L’EDR (Endpoint Detection and Response) regroupe les outils qui détectent les comportements malveillants sur les postes de travail et les serveurs, puis permettent d’y répondre à distance. Le XDR (Extended Detection and Response) élargit cette corrélation à d’autres couches du système d’information : messagerie, identités, réseau et services cloud.
De l’antivirus par signatures à la télémétrie des terminaux
Un antivirus classique compare les fichiers à une base de signatures connues. Cette approche garde son utilité contre les codes déjà répertoriés, mais échoue face aux binaires recompilés pour chaque campagne, aux attaques qui n’écrivent rien sur le disque ou au détournement d’outils d’administration légitimes.
L’EDR repose sur un principe différent. Un agent installé sur chaque machine enregistre en continu les événements significatifs : créations de processus, connexions réseau, modifications de la base de registre, accès à la mémoire d’autres programmes. Cette télémétrie remonte vers une plateforme centrale où des règles d’analyse comportementale repèrent des enchaînements suspects : un logiciel bureautique qui lance un interpréteur de commandes, lequel télécharge un exécutable. Les éditeurs cartographient fréquemment leurs détections sur le référentiel MITRE ATT&CK.
Le volet « réponse » du sigle recouvre des actions déclenchées depuis la console ; un analyste peut :
- isoler une machine du réseau tout en conservant le canal de gestion vers la console ;
- interrompre un processus ou placer un fichier en quarantaine ;
- collecter des artefacts (journaux, contenu mémoire, fichiers) pour l’investigation ;
- appliquer des actions de remédiation à distance, poste par poste ou en masse.
XDR : la corrélation étendue au-delà du poste
Lors d’un hameçonnage réussi, une partie des traces se trouve ailleurs que sur le terminal : le courriel piégé est passé par la messagerie et la charge utile a ensuite ouvert une connexion sortante. Un XDR rapproche ces événements issus de sources distinctes (passerelle de messagerie, fournisseur d’identité, sondes réseau, journaux des services cloud) pour reconstituer un incident unique au lieu de plusieurs alertes traitées séparément.
Deux familles de produits coexistent : les suites intégrées d’un même éditeur et les XDR dits ouverts, qui agrègent des sources tierces au prix d’un travail de connecteurs. La couche identité pèse d’un poids particulier dans les architectures Zero Trust, où chaque accès est vérifié : une connexion inhabituelle y devient un signal exploitable au même titre qu’un binaire suspect.
Rançongiciels et mouvements latéraux : l’apport concret
Les opérateurs à l’origine des attaques par rançongiciel ne chiffrent pas dès la première minute. Entre l’accès initial et le déclenchement, ils énumèrent le réseau, élèvent leurs privilèges, se déplacent de machine en machine et repèrent les sauvegardes. Chacune de ces étapes laisse des traces qu’un EDR peut détecter : usage inhabituel d’outils d’administration, suppression des copies instantanées de volumes, création de tâches planifiées inattendues, puis chiffrement massif de fichiers.
Le mouvement latéral s’appuie le plus souvent sur des comptes d’administration compromis, ce qui renvoie directement à la gestion des comptes à privilèges : un compte d’administration peu exposé sur les postes ralentit d’autant la progression de l’attaquant. La CISA regroupe alertes et guides sur ce type d’intrusion sur sa page StopRansomware. Une détection précoce raccourcit la fenêtre d’action de l’adversaire, sans dispenser des sauvegardes hors ligne dont les attaques récentes ont rappelé le caractère décisif.
Ce que ces outils ne couvrent pas
Un agent doit être installé pour voir quelque chose. Les terminaux non gérés restent des angles morts : équipements personnels, machines de prestataires, serveurs obsolètes ou systèmes techniques qui n’acceptent aucun agent. Un attaquant disposant de privilèges élevés cherchera par ailleurs à désactiver ou à contourner l’agent lui-même.
Le réglage des détections constitue un chantier permanent. Les règles livrées par l’éditeur produisent des faux positifs sur les outils internes d’un établissement financier, et les exclusions ajoutées pour réduire le bruit ouvrent autant de trous dans la couverture lorsqu’elles sont trop larges. L’ENISA publie un panorama annuel de la menace qui documente l’évolution continue des modes opératoires ; les attaques assistées par IA, en automatisant la production de leurres et de variantes, accroissent encore le volume d’alertes à trier.
Chaque détection demande enfin une qualification humaine, tenant compte du contexte de la machine et de la légitimité du processus observé.
L’articulation avec le SOC, le SIEM et la réponse à incident
L’exploitation de ces consoles repose sur des équipes dédiées. La surveillance et la qualification des alertes relèvent du SOC (Security Operation Center), dont l’EDR et le XDR sont devenus les outils quotidiens. Le SIEM conserve un rôle propre : il collecte les journaux d’un périmètre plus large, applications métier et équipements réseau notamment, et répond à des besoins de conservation et de conformité que ces consoles ne couvrent pas. Les deux dispositifs s’alimentent mutuellement, les alertes de l’un déclenchant des recherches dans l’autre.
Quand une détection se confirme, l’investigation approfondie et la remédiation reviennent aux équipes de réponse à incident, selon la répartition des rôles entre CSIRT, CERT et SOC. Les indicateurs issus de la threat intelligence enrichissent les règles de détection, tandis que les avis et alertes du CERT-FR se traduisent en recherches rétrospectives dans la télémétrie. Certains établissements réunissent l’ensemble de ces fonctions au sein d’un cyber fusion center.
Les environnements bureautiques cloud, un périmètre à part
Une partie des événements de sécurité ne se produit plus sur le poste. Dans les suites bureautiques hébergées, une règle de transfert ajoutée discrètement sur une boîte de messagerie, un consentement accordé à une application tierce ou une connexion depuis une localisation improbable ne laissent aucune trace sur le terminal : seuls les journaux du service cloud en témoignent. La couverture XDR de la messagerie et des identités complète alors les mesures propres à la sécurisation de ces suites collaboratives. L’ANSSI a publié des recommandations sur l’architecture des systèmes de journalisation dont les principes s’appliquent aussi à la collecte de ces journaux.
Questions fréquentes sur l’EDR et le XDR
Un EDR remplace-t-il l’antivirus ?
Les deux fonctions convergent dans un même agent : la plupart des produits du marché embarquent un moteur de prévention qui bloque les codes malveillants connus, auquel s’ajoutent la télémétrie et les capacités d’investigation. Le choix porte donc rarement sur un remplacement, plutôt sur la consolidation en un agent unique.
Quelle différence entre un XDR et un SIEM ?
Le SIEM est un outil généraliste : l’exploitant choisit les journaux à ingérer et écrit lui-même ses règles de corrélation. Le XDR arrive avec des détections prêtes à l’emploi, maintenues par l’éditeur, sur un périmètre de sources plus restreint. Nombre d’organisations exploitent les deux en parallèle.
Peut-on déployer un EDR sans SOC ?
Le déploiement technique reste possible, mais les alertes demeureront sans suite si personne ne les qualifie ni ne déclenche les actions de réponse. Les organisations dépourvues d’équipe de surveillance interne se tournent souvent vers des services managés, dits MDR, dont les analystes exploitent la console pour le compte du client.
L’EDR suffit-il face aux rançongiciels ?
Il augmente nettement les chances d’intercepter une intrusion pendant sa phase préparatoire, avant le chiffrement, sans toutefois le garantir. Les guides que la CISA consacre aux rançongiciels insistent sur des sauvegardes déconnectées et testées ainsi que sur la préparation de la réponse à incident, en complément de la détection sur les terminaux.
