Français
Menu

Antivirus vs EDR vs XDR : prévention ou détection, télémétrie, réponse, périmètre

Tous trois protègent les terminaux contre les attaques, mais ils diffèrent par leur objectif et leur périmètre. Un logiciel antivirus (une EPP, plateforme de protection des terminaux) vise à arrêter les logiciels malveillants avant leur exécution, à l’aide de motifs de logiciels malveillants connus et de caractéristiques suspectes. L’EDR part du principe que les intrusions ne peuvent pas être totalement évitées : il enregistre en continu les processus, les fichiers et l’activité réseau du terminal, repère les comportements suspects et aide à enquêter et à réagir, par exemple en isolant le terminal. Le XDR corrèle les données non seulement des terminaux, mais aussi du réseau, de la messagerie, des services cloud et de l’authentification des identités, pour retracer le déroulement d’une attaque dans toute l’organisation. La plupart des organisations combinent un mécanisme qui arrête les attaques et un autre qui repère ce qui passe au travers et y répond.

CritèreAntivirus (EPP)EDRXDR
Objectif principalRepérer et arrêter les logiciels malveillants avant leur exécution (prévention)Repérer les activités suspectes après une intrusion, enquêter et y répondre (détection et réponse)Repérer les attaques qui s’étendent aux terminaux, au réseau, à la messagerie, au cloud, etc., et y répondre globalement
PérimètreLes fichiers du terminal et les programmes sur le point d’être exécutésL’activité du terminal : lancements de processus, modifications de fichiers et du registre, connexions réseau, ouvertures de sessionLes données des terminaux, plus celles du réseau, de la messagerie, des services cloud et de l’authentification des identités
Principale méthode de détectionComparaison avec des motifs de logiciels malveillants connus (signatures) ; de nombreux produits évaluent aussi le caractère suspect d’un fichier d’après ses caractéristiquesDétection par règles comportementales et connaissance des techniques d’attaque (comme ATT&CK) ; recherche par IoCDétection qui corrèle les événements de plusieurs sources, en combinant des signaux faibles pris isolément
Ce qui est enregistréSurtout les résultats de détection ; l’activité du terminal est rarement conservée longtempsL’activité du terminal est enregistrée en continu pour pouvoir enquêter a posterioriLes données de plusieurs sources sont collectées et stockées en un seul endroit
Réponse après détectionSuppression ou mise en quarantaine de fichiersArrêt de processus, isolement du terminal du réseau et analyse de l’impact, à distance depuis la consoleIsolement des terminaux plus des actions transversales comme la désactivation de comptes ou la suppression d’e-mails
Efficacité contre les attaques inconnuesTend à manquer les nouveaux logiciels malveillants absents de ses motifs et les attaques qui détournent des fonctions légitimes de l’OSLes attaques sans fichier et le détournement d’outils légitimes sont plus faciles à repérer par leur comportementPlus facile de repérer des déroulements d’attaque invisibles depuis le seul terminal, comme une entrée par e-mail suivie d’une propagation latérale
Charge d’exploitationRelativement faible ; l’arrêt automatique est la normeNécessite des personnes pour trier les alertes et enquêter ; souvent combiné à un SOC ou à un service de surveillance externePérimètre large ; nécessite des réglages d’intégration et une équipe pour juger les alertes
LimitesDifficile de savoir ce qu’un élément passé au travers a fait dans le terminalNe voit pas au-delà du terminal (équipements réseau, cloud, terminaux non gérés)L’étendue intégrable varie selon les produits ; collecter des données ne remplace pas les personnes et les procédures qui les jugent

Les valeurs indiquées sont des ordres de grandeur typiques et varient selon la génération de procédé et le produit.

Quand choisir l'un ou l'autre ?

