Cybersécurité
Solution EDR entreprise : détecter et stopper les attaques sur vos postes
L’antivirus classique reconnaît des menaces déjà connues. L’EDR observe ce que font réellement vos postes et vos serveurs, repère les comportements anormaux et permet d’isoler une machine compromise avant que l’attaque ne se propage. VDI déploie, supervise et exploite votre solution EDR, pour que la détection s’accompagne d’une capacité de réaction.
2 500+ clients nous font confiance
Pourquoi l'antivirus ne suffit plus
La majorité des attaques qui touchent aujourd’hui les entreprises n’utilisent aucun fichier malveillant identifiable. Elles détournent des outils légitimes déjà présents sur le système — PowerShell, les tâches planifiées, les outils d’administration à distance. Un antivirus, qui fonctionne par comparaison à une base de signatures connues, n’a rien à comparer : il ne voit qu’un administrateur qui travaille.
Le second angle mort est le temps. Entre la compromission initiale et le déclenchement d’un ransomware, il s’écoule souvent plusieurs jours pendant lesquels l’attaquant explore le réseau et prépare son action. C’est précisément cette fenêtre que l’EDR permet d’exploiter.
- Attaques sans fichier, invisibles pour un antivirus à signatures
- Comptes légitimes détournés après vol d'identifiants
- Postes nomades hors du périmètre réseau de l'entreprise
- Aucune trace exploitable après un incident
- Impossibilité d'isoler rapidement une machine compromise
Qu'est-ce qu'un EDR ?
EDR signifie Endpoint Detection and Response : détection et réponse sur les terminaux. Un agent installé sur chaque poste et chaque serveur enregistre en continu l’activité du système — processus lancés, connexions réseau, modifications de fichiers, élévations de privilèges. Ces signaux sont analysés pour repérer les enchaînements caractéristiques d’une attaque, même lorsque aucun élément pris isolément n’est malveillant.
Pour le détail des critères de choix et un comparatif des solutions du marché, consultez notre guide : EDR pour PME, guide complet et comparatif.
| Périmètre | Qui l'exploite | Pour qui | |
|---|---|---|---|
| EDR | Postes de travail, serveurs, portables | Vous, ou votre prestataire | La brique de base, indispensable |
| XDR | + messagerie, cloud, réseau, identités | Vous, ou votre prestataire | Structures déjà bien outillées |
| MDR | Un service, pas une technologie | Une équipe externe, 24h/24 | PME sans équipe sécurité interne |
EDR, XDR, MDR : ne pas confondre
Trois sigles proches désignent des périmètres différents. La confusion est fréquente et coûte cher au moment de comparer des devis.
Acheter un EDR sans prévoir qui l’exploite revient à installer une alarme sans prévoir qui se déplace quand elle sonne. C’est la principale cause d’échec des déploiements que nous reprenons.
Notre offre d'EDR managé
Nous prenons en charge le cycle complet, du déploiement à la réponse à incident. Vous gardez la propriété de vos données et de vos licences.
1. Déploiement et durcissement
Inventaire des terminaux à couvrir, installation des agents, définition des politiques de détection adaptées à vos usages métier. Cette phase de calibrage est déterminante : un EDR mal réglé génère un bruit d’alertes qui finit par être ignoré, et une console que plus personne ne consulte ne protège rien.
2. Supervision continue
Les alertes remontent vers notre SOC, où elles sont qualifiées par des analystes. Vous n’êtes sollicité que lorsqu’une action de votre part est nécessaire — pas à chaque détection.
3. Réponse à incident
En cas de compromission avérée, isolement immédiat de la machine concernée, analyse de la chaîne d’attaque, remédiation et rapport circonstancié. L’objectif est de contenir avant de comprendre.
Ce qu'un EDR détecte concrètement
Les scénarios ci-dessous sont ceux que nous rencontrons le plus souvent chez nos clients. Aucun ne déclenche d’alerte antivirus, tous sont visibles pour un EDR correctement configuré.
Un compte qui se comporte anormalement
Un identifiant volé par hameçonnage se connecte depuis un poste inhabituel, à une heure inhabituelle, et commence à parcourir des partages réseau auxquels son propriétaire ne touche jamais. Rien d’illégitime pris élément par élément ; l’enchaînement, lui, est caractéristique d’une reconnaissance.
Un outil d'administration détourné
PowerShell exécute un script encodé, téléchargé quelques secondes plus tôt par un document bureautique. L’outil est légitime et signé par l’éditeur du système : c’est la séquence qui trahit l’attaque, pas le binaire.
Une préparation de chiffrement
Suppression des clichés instantanés du système, arrêt de services de sauvegarde, montée en charge soudaine des accès disque. Ces signaux précèdent de quelques minutes le chiffrement effectif — c’est la dernière fenêtre pour isoler la machine.
Une persistance discrète
Création d’une tâche planifiée ou d’un service qui relance un accès distant à chaque démarrage. L’attaquant s’assure de pouvoir revenir, y compris après le nettoyage d’un poste réinstallé à la hâte.
