Qu'est-ce que l'EDR (Endpoint Detection and Response) ?

· Surveillance continue et collecte permanente de données - La solution EDR déploie des agents sur l'ensemble des endpoints afin d'observer et d'enregistrer les activités sans interruption. Cela permet de suivre un vaste éventail d'évènements et de comportements, via la capture des journaux détaillés des opérations des endpoints.

· Analyse comportementale et détection des menaces - En s'appuyant sur une analyse comportementale sophistiquée, le logiciel EDR analyse les tendances qui se dessinent dans les données collectées afin d'identifier les anomalies. Cette méthode est efficace contre les menaces complexes telles que les attaques sans fichier, les ransomwares et les exploits zero-day.

· Gestion et analyse centralisées - Les données des endpoints sont agrégées puis analysées dans un centre de contrôle centralisé, qui recourt souvent à des technologies basées dans le cloud. Cette analyse centralisée permet d'identifier les modèles de menaces et offre une vision globale de la situation sécuritaire.

· Réponses automatisées et manuelles et priorisation des incidents - Lorsqu'une menace est détectée, les solutions de sécurité EDR prévoient des réponses manuelles ou automatiques, telles que l'isolement des endpoints ou la suppression des fichiers malveillants. Elles prévoient également la priorisation des alertes, ce qui permet aux équipes de sécurité de se concentrer sur les incidents critiques.

· Analyse des risques et analyse des comportements humains - Les solutions EDR avancées étendent leur analyse aux comportements humains et aux risques organisationnels, évaluant divers facteurs afin d'identifier et d'atténuer les risques potentiellement présents sur le réseau.

· Aide à la recherche de menaces et analyses approfondies - La technologie EDR permet de rechercher des menaces de manière proactive et de procéder à des analyses approfondies en fournissant des informations détaillées sur les activités des endpoints et des données historiques, facilitant ainsi l'identification des modèles et l'amélioration des défenses.

Au fil du temps, le paysage des outils de cybersécurité s'est enrichi d'acronymes tels que EDR, EPP, XDR et MDR, qui créent souvent plus de confusion que de clarté pour les personnes extérieures au domaine. Explorons les nuances du jargon ainsi que les rôles et points forts de ces solutions telles qu'elles se présentent aujourd'hui.  

EDR versus EPP

Une plateforme de protection des endpoints (EPP) constitue la première ligne de défense contre les cybermenaces au niveau des endpoints. Il s'agit d'une solution de sécurité intégrée qui inclut généralement un antivirus next-gen, un logiciel antimalware, un contrôle Web, des pare-feu et des passerelles de messagerie. Elle est conçue pour prévenir les menaces connues et celles présentant des modèles de comportements malveillants identifiables. L'objectif principal d'une plateforme EPP est de bloquer les menaces au niveau des endpoints. Alors que l'EPP met l'accent sur la prévention, l'EDR fournit aux organisations les outils nécessaires pour détecter les menaces et y répondre après une compromission. L'EDR peut identifier, investiguer et endiguer les menaces qui contournent les défenses initiales fournies par l'EPP. Les solutions de cybersécurité basées sur l'EDR apportent une seconde couche de protection, dotant les analystes de sécurité des outils dont ils ont besoin pour détecter les menaces et identifier des dangers plus subtils. Elles fournissent des informations sur la façon dont une violation s'est produite, permettent de suivre les déplacements des attaquants au sein du réseau et offrent les moyens de répondre efficacement aux incidents.

Les différences entre EPP et EDR commencent à s'estomper, car de nombreuses solutions EPP modernes intègrent des capacités de détection et de réponse au niveau des endpoints, telles que l'analyse de la détection des menaces avancées et l'analyse comportementale, dans le but de proposer une approche plus globale de la sécurité des endpoints.

EDR versus XDR et MDR

Bien que l'EDR (détection et réponse au niveau des endpoints), l'XDR (détection et réponse étendues) et les services MDR (détection et réponse gérées) aient des fonctions distinctes, il existe une forme de complémentarité entre ces solutions de sécurité avancées. Elles constituent des couches de défenses adaptées à la nature évolutive des infrastructures organisationnelle et du domaine de la cybersécurité en général.