Antivirus (EPP)
La mesure de base à installer sur chaque terminal. Il arrête de nombreux logiciels malveillants connus sans attendre une décision humaine.
EDR
Lorsqu’on part du principe que des intrusions peuvent réussir et qu’on veut les repérer tôt et limiter les dégâts. Il sert aussi lors des investigations de réponse aux incidents, pour retracer ce qui s’est passé sur un terminal.
XDR
Lorsque les terminaux, la messagerie, le cloud, etc. sont surveillés sur des consoles séparées et qu’on veut suivre le déroulement d’une attaque en un seul endroit. Son rôle recoupe celui d’un SIEM : il faut donc décider comment répartir le travail avec les systèmes déjà en place.

Questions fréquentes

Si j’installe un EDR, ai-je encore besoin d’un antivirus ?

Leurs rôles diffèrent : dans la plupart des cas, on utilise les deux. L’antivirus excelle à arrêter automatiquement les logiciels malveillants connus avant leur exécution ; l’EDR excelle à repérer l’activité des attaques passées au travers, à enquêter et à y répondre. De nombreux produits fournissent les deux fonctions ensemble.

Pourquoi l’EDR nécessite-t-il une réponse humaine ?

Parce que les alertes de l’EDR incluent des tâches d’administration légitimes et des outils métier jugés suspects. Décider s’il s’agit vraiment d’une attaque, évaluer l’étendue et choisir des actions comme l’isolement exigent l’intervention du personnel, d’un SOC ou d’un service de surveillance externe. Si personne ne regarde les alertes, les données seules ne peuvent pas limiter les dégâts.

Quelle est la différence entre le XDR et un SIEM ?

Les deux collectent et corrèlent des données de plusieurs sources, mais un SIEM est généralement décrit comme une plateforme qui collecte, analyse et stocke largement les journaux de nombreux types d’équipements, tandis que le XDR se concentre sur l’intégration poussée d’un ensemble défini de sources, comme les terminaux et la messagerie, et traite tout, de la détection à la réponse, dans un seul système. La frontière varie selon les produits : vérifiez ce qui est collecté et dans quelle mesure la réponse peut être automatisée.

Vérifier vos connaissances

Quelle description de l'EDR (endpoint detection and response), par rapport à un antivirus traditionnel, est correcte ?

  1. AIl enregistre en continu le comportement sur les terminaux, comme les lancements de processus et les connexions réseau, détecte les activités suspectes et aide à la réponse, par exemple en isolant l'appareil
  2. BIl vérifie seulement si des fichiers correspondent aux caractéristiques de logiciels malveillants connus et supprime ceux qui correspondent, sans enregistrer le comportement
  3. CIl est placé non sur les terminaux mais à la frontière du réseau et bloque les paquets venant de l'extérieur selon les adresses IP et les numéros de port
Afficher la réponse et l'explication

Réponse : A. Il enregistre en continu le comportement sur les terminaux, comme les lancements de processus et les connexions réseau, détecte les activités suspectes et aide à la réponse, par exemple en isolant l'appareil

L'antivirus traditionnel compare surtout les fichiers aux caractéristiques des logiciels malveillants connus et vise à arrêter l'intrusion à l'entrée. L'EDR part du principe que l'intrusion ne peut pas être totalement empêchée et enregistre en continu sur le terminal les lancements de processus, les modifications de fichiers et de paramètres, les connexions réseau, etc., pour détecter les comportements suspects. Il permet notamment de remonter dans les enregistrements pour examiner le chemin de l'intrusion et l'étendue de l'impact, d'isoler l'appareil du réseau à distance et d'arrêter des processus suspects. Aujourd'hui, de nombreux produits réunissent les fonctions antivirus et l'EDR.

La technique par laquelle un intrus évite autant que possible ses propres logiciels malveillants et opère avec les outils légitimes déjà présents dans le système d'exploitation, comme PowerShell, WMI et les fonctions standard d'administration à distance, s'appelle « living off the land ». Quelle façon d'envisager les contre-mesures à cette technique est la plus appropriée ?

