Le sigle apparaît dans tous les devis de cybersécurité depuis que les assureurs et les donneurs d’ordre le réclament. Il désigne une catégorie d’outil précise, souvent confondue avec l’antivirus qu’elle remplace et avec le service qui l’exploite. Cet article explique ce qu’un EDR fait, comment il le fait, et où s’arrête sa compétence.
En bref
- EDR signifie Endpoint Detection and Response : détection et réponse sur les terminaux — postes de travail, serveurs, parfois mobiles.
- Il ne compare pas des fichiers à une liste de menaces connues : il observe les comportements et signale ce qui sort de l’ordinaire.
- Quatre fonctions le composent : collecter, détecter, investiguer, remédier.
- La question décisive n’est pas quel EDR choisir, mais qui lit les alertes qu’il produit — un EDR sans analyste est un détecteur de fumée dans une maison vide.
Un EDR, en une phrase
Un EDR est un logiciel de sécurité installé sur les postes de travail et les serveurs, qui surveille en continu leur activité pour détecter les comportements suspects, permettre d’enquêter sur ce qui s’est passé et réagir sur le terminal touché. Le sigle vient de l’anglais Endpoint Detection and Response : détection et réponse sur les terminaux.
« Terminal » — endpoint — désigne tout appareil qui ouvre une session sur le système d’information : ordinateur portable, poste fixe, serveur, parfois téléphone professionnel. C’est par là que la quasi-totalité des attaques entre, parce que c’est là que se trouve un utilisateur.
Le mot qui porte la différence est comportement. Un antivirus compare ce qu’il voit à une liste de menaces déjà identifiées. Un EDR observe ce que font les programmes et déclenche quand une séquence d’actions est anormale, même si aucun fichier n’est connu comme malveillant.
Les quatre fonctions pour comprendre qu'est ce qu'un EDR
Derrière le sigle, quatre activités distinctes s’enchaînent. Les confondre est la source de la plupart des déceptions après déploiement.
1. Collecter. Un agent installé sur le terminal enregistre en continu ce qui s’y produit : les processus qui démarrent et leur filiation, les fichiers créés ou chiffrés, les connexions réseau sortantes, les modifications de la base de registre, les ouvertures de session. Cette collecte est permanente, qu’il y ait incident ou non — c’est ce qui permettra, plus tard, de reconstituer les faits.
2. Détecter. Les données collectées sont confrontées à des règles de comportement et à des modèles statistiques. Un exemple parlant : un document bureautique qui lance un interpréteur de commandes, lequel télécharge un exécutable, lequel commence à chiffrer des fichiers en série. Chaque action prise séparément est banale ; la séquence ne l’est pas. C’est exactement ce qu’un antivirus ne voit pas.
3. Investiguer. Quand une alerte tombe, l’EDR fournit la chronologie : quel fichier est entré, par quel canal, quel compte était connecté, quels autres postes présentent la même trace. Sans cette fonction, on sait qu’il s’est passé quelque chose sans savoir jusqu’où cela est allé — et donc sans savoir quoi nettoyer.
4. Remédier. L’EDR agit sur le terminal : isoler la machine du réseau, arrêter un processus, mettre un fichier en quarantaine, parfois revenir à l’état antérieur. L’isolement réseau est la fonction la plus utile dans l’urgence : elle coupe la propagation sans attendre qu’un technicien se déplace.
EDR ou antivirus : ce que change la détection comportementale
C’est la question la plus posée, et la réponse tient à une différence de méthode, pas de puissance.
| Antivirus classique | EDR | |
|---|---|---|
| Ce qu’il examine | des fichiers | des comportements et leur enchaînement |
| Sur quoi il s’appuie | une base de signatures de menaces connues | des règles de comportement et des modèles |
| Face à une menace inédite | aveugle jusqu’à la mise à jour de la base | peut détecter sans connaître la menace |
| Après l’incident | indique le fichier bloqué | reconstitue la chronologie complète |
| Ce qu’il demande | s’installe et s’oublie | quelqu’un doit lire les alertes |
La dernière ligne est la plus importante, et la plus souvent passée sous silence à la vente. Un antivirus bloque et classe l’affaire. Un EDR signale : il produit des alertes qu’il faut qualifier, parce qu’une partie d’entre elles décrit un comportement inhabituel mais légitime. Sans personne pour faire ce tri, les alertes s’empilent et finissent ignorées.
À noter : les deux ne s’opposent pas. La plupart des EDR du marché embarquent la protection par signatures. On ne superpose pas deux produits, on remplace l’ancien par le nouveau — notre comparatif des solutions EDR détaille ce que chacune couvre.
Ce qu'un EDR ne fait pas
Quatre limites, qui expliquent pourquoi un EDR seul ne constitue pas une politique de sécurité.
- Il ne protège que ce sur quoi il est installé. Un terminal sans agent est invisible pour lui : le poste personnel d’un salarié, l’imprimante multifonction, la caméra sur le réseau, le serveur oublié dans un placard.
- Il ne voit pas le réseau ni le cloud. Une attaque qui passe par une boîte de messagerie en ligne ou par un compte détourné sans toucher à un poste lui échappe. C’est précisément le périmètre que les outils dits XDR élargissent.
- Il ne remplace pas les sauvegardes. Il peut stopper un chiffrement en cours ; il ne restitue pas ce qui a déjà été chiffré. La sauvegarde reste le dernier recours.
