EDR ou antivirus : quelle différence pour une PME ?

Tous les ordinateurs d'entreprise ont une protection installée. La question est de savoir ce qu'elle détecte, et surtout ce qui se passe quand elle détecte quelque chose. Antivirus, EDR et MDR ne désignent pas la même chose.

L'antivirus classique

Il compare les fichiers à une base de menaces connues. C'est utile et nécessaire, mais limité face aux variantes nouvelles, aux attaques qui n'écrivent aucun fichier et aux outils légitimes détournés (PowerShell, logiciels d'accès à distance), qui sont aujourd'hui très utilisés par les attaquants.

Ce que l'EDR ajoute

• L'analyse du comportement : un programme qui chiffre des centaines de fichiers en quelques secondes est suspect, même s'il est inconnu.
• L'historique des événements sur le poste, pour reconstituer ce qui s'est passé.
• L'isolation à distance d'un poste compromis, qui le coupe du réseau tout en restant joignable pour l'analyse.
• La recherche des mêmes traces sur l'ensemble du parc.

Le point faible d'un EDR seul

Un EDR produit des alertes. Si personne ne les lit, notamment la nuit et le week-end, moments choisis par les attaquants, la détection ne sert à rien. Il faut aussi trier : une partie des alertes sont de fausses pistes, et les traiter demande du temps et de l'expérience.

MDR : l'EDR avec une équipe

Le MDR (Managed Detection and Response) ajoute un centre de sécurité qui reçoit les alertes 24 heures sur 24, les qualifie et déclenche les actions urgentes, comme l'isolation d'un poste. Le prestataire informatique exécute ensuite la remédiation, dans le cadre ou en complément de son contrat, et vous explique la situation.

Les questions pour choisir

• Quels systèmes sont couverts : Windows, macOS, serveurs ?
• Qui reçoit les alertes, à quelles heures, et dans quel délai sont-elles traitées ?
• Qui peut isoler un poste, et qui exécute la remédiation ?
• Quels rapports recevez-vous ?
• La solution est-elle déjà incluse dans vos licences ? Microsoft 365 Business Premium contient par exemple Defender for Business.

Ce qu'un EDR ne remplace pas

Un EDR protège les postes. Il ne remplace ni les mises à jour, ni la double authentification, ni les sauvegardes, ni la vigilance des équipes face au phishing. C'est une couche, pas une solution complète.