  1. ALes exécutables des outils légitimes sont signés numériquement ; installer un antivirus qui vérifie les signatures suffit donc à la détecter
  2. BLes attaques utilisant des outils légitimes ne sont pas détectables ; renoncer aux mesures après l'intrusion et n'investir que dans les défenses à l'entrée
  3. CEnregistrer qui a exécuté les outils légitimes, avec quels arguments et depuis quel processus parent, détecter les usages inhabituels, et limiter les personnes et les appareils pouvant utiliser les outils d'administration
Afficher la réponse et l'explication

Réponse : C. Enregistrer qui a exécuté les outils légitimes, avec quels arguments et depuis quel processus parent, détecter les usages inhabituels, et limiter les personnes et les appareils pouvant utiliser les outils d'administration

Dans une attaque « living off the land », les programmes utilisés sont eux-mêmes légitimes et signés ; les méthodes qui reconnaissent les logiciels malveillants connus à leurs caractéristiques de fichier ne peuvent donc pas la détecter. On collecte plutôt les arguments des commandes et les relations parent-enfant avec l'EDR et les journaux du système d'exploitation (comme la journalisation des scripts PowerShell et l'enregistrement des créations de processus), et la détection s'appuie sur des usages qui s'écartent du travail normal, comme « PowerShell lancé par une application qui a ouvert un document » ou « une longue commande encodée a été exécutée ». En outre, limiter les utilisateurs et les appareils pouvant utiliser les outils d'administration et n'autoriser que les applications approuvées réduit les outils à la disposition de l'attaquant.

Quelle association entre SIEM, SOAR et SOC et leur rôle dans la surveillance de la sécurité est correcte ?

  1. ALe SIEM est un logiciel qui enregistre le comportement des terminaux, le SOAR un équipement qui chiffre le trafic, et le SOC un identifiant attribué aux vulnérabilités
  2. BLe SIEM exécute automatiquement les procédures de réponse, le SOAR collecte et analyse les journaux de chaque équipement, et le SOC est l'équipe de développement qui traite les vulnérabilités des produits
  3. CLe SIEM collecte et corrèle les journaux de nombreux équipements, le SOAR exécute automatiquement les procédures de réponse (playbooks), et le SOC est l'équipe qui les utilise pour la surveillance
Afficher la réponse et l'explication

Réponse : C. Le SIEM collecte et corrèle les journaux de nombreux équipements, le SOAR exécute automatiquement les procédures de réponse (playbooks), et le SOC est l'équipe qui les utilise pour la surveillance

Le SIEM (gestion des informations et des événements de sécurité) collecte en un seul endroit les journaux des pare-feux, serveurs, EDR, services cloud, etc., aligne leurs horodatages et présente les attaques présumées sous forme d'alertes à l'aide de règles combinant plusieurs événements (analyse de corrélation). Le SOAR (orchestration, automatisation et réponse de sécurité) exécute automatiquement, en réponse aux alertes, des procédures établies sous forme de playbooks, comme la collecte d'informations, l'isolement d'appareils et la désactivation de comptes, ce qui allège le travail des analystes. Le SOC (centre des opérations de sécurité) est l'équipe qui utilise ces outils pour surveiller, analyser les alertes, déterminer s'il s'agit d'un incident et le signaler ; il fonctionne souvent 24 heures sur 24. Le traitement des incidents identifiés par le SOC est généralement mené par le CSIRT.

  1. Quelle description de l'IoC (indicateur de compromission) et de l'IoA (indicateur d'attaque) utilisés dans la détection des menaces est correcte ?
  2. Quelle affirmation décrit correctement une attaque zero-day ?