Comment se déroule un déploiement
Un projet EDR sur un parc de taille PME se mène en quelques semaines, sans interruption de service. Les agents s’installent à distance, par vagues successives.
- Cadrage : périmètre, contraintes métier, logiciels sensibles à ne pas perturber
- Pilote sur un échantillon représentatif de postes, pour mesurer l'impact réel
- Calibrage des politiques et traitement des faux positifs identifiés sur le pilote
- Déploiement progressif sur l'ensemble du parc, service par service
- Bascule en supervision, avec définition des scénarios d'escalade vers vos équipes
La phase pilote est celle que l’on cherche parfois à raccourcir pour gagner du temps. C’est une erreur : ce sont les faux positifs non traités au départ qui, quelques mois plus tard, conduisent une équipe à ignorer les alertes.
Ce que vous obtenez avec une solution EDR pour entreprise
- Une attaque interrompue avant le chiffrement, et non constatée le lendemain matin
- Vos nuits et vos week-ends couverts, sans recruter d'analyste en interne
- Une activité qui repart en heures plutôt qu'en jours après un incident
- Un dossier d'incident recevable par votre assureur et vos auditeurs
- Des équipes qui cessent de trier des alertes sans valeur
- Un coût mensuel prévisible, sans infrastructure de sécurité à acquérir
EDR et conformité réglementaire
La directive NIS2 impose aux entités concernées des obligations de détection, de journalisation et de notification des incidents. Un EDR correctement exploité produit précisément les traces attendues : qui, quand, par quel chemin, avec quel impact.
Au-delà de la conformité, ces éléments conditionnent aussi votre couverture assurantielle. Les assureurs cyber demandent de plus en plus la preuve d’un dispositif de détection actif sur les terminaux, et non la seule présence d’un antivirus.
Comment se construit le budget
Le coût d’un EDR managé se décompose en deux postes qu’il faut distinguer avant de comparer des propositions : la licence, facturée par terminal protégé, et l’exploitation, qui rémunère le travail des analystes.
La licence seule est facile à comparer d’un éditeur à l’autre. L’exploitation l’est beaucoup moins, car son périmètre varie fortement : simple remontée d’alertes chez certains prestataires, qualification et action de confinement chez d’autres. À prix affiché comparable, le service rendu peut être très différent.
Un point à vérifier systématiquement : un engagement de délai sans pénalité associée n’est pas un engagement. Demandez que la grille figure au contrat.
Pourquoi confier votre EDR à VDI
Nous accompagnons plus de 2 500 clients sur leurs infrastructures et leur sécurité. Nos équipes s’appuient sur les référentiels de l’ANSSI et travaillent avec des technologies éprouvées en environnement PME, notamment Stormshield et Fortinet.
- Une équipe technique interne, pas de sous-traitance en cascade
- Un interlocuteur unique sur la sécurité et sur le réseau qui la porte
- Réponse en moins de 24h sur toute demande entrante
- Réversibilité contractuelle : vos licences et vos données restent les vôtres
Nos articles en lien avec la cybersécurité
MSSP SOC : qu’est-ce qu’un Managed Security Service Provider et pourquoi en choisir un ?
Lire la suite »
Externalisation du SOC : pourquoi et comment confier votre cybersécurité à un expert ?
Lire la suite »
Foire aux questions
Les solutions actuelles intègrent les deux fonctions dans un même agent : la protection par signatures pour les menaces connues, l’analyse comportementale pour le reste. Vous n’aurez donc pas deux produits à maintenir.
La question n’est pas le nombre de postes mais ce qu’une interruption coûte à l’entreprise. Une structure de quinze personnes dont l’activité s’arrête net en cas de chiffrement a le même besoin qu’un grand compte, avec moins de moyens pour y faire face en interne.
L’impact des agents actuels est marginal sur un poste correctement dimensionné. Nous mesurons cette charge pendant la phase de déploiement et ajustons les politiques si nécessaire.
C’est tout l’objet de l’offre managée. L’alerte est qualifiée par un analyste, et l’isolement de la machine peut être déclenché sans attendre l’ouverture de vos bureaux.
Techniquement oui. En pratique, l’outil produira des alertes que personne ne qualifiera. Si vous ne disposez pas d’une équipe sécurité interne, l’exploitation déléguée n’est pas une option de confort.
Le temps d'un café ☕️
Un Projet ? Prenons le temps d'échanger
Toute l’équipe VDI TELECOM est à votre écoute pour travailler avec vous sur vos projets.
Corinne Birken
5/5 Avis Google
Très satisfait de l’installation qui correspond tout à fait à nos besoins, satisfait également du SAV et de sa réactivité. VDI Télécom est toujours de bon conseil.
Christophe Bonnand
5/5 Avis Google
Une réactivité à toutes épreuves permettant de surmonter des imprévus et des exigences professionnelles personnelles. Merci pour votre intervention sur mesure ayant permis de ne pas perdre de continuité dans l’exercice de ma profession
Lucas JURAS
SavvyMarket