EDR : définition, fonctionnement et rôle dans la cybersécurité moderne

Un EDR, pour Endpoint Detection and Response, est une solution de sécurité qui collecte en continu la télémétrie des postes de travail et des serveurs, détecte les comportements suspects par analyse comportementale, et permet aux équipes sécurité d’investiguer puis de répondre à un incident depuis une console unique. Il ne remplace pas l’antivirus : il change de logique, en passant de la reconnaissance de fichiers connus à la détection de séquences d’actions anormales. Cette page réunit son fonctionnement interne, ses différences avec l’antivirus, le XDR et le SIEM, ainsi que l’ensemble des analyses ITPro rattachées au sujet, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce qu’un EDR ?

Définition. Un EDR est une solution de détection et de réponse sur les terminaux, qui enregistre l’activité des endpoints (processus, connexions réseau, accès fichiers, modifications de registre), identifie les séquences correspondant à des comportements d’attaque, et fournit aux analystes les moyens d’investiguer et de contenir l’incident à distance.

Ce que l’EDR apporte à une stratégie de sécurité

L’antivirus répond à une question binaire : ce fichier est-il connu comme malveillant ? L’EDR répond à une question différente : cette séquence d’actions est-elle cohérente avec un usage légitime ? La distinction est décisive face aux techniques actuelles, où l’attaquant n’introduit souvent aucun binaire étranger.

Cette capacité fait de l’EDR le socle de détection sur lequel repose l’essentiel de la réponse aux attaques par rançongiciel, dont la phase de préparation s’étale sur plusieurs jours avant le chiffrement.

Pourquoi l’antivirus traditionnel ne suffit plus

Trois évolutions ont rendu la détection par signature insuffisante. Le polymorphisme génère des variantes uniques à chaque déploiement, ce qui vide la base de signatures de son sens. Les attaques sans fichier s’exécutent en mémoire, sans jamais écrire sur le disque. Enfin, les intrusions les plus abouties n’utilisent que des outils légitimes déjà présents dans l’environnement, technique désignée sous le terme Living off the Land. Aucun de ces trois scénarios ne produit de fichier à reconnaître.

Comment fonctionne une solution EDR ?

Collecte de la télémétrie

Un agent installé sur chaque endpoint enregistre les événements système : créations de processus et filiation, connexions réseau sortantes, écritures en base de registre, chargements de bibliothèques, accès fichiers, authentifications. Cette télémétrie est remontée vers une console centrale, en général en mode cloud. Le volume collecté conditionne à la fois la qualité de détection et le coût de la solution.

Analyse comportementale et détection

Les moteurs comparent les séquences observées à des modèles de comportement d’attaque, souvent cartographiés sur le référentiel MITRE ATT&CK. Un processus bureautique qui lance un interpréteur de commandes, qui lui-même établit une connexion sortante vers un domaine récemment enregistré, ne constitue pas une signature : c’est un enchaînement anormal. C’est ce type de chaîne que l’EDR est conçu pour lever.

L’apprentissage automatique intervient à deux niveaux : classification des binaires inconnus, et détection d’écarts par rapport à la ligne de base d’un parc. Il réduit le volume de règles à maintenir sans supprimer le besoin d’analyse humaine.

Corrélation et investigation

L’intérêt opérationnel d’un EDR se mesure moins à sa détection qu’à sa capacité d’investigation. Reconstituer l’arbre des processus, remonter à l’origine de l’exécution, identifier les postes ayant présenté le même indicateur : ces fonctions déterminent le temps de qualification d’un incident. Un EDR sans historique de télémétrie exploitable oblige à repartir de l’analyse forensique traditionnelle.

Réponse et remédiation

Les actions attendues : isolation réseau du poste depuis la console, arrêt d’un processus, suppression ou mise en quarantaine d’un artefact, exécution d’un script de remédiation, restauration de fichiers modifiés. L’isolation à distance est la fonction la plus structurante : elle transforme un délai d’intervention de plusieurs heures en une action de quelques secondes.

Quelles menaces un EDR permet-il de détecter ?

• Ransomware. Suppression des clichés instantanés, énumération massive de fichiers, chiffrement en série. Ces comportements sont détectables avant que le parc entier ne soit atteint.
• Malwares avancés et chargeurs. Injection de code dans un processus légitime, persistance par tâche planifiée ou clé de registre. Voir notre section logiciels malveillants.
• Vol d’identifiants. Accès au processus LSASS, extraction de secrets, usage de comptes hors de leur périmètre habituel.
• Mouvements latéraux. Exécution distante via WMI ou PsExec, authentifications inhabituelles entre postes.
• Attaques sans fichier. Exécution en mémoire, scripts PowerShell obfusqués, abus de binaires système signés.
• Techniques de contournement. Tentatives de désactivation de l’agent, exploitation d’un pilote vulnérable signé pour neutraliser les défenses.

EDR, antivirus et EPP : quelles différences ?

L’EPP (Endpoint Protection Platform) désigne la couche de protection préventive : antivirus nouvelle génération, pare-feu hôte, contrôle applicatif. Sur le marché, EPP et EDR sont aujourd’hui livrés dans le même agent. La distinction reste utile à l’achat, car les deux fonctions ne se pilotent pas de la même façon.

EDR, XDR et SIEM : comment ils s’articulent

Ces trois briques ne se substituent pas. L’EDR fournit la profondeur sur le poste, le XDR élargit le champ de corrélation, le SIEM assure la conservation et la traçabilité réglementaire, notamment dans le cadre de la conformité NIS2. L’ensemble n’a de valeur que s’il est exploité par un SOC interne ou par un service managé de type MDR.

Choisir et exploiter un EDR

Les critères qui font réellement la différence en exploitation :

• Couverture du parc. Un EDR déployé sur 80 % des postes laisse 20 % d’angles morts, généralement les serveurs anciens et les postes hors domaine. C’est le premier point à vérifier, avant toute comparaison de moteurs.
• Qualité de la télémétrie et durée de rétention. Une rétention de sept jours ne permet pas d’investiguer une intrusion vieille de trois semaines.
• Capacité de réponse à distance sur les systèmes réellement présents dans le parc, y compris Linux et macOS.
• Intégration avec le SIEM, les outils d’orchestration et l’annuaire.
• Modèle d’exploitation. C’est le critère décisif. Une console non supervisée hors heures ouvrées laisse passer les déploiements de nuit et de week-end, moment privilégié des opérateurs de ransomware. Sans équipe capable de traiter les alertes en continu, le recours à un service MDR n’est pas une option de confort mais une condition de fonctionnement.

Les limites sont connues : volume d’alertes, faux positifs sur les outils d’administration, besoin d’expertise. Elles se traitent par la définition d’exclusions maîtrisées et par une phase d’apprentissage du parc, jamais par la désactivation de règles.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.