- Un EDR (Endpoint Detection and Response) surveille en continu les postes et serveurs pour détecter des comportements suspects, pas seulement des fichiers déjà connus comme malveillants.
- Contrairement à l’antivirus classique, il permet d’agir en temps réel : isoler une machine, bloquer un processus, revenir en arrière.
- Pour une PME, l’EDR est aujourd’hui considéré comme un socle de sécurité, au même titre que la sauvegarde ou le pare-feu.
Un ransomware ne commence presque jamais par un « gros événement » visible. Il commence par une pièce jointe ouverte un vendredi après-midi, un mot de passe réutilisé, un processus Windows détourné pendant quelques minutes avant que personne ne s’en aperçoive. C’est précisément ce que l’antivirus traditionnel ne voit pas — et ce que l’EDR est conçu pour repérer.
Ce guide s’adresse aux dirigeants de PME, responsables informatiques et indépendants qui veulent comprendre, sans jargon inutile, ce qu’est un EDR, comment il fonctionne concrètement, et comment évaluer s’il est temps d’en déployer un dans leur structure.
1. Qu’est-ce qu’un EDR ?
EDR signifie Endpoint Detection and Response, soit « détection et réponse au niveau des postes de travail ». C’est une catégorie de logiciel de cybersécurité installée sur chaque terminal de l’entreprise (ordinateur, serveur, parfois mobile) qui a un objectif simple à énoncer mais complexe à réaliser : repérer une activité malveillante même quand elle ne correspond à aucune signature de virus connue, puis permettre d’y répondre rapidement.
Le terme a été popularisé vers 2013 par le cabinet Gartner pour désigner une nouvelle génération d’outils, nés du constat que les antivirus traditionnels, basés sur des bases de signatures, laissaient passer une part croissante des attaques modernes : ransomwares polymorphes, attaques « sans fichier » (fileless), mouvements latéraux après une intrusion initiale.
Les trois piliers d’un EDR
| Pilier | Ce qu’il fait concrètement |
|---|---|
| Visibilité continue | Collecte en temps réel des événements sur chaque poste : processus lancés, connexions réseau, modifications de fichiers, clés de registre, commandes exécutées. |
| Détection comportementale | Analyse ces événements (souvent via des règles + de l’apprentissage automatique) pour repérer des enchaînements suspects, même inédits. |
| Réponse et investigation | Permet d’isoler une machine du réseau, de tuer un processus, de restaurer un fichier chiffré, et de reconstituer la chronologie complète d’une attaque. |
2. Pourquoi l’antivirus classique ne suffit plus
L’antivirus traditionnel fonctionne principalement par signatures : il compare chaque fichier à une base de « empreintes » de virus connus. Ce modèle a deux limites structurelles.
- Il ne détecte que ce qu’il connaît déjà — un ransomware légèrement modifié peut passer inaperçu le temps que l’éditeur mette à jour sa base.
- Il raisonne fichier par fichier, alors qu’une part croissante des attaques n’installe aucun fichier malveillant : elle détourne des outils déjà présents sur la machine (PowerShell, WMI, outils d’administration à distance).
L’EDR complète cette approche en observant le comportement global du système dans le temps, pas seulement l’instant où un fichier arrive sur le disque.
3. Comment fonctionne un EDR au quotidien
3.1 Un agent installé sur chaque poste
Un petit programme (agent) tourne en arrière-plan sur chaque machine protégée. Il collecte en continu la télémétrie : processus créés, fichiers modifiés, connexions réseau sortantes, appels systèmes sensibles. Ces données sont envoyées vers une console centrale, le plus souvent hébergée dans le cloud de l’éditeur.
3.2 Analyse et corrélation
La console applique des règles de détection et des modèles de comportement pour repérer des séquences suspectes : par exemple, un document Word qui lance PowerShell, qui lui-même télécharge un fichier depuis une adresse inconnue, puis chiffre des fichiers en masse. Prise isolément, chaque étape peut sembler anodine ; l’enchaînement, lui, est un indicateur fort de compromission.
3.3 Réponse (automatique ou assistée)
Selon la configuration et la gravité, l’EDR peut réagir seul (isolement réseau immédiat de la machine, arrêt du processus) ou générer une alerte pour qu’un analyste — interne ou via un SOC externalisé — valide et déclenche la réponse.
