes. La couverture de l’agent sur tout le parc est un indicateur à suivre.
Qu’est-ce que cela change pour vous ?
Un EDR est un outil de détection et de réponse, pas une garantie contre l’intrusion. Son efficacité dépend de la couverture du parc, de la qualité de sa configuration et surtout de la capacité de quelqu’un à traiter ses alertes à temps.
Exemple illustratif (fictif)
Imaginons un incident dans une entreprise de services : l’EDR signale un processus d’administration lancé depuis un poste de comptabilité à deux heures du matin. Si l’alerte n’est traitée que le lendemain, après le chiffrement des serveurs, l’outil aura vu mais personne n’aura regardé.
La confusion fréquente
Penser qu’un EDR remplace la segmentation, la gestion des droits ou la supervision humaine. Il détecte des comportements sur les machines qui l’exécutent ; il ne réduit ni les chemins d’attaque ni la nécessité d’une personne pour agir.
Qui peut vous aider à le mettre en place ?
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
- Réponse à incident : la prestationComprendre, contenir, puis remettre en service, dans cet ordre.
Aller plus loin
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ArticleSauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- AttaqueRançongiciel : définitionUn logiciel malveillant qui chiffre les données et systèmes d’une organisation pour en interdire l’usage, puis exige un paiement en échange de leur restitution.
- AttaqueMouvement latéral : définitionL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début