- L’antivirus détecte des menaces déjà connues (signatures) ; l’EDR détecte aussi des comportements suspects inédits.
- L’EDR ajoute une capacité de réponse (isolation, investigation) que l’antivirus n’a pas.
- Dans la majorité des offres actuelles, l’EDR inclut déjà les fonctions antivirus — ce n’est pas un choix « soit/soit » mais une évolution.
« Nous avons déjà un antivirus, pourquoi payer pour un EDR ? » — c’est la question la plus fréquente que nous entendons chez les dirigeants de PME. La réponse tient en une phrase : l’antivirus protège contre ce qu’on connaît déjà, l’EDR protège aussi contre ce qu’on ne connaît pas encore. Ce guide détaille précisément où se situe la frontière entre les deux.
1. Deux logiques de détection différentes
L’antivirus traditionnel compare chaque fichier qui arrive sur la machine à une base de signatures : une empreinte numérique de malwares déjà identifiés par l’éditeur. C’est rapide, peu gourmand en ressources, et efficace contre la grande masse des menaces génériques déjà répertoriées.
L’EDR ajoute une couche d’analyse comportementale : il ne regarde pas seulement « ce fichier est-il connu comme malveillant », mais « cette suite d’actions est-elle cohérente avec un usage normal ». Un traitement de texte qui lance soudainement un interpréteur de commandes système est un comportement anormal, même si aucun des deux programmes n’est en soi malveillant.
2. Tableau comparatif détaillé
| Critère | Antivirus classique | EDR |
|---|---|---|
| Base de détection | Signatures + heuristique basique | Signatures + comportement + IA/ML |
| Détection zero-day | Faible | Significativement meilleure |
| Attaques sans fichier (fileless) | Quasi invisible | Détectable via l’analyse des process |
| Vue sur l’historique d’une attaque | Aucune ou minimale | Timeline complète et exportable |
| Action en cas de détection | Suppression/quarantaine du fichier | Isolation réseau, kill process, rollback |
| Investigation forensic | Non | Oui, native dans la console |
| Ressources machine | Faible | Faible à modérée selon l’éditeur |
| Compétences requises pour l’exploiter pleinement | Aucune | Modérées (ou déléguées en MDR) |
| Coût typique | Bas | Modéré, par poste/mois |
3. Un exemple concret : la même attaque, deux réactions
Un salarié ouvre une pièce jointe Excel piégée. La macro qu’elle contient lance PowerShell en tâche de fond, qui télécharge un second fichier depuis un serveur externe et commence à chiffrer les documents partagés du service.
Avec un antivirus seul :
- Le fichier Excel n’est pas reconnu comme malveillant (macro légitime en apparence).
- PowerShell est un outil Windows légitime : rien n’est bloqué à ce stade.
- Le chiffrement commence sans alerte, jusqu’à ce que les fichiers deviennent illisibles — trop tard.
Avec un EDR :
- L’enchaînement Excel → PowerShell → téléchargement externe est repéré comme anormal.
- Une alerte est levée, potentiellement avant le début du chiffrement massif.
- La machine peut être isolée automatiquement du réseau, limitant la propagation aux autres postes.
4. L’EDR remplace-t-il l’antivirus ?
Dans la quasi-totalité des offres actuelles du marché, oui : l’EDR intègre nativement les fonctions de protection préventive qui constituaient auparavant l’antivirus (blocage à l’exécution, filtrage). Faire tourner un antivirus tiers en parallèle d’un EDR est généralement déconseillé : les deux agents peuvent entrer en conflit et dégrader les performances de la machine.
5. Quand l’antivirus seul reste-t-il suffisant ?
Il existe des contextes où un antivirus seul, bien configuré et à jour, reste une réponse raisonnable : usage strictement personnel, machine isolée sans accès à des données sensibles, budget très contraint sur une structure d’une ou deux personnes sans exposition particulière. Dès qu’une entreprise gère des données clients, des paiements, ou dépend de son système d’information pour produire, la question de l’EDR mérite d’être posée sérieusement.
6. Checklist : ai-je besoin de passer à l’EDR ?
- Mon entreprise gère des données clients, RH ou financières sensibles.
- Une interruption d’activité de plusieurs jours aurait un impact financier significatif.
- Je n’ai aucune visibilité sur ce qui se passe réellement sur mes postes en cas d’alerte.
- Un client, partenaire ou appel d’offres m’a déjà demandé des garanties de cybersécurité.
- Mon antivirus actuel a plus de 3 ans ou n’a jamais été audité.
Trois réponses positives ou plus : le passage à l’EDR mérite d’être étudié sérieusement à court terme.
❓ FAQ
❓ Puis-je garder mon antivirus actuel et ajouter un EDR à côté ?
Techniquement possible mais déconseillé dans la plupart des cas : cela peut créer des conflits et des ralentissements. La bascule complète vers un EDR (qui inclut l’antivirus) est la pratique recommandée.
❓ L’EDR est-il plus cher qu’un antivirus ?
Oui, généralement, car il fournit davantage de fonctionnalités et souvent un service de surveillance associé. L’écart de prix doit être mis en regard du coût potentiel d’une attaque non détectée.
❓ Un EDR peut-il générer des faux positifs ?
Oui, c’est une limite connue de la détection comportementale. Un bon réglage initial et un suivi régulier des alertes permettent de réduire ce phénomène avec le temps.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.