- Il ne décide pas à votre place. Isoler un serveur de production en pleine journée est une décision d’exploitation, pas un réglage technique. Elle suppose que quelqu’un soit joignable et mandaté pour la prendre.
EDR, EPP, XDR, MDR : le sens exact de chaque sigle
Quatre sigles circulent, et les fournisseurs les emploient parfois l’un pour l’autre. Ce qui les distingue n’est pas la qualité mais le périmètre et, pour le dernier, qui fait le travail.
- EPP — Endpoint Protection Platform : la protection du terminal par signatures et filtrage. C’est l’antivirus moderne, la brique de base.
- EDR : ajoute la détection comportementale, l’investigation et la réponse sur le terminal.
- XDR — Extended Detection and Response : étend la même logique au-delà du terminal, vers la messagerie, le réseau, l’identité et le cloud. La comparaison EDR et XDR dit laquelle des deux correspond à quelle situation.
- MDR — Managed Detection and Response : ce n’est pas un outil, c’est un service. Des analystes exploitent l’EDR ou le XDR pour vous, qualifient les alertes et agissent. C’est la réponse à la question « qui lit les alertes ? ».
À partir de quand un EDR devient nécessaire
La réponse ne dépend pas du nombre de salariés mais de trois facteurs, qu’on peut vérifier soi-même.
- Ce qu’une interruption coûte. Une activité qui s’arrête quand l’informatique s’arrête — production, logistique, cabinet, atelier — n’a pas le même seuil qu’une activité qui peut travailler deux jours sur papier.
- Ce qu’on vous demande. Les assureurs cyber, les grands donneurs d’ordre et certains appels d’offres exigent désormais une détection sur les terminaux, parfois nommément. Le questionnaire d’assurance est souvent le vrai déclencheur.
- Qui regarde, aujourd’hui. Si personne ne consulte les journaux de sécurité, l’outil installé ne sert qu’à produire des alertes que personne ne lit. C’est le facteur qui décide entre un EDR seul et un EDR exploité par un tiers.
EDR autonome ou EDR managé : qui lit les alertes
C’est la vraie bifurcation, et elle passe avant le choix du produit.
En autonome, vous achetez les licences et votre équipe exploite la console : elle règle les politiques, qualifie les alertes, décide des isolements, tient les exclusions à jour. Cela suppose une compétence disponible, et disponible aux heures où les attaques se déclenchent — la nuit et le week-end sont des moments privilégiés précisément parce que personne ne regarde.
En managé, un prestataire assure cette exploitation : il reçoit les alertes, écarte les faux positifs, enquête sur le reste et applique les mesures convenues. Ce que vous achetez alors n’est pas le logiciel, c’est le temps d’analyse et l’engagement de réaction.
Chez VDI, ce travail s’appuie sur les solutions que nous déployons — Sophos, SentinelOne et Stormshield — et sur notre SOC managé. Le détail du périmètre et des engagements figure sur notre page de solution EDR pour entreprise.
Questions fréquentes sur l'EDR
Que signifie EDR ?
EDR est l’abréviation de Endpoint Detection and Response, soit « détection et réponse sur les terminaux ». Un terminal désigne un poste de travail, un serveur, parfois un mobile professionnel.
Quelle est la différence entre un EDR et un antivirus ?
L’antivirus compare des fichiers à une base de menaces connues ; l’EDR observe le comportement des programmes et détecte une séquence anormale même sans connaître la menace. Autre différence majeure : l’antivirus bloque et classe l’affaire, l’EDR produit des alertes qu’il faut qualifier.
Un EDR remplace-t-il l'antivirus ?
Oui, dans la quasi-totalité des cas : les EDR du marché embarquent la protection par signatures. On ne superpose pas les deux produits, on remplace l’ancien.
Comment fonctionne un EDR concrètement ?
Un agent installé sur le terminal enregistre en continu les processus, les fichiers et les connexions. Ces données sont confrontées à des règles de comportement. En cas d’alerte, l’EDR fournit la chronologie de l’incident et permet d’isoler la machine, d’arrêter un processus ou de mettre un fichier en quarantaine.
Quelle est la différence entre un EDR et un XDR ?
L’EDR couvre les terminaux. Le XDR étend la même logique à la messagerie, au réseau, à l’identité et au cloud. Le périmètre change, pas la méthode.
Qu'est-ce qu'un EDR managé ?
C’est un EDR dont l’exploitation est confiée à un prestataire : il reçoit les alertes, écarte les faux positifs, enquête et applique les mesures convenues. Ce qui est acheté n’est pas le logiciel mais le temps d’analyse et l’engagement de réaction.
Un EDR suffit-il à protéger une entreprise ?
Non. Il ne protège que les terminaux équipés d’un agent, ne voit ni le réseau ni le cloud, et ne remplace pas les sauvegardes — il peut stopper un chiffrement en cours mais ne restitue pas ce qui est déjà chiffré.
Quels sont les principaux EDR du marché ?
Le marché compte une dizaine de solutions sérieuses pour une PME, avec des périmètres et des modes d’exploitation différents. Notre comparatif les passe en revue une par une.
Faire le point sur la protection de vos postes
Vous ne savez pas si un EDR autonome suffit chez vous, ou s’il faut en confier l’exploitation ? Nous commençons par un audit gratuit de votre parc et de ce qui est déjà surveillé, puis nous vous disons lequel des deux correspond à votre situation.
