L’EDR surveille les postes de travail et les serveurs. Le XDR étend cette surveillance à la messagerie, au réseau, aux identités et au cloud, et corrèle les signaux entre eux.
Le SOC managé n’est pas une technologie mais un service : des analystes exploitent ces outils à votre place. Pour une PME de moins de cinquante postes, l’EDR associé à une supervision externalisée couvre l’essentiel du risque.
Reste à savoir où se situe votre entreprise. Les éditeurs poussent naturellement vers le haut de gamme ; la réalité d’une solution EDR pour entreprise de trente personnes est différente. Cet article donne les seuils concrets à partir desquels chaque solution devient pertinente.
L'attaque que votre EDR ne verra pas
Un comptable reçoit un courriel imitant la page de connexion Microsoft. Il saisit ses identifiants. Rien ne se télécharge, aucun fichier n’est ouvert, aucun programme ne s’exécute sur son poste.
Trois heures plus tard, quelqu’un se connecte à sa messagerie depuis un autre pays. Une règle de transfert automatique est créée vers une adresse externe. Les dossiers partagés sont parcourus, les factures fournisseurs consultées. Trois semaines après, un virement part vers un faux RIB.
L’EDR n’a rien signalé, et il a eu raison. Le poste n’a jamais été compromis. Aucun processus malveillant, aucune élévation de privilèges, aucun chiffrement. L’attaque s’est entièrement déroulée dans le cloud, sur un compte légitime, avec des identifiants valides.
C’est exactement la zone que couvre le XDR : croiser une connexion depuis un pays inhabituel, la création d’une règle de transfert et un accès massif aux fichiers partagés. Pris séparément, chacun de ces signaux est anodin. Ensemble, ils décrivent une compromission.
Ce scénario, dit compromission de messagerie d’entreprise, est aujourd’hui plus fréquent que le rançongiciel dans les PME. Il ne coûte rien à monter et ne déclenche aucune alarme classique.
EDR vs XDR : ce que couvre chaque solution
Les trois ne s’opposent pas : ils s’empilent. Le XDR suppose un EDR, et le SOC managé exploite l’un ou l’autre.
| Critère | EDR | XDR |
|---|---|---|
| Périmètre | Postes, serveurs, mobiles | + messagerie, réseau, identités, cloud |
| Nature | Logiciel | Plateforme |
| Qui traite les alertes | Vous | Vous |
| Compétences internes requises | Moyennes | Élevées |
| Couverture horaire | Automatisée 24h/24 | Automatisée 24h/24 |
| Taille d’entreprise adaptée | Dès 10 postes | À partir de 100 postes |
| Délai de mise en œuvre | 2 à 4 semaines | 2 à 4 mois |
La ligne décisive est la troisième. Un EDR ou un XDR déployé sans personne pour lire ses alertes produit du bruit, pas de la sécurité. C’est le point que les comparatifs d’éditeurs passent sous silence, pour une raison simple : ils vendent l’outil, pas le temps humain nécessaire pour l’exploiter.
Si vous ne savez pas encore ce que recouvre exactement l’EDR, notre article sur l’EDR et sa différence avec l’antivirus pose les bases.
Que choisir selon votre situation
Moins de 50 postes, pas d'informaticien interne
EDR + supervision externalisée. Le XDR serait surdimensionné : vous paieriez une corrélation multi-sources sur une infrastructure qui en compte deux ou trois. Priorité absolue en revanche : que quelqu’un lise les alertes. Un EDR installé et jamais consulté ne vous protège que du sentiment d’être exposé.
Complément utile et peu coûteux à ce niveau : l’activation de l’authentification multifacteur et des politiques d’accès conditionnel sur Microsoft 365. Elles couvrent une partie du scénario décrit plus haut sans passer par un XDR.
50 à 100 postes, un référent IT interne
EDR renforcé, XDR à étudier. Votre référent peut traiter les alertes en journée, mais pas la nuit ni pendant ses congés. La question n’est donc pas l’outil mais la couverture horaire. Un contrat de supervision qui prend le relais hors heures ouvrées apporte plus qu’un changement de plateforme.
Le XDR devient intéressant si vous cumulez trois conditions : plusieurs sites, des applications métier hébergées dans le cloud, et des accès distants nombreux. En dessous, l’écart de prix ne se justifie pas.
Plus de 100 postes, multi-sites ou soumis à NIS2
XDR ou SOC managé, selon vos ressources. À cette taille, la surface d’attaque dépasse le poste de travail : liaisons inter-sites, accès distants, environnements cloud, prestataires connectés. La corrélation multi-sources devient un vrai apport.
La directive NIS2 pèse aussi dans la balance : elle impose la détection des incidents et leur notification sous 24 heures. Sans traçabilité au-delà des postes, cette obligation est difficile à tenir.
Combien coûte chaque solution ?
Aucun comparatif français ne donne de chiffres. Voici des ordres de grandeur, hors remise et hors intégration.
EDR : à partir de 6 € HT par poste et par mois. Pour trente postes, comptez environ 180 € HT mensuels, licence seule.
XDR : A partir de 10€ HT par poste et par mois, auxquels s’ajoutent les connecteurs vers vos autres sources et une intégration initiale
Le calcul à faire n’est pas le prix de la licence mais le coût complet. Un XDR à exploiter en interne suppose du temps d’analyste. Sur un marché où ce profil est rare et cher, l’externalisation revient souvent moins cher que le recrutement, pour une couverture plus large.
Questions fréquentes
Le XDR remplace-t-il l'EDR ?
Non, il l’englobe. Une plateforme XDR intègre l’agent EDR sur les postes et y ajoute les autres sources. Vous ne déployez pas deux solutions : vous étendez le périmètre de la première.
Peut-on avoir un SOC managé sans EDR ?
En théorie oui, en pratique non. Un SOC managé exploite les signaux que vos outils remontent. Sans EDR sur les postes, les analystes n’ont presque rien à observer sur le principal point d’entrée des attaques.
Faut-il un XDR pour être conforme à NIS2 ?
Non. La directive impose des résultats — détecter, notifier sous 24 heures, assurer la continuité — sans prescrire de technologie. Un EDR correctement exploité, avec une traçabilité des accès et une procédure de notification écrite, répond à l’exigence dans la plupart des PME concernées.
Un XDR génère-t-il plus d'alertes qu'un EDR ?
Moins, en principe. C’est même son argument principal : au lieu de trois alertes faibles issues de trois outils différents, il en produit une seule, corrélée et fiable. Encore faut-il que la corrélation soit correctement paramétrée, ce qui demande du temps de réglage.
Situer votre entreprise avant de choisir
VDI Partenaire Technologique supervise plus de 6 000 postes de travail et 400 serveurs pour des PME d’Auvergne-Rhône-Alpes. Dans la majorité des cas que nous rencontrons, le problème n’est pas l’absence d’outil mais l’absence d’exploitation : une solution installée, des alertes que personne ne lit.
Un audit de cybersécurité établit ce que couvre réellement votre configuration actuelle, quels équipements sont hors périmètre, et si le passage au XDR se justifie dans votre cas.