L'XDR étend les capacités de l'EDR en intégrant des données de sécurité ne provenant pas uniquement des endpoints, mais de l'ensemble de l'infrastructure d'une organisation (endpoints, réseaux, e-mails, applications, services cloud, etc.). L'XDR unifie les points de contrôle de sécurité, la télémétrie, les analyses et les opérations au sein d'un système d'entreprise unique. Cette technologie recourt aux analyses de sécurité au niveau organisationnel, corrélant de manière autonome les évènements de sécurité pour une approche plus complète. L'XDR augmente l'efficience et l'efficacité des centres des opérations de sécurité (SOC) grâce à une vision holistique du paysage des menaces, à l'automatisation et à la rationalisation des processus de sécurité.

Les services MDR, quant à eux, sont des services externalisés permettant la gestion des opérations de cybersécurité par des experts extérieurs à l'organisation qui assurent une surveillance et une gestion continues des menaces à l'aide de technologies de détection et de réponse avancées. Dans la mesure où ils proposent généralement une surveillance, une détection des menaces et une aide à la remédiation 24 h/24 et 7 j/7, ces services sont particulièrement précieux pour les organisations qui ont besoin de renforcer leurs capacités de cybersécurité ou pour celles qui ne disposent pas des ressources nécessaires à la gestion d'un SOC.

En conclusion, les solutions EDR se concentrent sur les endpoints, fournissant des informations détaillées et des réponses aux menaces à ce niveau, tandis que l'XDR et les services MDR étendent la protection et l'assistance grâce à une présence accrue au niveau de l'empreinte numérique d'une organisation et, respectivement, grâce à une protection assurée sous la forme de services gérés.

La mise en œuvre d'une cybersécurité basée sur l'EDR peut donner lieu à de nombreuses améliorations dans la position de cybersécurité et l'efficience opérationnelle d'une organisation. Vous trouverez ci-dessous une sélection de cas d'utilisation et d'exemples concrets, montrant la polyvalence et l'impact de l'EDR sur le renforcement des mesures de cybersécurité et l'optimisation des procédures opérationnelles dans divers secteurs.

 • Amélioration de l'efficience opérationnelle : un cabinet d'architecture a amélioré son efficience opérationnelle grâce aux fonctionnalités de notation automatique des risques et de gestion depuis une console unique apportées par l'EDR. De la même façon, un fabricant international de batteries a réduit de 50 % son temps de réponse aux incidents, attestant la capacité de l'EDR à rationaliser les opérations de sécurité.

 • Réduction du temps consacré à l'administration de la sécurité : l'EDR a contribué à réduire de 70 % le temps consacré à l'administration de la sécurité par un établissement d'enseignement français, tandis qu'un fabricant italien de systèmes de conditionnement a lui aussi constaté une réduction de 20 à 30 % du temps qu'il consacrait à l'administration de la sécurité.

 • Éradication des violations de sécurité : les solutions de détection et de réponse au niveau des endpoints ont largement fait leurs preuves en matière de lutte contre les violations de sécurité. L'EDR a ainsi permis à une société d'ingénierie italienne d'éradiquer les violations de sécurité tout en augmentant les performances de ses endpoints de 25 %.

 • Diminution du nombre de faux positifs : de nombreux détaillants ont utilisé l'EDR pour réduire leur taux de faux positifs, à l'instar de l'un des principaux détaillants européens d'équipements pour motards à qui l'EDR a permis d'augmenter de 20 % les performances de ses endpoints et de simplifier ses opérations de vente en ligne et de vente en magasin.

 • Amélioration de la conformité des correctifs : l'EDR peut considérablement améliorer les taux de réussite des correctifs, comme cela a été le cas pour un courtier en assurances états-unien qui a vu sa conformité en matière de correctifs passer de 50 à 90 % ou pour un fabricant de matériaux haut de gamme qui a pu atteindre un taux de conformité des correctifs de 97 %. Autre exemple : une banque basée dans le Wisconsin a renforcé ses défenses contre les malwares et les spywares sophistiqués en atteignant un taux de conformité des correctifs de 95 %.

 • Rationalisation de la conformité aux réglementations en matière de protection des données : l'EDR facilite la navigation dans le paysage complexe de la conformité réglementaire. Une organisation à but non lucratif soutenant les personnes touchées par le cancer a ainsi tiré parti d'outils de détection et de réponse au niveau des endpoints pour améliorer la protection des données personnelles, lui permettant de réaliser d'importantes économies, tant en termes d'argent que de temps.

 • Amélioration des performances des endpoints : les solutions EDR sont souvent peu encombrantes, ce qui permet d'améliorer les performances des postes de travail des utilisateurs, comme l'a constaté un fabricant italien qui a enregistré une amélioration de 25 % des performances de ses endpoints durant les analyses.