4. EDR vs Antivirus : tableau comparatif
Un article dédié détaille cette comparaison point par point (voir « Pour aller plus loin »). Voici la synthèse essentielle :
| Critère | Antivirus classique | EDR |
|---|---|---|
| Méthode de détection | Signatures de malwares connus | Comportement + signatures + IA |
| Détection des attaques « sans fichier » | Faible à nulle | Oui |
| Visibilité historique | Très limitée | Chronologie complète de l’attaque |
| Capacité de réponse | Suppression/quarantaine du fichier | Isolation machine, kill process, rollback |
| Investigation post-incident | Quasi inexistante | Centrale (forensic) |
| Charge de gestion | Faible | Modérée à élevée (souvent externalisée) |
5. Les fonctionnalités clés à connaître
| Fonctionnalité | À quoi elle sert |
|---|---|
| Isolation réseau à distance | Couper une machine compromise du réseau en un clic, sans débrancher physiquement le câble. |
| Threat hunting | Recherche manuelle proactive d’indices de compromission, même en l’absence d’alerte. |
| Rollback / restauration | Annuler les modifications faites par un ransomware sur certains fichiers (selon éditeurs). |
| Timeline d’attaque | Reconstituer heure par heure ce qui s’est passé, utile pour la déclaration CNIL/assurance. |
| Intégration SIEM/XDR | Croiser les alertes postes avec celles du réseau, de la messagerie, du cloud. |
| Scoring de risque | Prioriser les alertes selon leur gravité réelle pour éviter la fatigue d’alerte. |
6. Pourquoi les PME sont concernées
Beaucoup de dirigeants de petites structures pensent, à tort, être « trop petits pour intéresser » un attaquant. En pratique, la majorité des attaques par ransomware visant les PME ne sont pas ciblées individuellement : elles exploitent des vulnérabilités ou des mots de passe exposés de façon automatisée et massive, à l’échelle d’Internet entier. La taille de l’entreprise n’est pas un critère de sélection pour ce type d’attaque opportuniste.
Les conséquences, elles, sont souvent disproportionnées pour une PME : arrêt de production, perte de données clients, coût de remise en état, parfois obligation de déclaration à la CNIL si des données personnelles sont concernées. C’est ce déséquilibre entre le coût d’une attaque et le coût d’une protection de base qui justifie l’intérêt croissant pour l’EDR, y compris dans des structures de moins de 50 salariés.
7. Comment choisir un EDR : les grands critères
Le choix d’un EDR dépend fortement de la taille de la structure et des ressources internes disponibles. Un article dédié (« Comment choisir un EDR ») détaille une méthodologie complète ; voici les critères prioritaires à connaître :
- Couverture des systèmes utilisés (Windows, macOS, Linux, serveurs) — tous les EDR ne couvrent pas tout de façon égale.
- Mode de gestion : autonome (géré en interne) ou managé (MDR — un prestataire surveille 24/7 à votre place).
- Facilité de déploiement et impact sur les performances des postes.
- Qualité du support en français et délai de réponse en cas d’incident réel.
- Budget : le coût est généralement par poste et par mois, à mettre en regard du coût d’une attaque évitée.
- Compatibilité avec votre antivirus/pare-feu existant, ou remplacement complet.
8. EDR et conformité réglementaire
Sans remplacer un conseil juridique, il est utile de savoir que la directive européenne NIS2, en cours de transposition, élargit le périmètre des entreprises soumises à des obligations de cybersécurité renforcées, au-delà des seuls grands groupes et opérateurs critiques. Disposer d’une capacité de détection et de réponse documentée — ce que fournit un EDR — devient un élément de démonstration de conformité de plus en plus regardé, y compris par les assureurs cyber lors de la souscription ou du renouvellement d’une police.
9. Déploiement : les grandes étapes
| Étape | Ce qu’elle implique |
|---|---|
| 1. Cartographie du parc | Lister tous les postes, serveurs, OS et versions à couvrir. |
| 2. Choix du mode de gestion | Décider géré en interne ou en MDR externalisé selon les ressources disponibles. |
| 3. Déploiement pilote | Installer sur un petit groupe de machines représentatif avant généralisation. |
| 4. Réglage des politiques | Ajuster les seuils d’alerte pour limiter les faux positifs sans réduire la détection. |
| 5. Généralisation | Déployer sur l’ensemble du parc, avec fenêtre de surveillance renforcée les premières semaines. |
| 6. Procédure de réponse | Définir qui fait quoi en cas d’alerte critique, y compris en dehors des heures ouvrées. |
10. Erreurs fréquentes à éviter
- Déployer l’EDR puis ne jamais consulter la console : un EDR non surveillé n’apporte quasiment aucune valeur ajoutée par rapport à un antivirus.