Questions d'entraînement sur Cyberattaques et défense en pratique

Termes clés expliqués

EDR (endpoint detection and response)
Produit de sécurité qui enregistre en continu l'activité sur les terminaux comme les PC et les serveurs, notamment les lancements de processus, les modifications de fichiers et de paramètres et les connexions réseau, détecte les comportements suspects et aide à l'investigation et à la réponse (isolement de l'appareil, arrêt de processus, etc.). Contrairement à l'antivirus traditionnel, qui reconnaît les fichiers de logiciels malveillants connus, il part du principe que les intrusions ne peuvent pas être totalement empêchées et vise à trouver l'activité qui suit une intrusion.
SIEM (gestion des informations et des événements de sécurité)
Système qui collecte en un seul endroit les journaux des pare-feux, des serveurs, de l'EDR, des services cloud, de l'infrastructure d'authentification, etc., en harmonise les formats et les horodatages, détecte les attaques présumées à l'aide de règles combinant plusieurs événements (analyse de corrélation) et les présente sous forme d'alertes. Il sert aussi à rechercher dans les journaux lors des investigations et à conserver les journaux longtemps comme l'exige la réglementation. C'est l'un des outils centraux qu'utilisent pour la surveillance les analystes d'un centre des opérations de sécurité (SOC).
Centre des opérations de sécurité
Équipe ou installation qui surveille en continu les réseaux, les terminaux et les services cloud d'une organisation, analyse les alertes du SIEM et de l'EDR, détermine s'il s'agit d'incidents et les signale à ceux qui y répondent. On l'abrège en SOC (terme différent du SoC, système sur puce). Il fonctionne souvent 24 heures sur 24, et de nombreuses organisations le confient à un prestataire externe au lieu de l'exploiter elles-mêmes. La réponse aux incidents qu'il identifie se fait en coopération avec le CSIRT.
Indicateur de compromission (IoC)
Trace concrète montrant qu'un système a été compromis, comme la valeur de hachage d'un fichier malveillant, l'adresse IP ou le nom de domaine d'un serveur C2, ou un nom de fichier caractéristique. Les IoC sont partagés entre organisations et par le renseignement sur les menaces, et comparés aux journaux et aux terminaux de l'organisation pour vérifier si elle a subi la même attaque. Comme les attaquants peuvent facilement changer les valeurs de hachage et les adresses IP, on combine les IoC avec les indicateurs d'attaque (IoA), qui portent sur le comportement de l'attaquant, et avec une détection fondée sur les techniques.
Réponse aux incidents
Ensemble des activités menées lorsqu'un incident de sécurité, comme une cyberattaque, se produit : trouver les dommages et en arrêter l'extension, éliminer la cause et rétablir l'activité, puis appliquer les enseignements tirés. La deuxième révision de la SP 800-61 du NIST américain (2012) la présente en quatre phases (préparation ; détection et analyse ; confinement, éradication et rétablissement ; activités post-incident), et la troisième révision (2025) l'a réorganisée selon le Cybersecurity Framework (CSF) 2.0. Au sein d'une organisation, le CSIRT la pilote, en coopération avec le SOC, les responsables des systèmes, le service juridique, la communication et la direction.
Mouvement latéral (lateral movement)
Extension d'une compromission par un attaquant entré dans le réseau d'une organisation, qui se sert du premier terminal détourné comme tête de pont et passe de terminal en terminal et de serveur en serveur avec des identifiants volés et des outils d'administration légitimes. Il vise à se rapprocher des données ciblées ou des systèmes dotés de privilèges d'administrateur. On le prévient et le détecte avec un mot de passe d'administrateur différent sur chaque terminal, le blocage du trafic inutile entre terminaux (microsegmentation), la gestion des comptes à privilèges et la surveillance des journaux d'authentification.
MITRE ATT&CK
Base de connaissances, publiée par l'organisme de recherche américain à but non lucratif MITRE, des techniques d'attaquants observées lors d'attaques réelles. Elle les classe en « tactiques », qui représentent les objectifs de l'attaquant (accès initial, persistance, élévation de privilèges, mouvement latéral, exfiltration, etc.), et en « techniques », qui représentent les moyens concrets de les atteindre, et attribue un identifiant à chaque technique. La défense l'utilise pour vérifier quelles techniques couvrent ses détections et ses mesures, et pour décrire les techniques en termes communs dans les rapports de renseignement sur les menaces.
Attaque zero-day (attaque du jour zéro)
Attaque qui exploite une vulnérabilité logicielle pendant la période qui suit sa découverte et précède la fourniture d'un correctif (patch). Comme les correctifs ne peuvent pas l'empêcher, on en limite les dégâts par plusieurs couches de défense.

Comparatifs associés