Vous trouverez ici d'autres études de cas pertinentes.

Vers 2010, les solutions antivirus classiques, qui s'appuyaient principalement sur la détection basée sur les signatures, ont commencé à être considérées comme insuffisantes alors que les attaquants développaient des méthodes permettant d'exécuter du code malveillant sans avoir à installer de malware identifiable, contournant ainsi les défenses traditionnelles.

On trouvait ainsi des malwares basés sur des documents, avec des scripts dangereux intégrés à des fichiers (Excel, PDF, Word, PowerPoint, etc.), souvent diffusés par le biais de campagnes de phishing. Des attaques sans fichier exécutaient des processus dans la mémoire ou exploitaient des processus système fiables, les rendant invisibles aux outils de détection basés sur les signatures. L'exploit EternalBlue, utilisé par des malwares tels que WannaCry et NotPetya, restera quant à lui probablement gravé à jamais dans les manuels d'histoire de la cybersécurité. Les antivirus traditionnels n'étaient efficaces que contre les malwares connus, laissant passer une grande partie des nouvelles menaces. Les premiers logiciels EDR étaient complexes et pouvaient entraîner une surcharge d'alertes, nécessitant une expertise et des ressources sécuritaires très importantes pour fonctionner efficacement.

L'expression « détection et réponse au niveau des endpoints » a été officiellement introduite dans le jargon courant en 2013 par l'analyste de Gartner Anton Chuvakin, qui l'a conceptualisée comme une solution permettant d'apporter une meilleure visibilité sur les activités des systèmes et de détecter et d'investiguer les activités suspectes sur les hôtes et sur les endpoints.

Le domaine de la cybersécurité évolue, tout comme ses outils, et l'adoption de l'intégration des plateformes de sécurité fait partie des grandes tendances observées par les spécialistes. Par exemple, Gartner prévoyait en 2019 une convergence des ressources EDR et EPP au sein de systèmes unifiés gérés par le biais d'une interface unique. Ces solutions intégrées permettent une détection plus rapide des menaces et l'automatisation des réponses qui leur sont apportées, marquant ainsi une évolution significative des pratiques et outils de sécurité des endpoints.

Autre tendance majeure : les solutions basées sur le cloud offrent une protection des endpoints, des capacités de détection et de réponse au niveau des endpoints, une défense contre les menaces mobiles et une gestion intégrée des vulnérabilités. Les solutions EDR avancées continueront très probablement à tirer parti de l'automatisation, du Machine Learning et de l'IA pour gagner en efficacité, et d'une incorporation plus étroite de l'analyse du comportement des utilisateurs et des entités (UEBA) pour détecter les anomalies sur la base du comportement des utilisateurs.

Pour une adoption réussie de l'EDR, il convient tout d'abord d'accepter le caractère inéluctable des violations et l'importance d'une détection et d'une réponse rapides. Une solution de détection et de réponse au niveau des endpoints offre à votre organisation une meilleure visibilité sur les menaces avancées, laquelle permet d'intervenir rapidement.

Trouver le bon équilibre entre sécurité traditionnelle et capacités EDR implique d'intégrer l'EDR aux plateformes de protection des endpoints. Enfin, et surtout, n'oubliez pas que le choix de solutions faciles à utiliser minimise l'impact d'un éventuel manque de compétences au sein de l'équipe de cybersécurité.

Le déploiement d'une solution de cybersécurité EDR comporte son lot de défis et autres considérations. L'efficacité d'une solution doit se mesurer à l'aune de ses capacités de détection des menaces et de sa couverture, tout en veillant à ce qu'elle n'introduise pas de complexité inutile au sein de l'organisation. De plus, le choix d'une solution EDR gérée en interne ou d'une solution EDR gérée en externe a des conséquences importantes sur la charge de travail de l'équipe de sécurité et sur le niveau de préparation cybersécuritaire de l'organisation.

Le choix de la bonne solution est une décision qui doit être adaptée aux besoins spécifiques de l'organisation, en tenant compte de son secteur d'activité, de sa taille, de son infrastructure de sécurité existante et de son potentiel de croissance. Opter pour une solution évolutive, qui pourra éventuellement être complétée par l'XDR ou par des services MDR, est un bon moyen de pérenniser la stratégie de cybersécurité de l'organisation. À mesure que l'organisation se développe, la solution EDR peut évoluer en conséquence, en s'adaptant aux nouveaux défis à mesure qu'ils émergent.