- Sous-dimensionner la couverture : oublier les serveurs, les postes des dirigeants ou les machines des prestataires externes connectés au réseau.
- Laisser les alertes s’accumuler sans procédure de réponse claire, jusqu’à l’incident réel.
- Choisir uniquement sur le prix, sans vérifier la qualité du support en cas d’incident à 22h un dimanche.
- Croire que l’EDR remplace la sauvegarde : ce sont deux protections complémentaires, pas substituables.
11. Checklist complète — Suis-je prêt pour un EDR ?
- J’ai un inventaire à jour de tous mes postes et serveurs.
- Je sais qui, en interne, pourra consulter les alertes régulièrement (ou j’envisage un mode managé).
- J’ai identifié les systèmes non couverts par l’EDR envisagé (OS anciens, IoT, etc.).
- J’ai vérifié la compatibilité avec mon antivirus/pare-feu actuel.
- J’ai défini une procédure minimale de réponse à incident (qui contacter, dans quel ordre).
- J’ai vérifié les clauses de mon assurance cyber sur ce sujet.
- J’ai prévu une phase pilote avant généralisation à tout le parc.
Cette liste est aussi disponible en version imprimable dans la rubrique Outils du site.
12. FAQ — Les questions les plus posées sur l’EDR
❓ Un EDR remplace-t-il un antivirus ?
Dans la plupart des offres actuelles, l’EDR intègre déjà les fonctions antivirus (protection préventive) en plus de la détection comportementale. Il remplace donc généralement l’antivirus traditionnel plutôt que de s’y ajouter, mais vérifiez ce point précis avec l’éditeur choisi.
❓ Un EDR ralentit-il les postes de travail ?
L’impact existe mais reste généralement modéré sur du matériel récent. Les éditeurs sérieux publient des benchmarks de performance ; il est recommandé de tester en conditions réelles sur un échantillon avant généralisation.
❓ Combien coûte un EDR pour une PME ?
Les tarifs sont très variables selon l’éditeur, le nombre de postes et le niveau de service (autonome ou managé). Le mode de facturation est presque toujours mensuel, par poste protégé.
❓ Faut-il un expert en interne pour gérer un EDR ?
Pas obligatoirement : le mode MDR (Managed Detection and Response) permet de confier la surveillance 24/7 à un prestataire, ce qui est la solution la plus courante pour les PME sans équipe sécurité dédiée.
❓ L’EDR protège-t-il contre le phishing ?
Indirectement : il ne bloque pas l’e-mail de phishing lui-même, mais il peut détecter et stopper les actions malveillantes qui suivent un clic (téléchargement, exécution de script).
❓ EDR, XDR, MDR : quelle différence ?
L’EDR couvre les postes et serveurs. Le XDR élargit la détection au réseau, à la messagerie et au cloud. Le MDR est un mode de service (surveillance externalisée), applicable à l’EDR comme au XDR. Des guides dédiés détaillent chacun de ces sujets.
❓ Un EDR est-il utile pour une entreprise de 5 salariés ?
Oui si l’entreprise dépend fortement de son informatique pour fonctionner (facturation, production, données clients). La taille de l’équipe n’est pas le facteur déterminant, l’exposition au risque l’est davantage.
❓ Que se passe-t-il concrètement quand l’EDR détecte une menace ?
Selon la configuration : une alerte est envoyée à l’équipe ou au prestataire MDR, et la machine peut être automatiquement isolée du réseau en attendant l’analyse, pour empêcher toute propagation.
Conclusion
L’EDR n’est plus un outil réservé aux grandes entreprises dotées d’un service informatique étoffé. Porté par la généralisation du télétravail, la sophistication croissante des ransomwares et les nouvelles exigences réglementaires (NIS2) et assurantielles, il devient un composant standard de la protection des PME, au même titre que la sauvegarde régulière ou le pare-feu.
La question n’est plus tant « faut-il un EDR » que « quel EDR, avec quel mode de gestion, et à quelle échéance ». Les guides suivants de cette série vous aident à répondre point par point à ces questions.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.
