Qu'est-ce que EDR (endpoint detection and response) ?

Produit de sécurité qui enregistre en continu l'activité sur les terminaux comme les PC et les serveurs, notamment les lancements de processus, les modifications de fichiers et de paramètres et les connexions réseau, détecte les comportements suspects et aide à l'investigation et à la réponse (isolement de l'appareil, arrêt de processus, etc.). Contrairement à l'antivirus traditionnel, qui reconnaît les fichiers de logiciels malveillants connus, il part du principe que les intrusions ne peuvent pas être totalement empêchées et vise à trouver l'activité qui suit une intrusion.

Nom japonais: EDR(Endpoint Detection and Response)

« EDR (endpoint detection and response) » apparaît dans 7 questions d'entraînement réparties sur 2 thèmes, dont Cyberattaques et défense en pratique, Bases de la sécurité de l'information.

Domaine: Cyberattaques et défense en pratique

Ce qu'il enregistre

Un agent installé sur le terminal enregistre les lancements de processus et leurs relations parent-enfant, les arguments de la ligne de commande, les modifications de fichiers et de paramètres, les connexions réseau, les ouvertures de session, etc., et les envoie à un serveur de gestion. On peut ainsi retracer après coup un enchaînement comme « un script a été lancé depuis une pièce jointe d'e-mail et a communiqué avec un hôte externe ».

Détection et réponse

La détection utilise des règles correspondant à des techniques d'attaque connues, l'analyse comportementale et la comparaison avec le renseignement sur les menaces. Après une détection, des actions comme isoler à distance l'appareil du réseau, arrêter un processus ou mettre un fichier en quarantaine peuvent être lancées depuis la console, si bien que les analystes du SOC peuvent rapidement contenir l'extension des dommages.

XDR et MDR

Les produits qui analysent ensemble non seulement les terminaux mais aussi les données de messagerie, de réseau, de cloud et d'identité s'appellent XDR (extended detection and response). Les services qui confient la surveillance et l'analyse de l'EDR à un prestataire spécialisé s'appellent MDR (managed detection and response) et sont utilisés par les organisations qui ne peuvent pas assurer elles-mêmes une équipe présente 24 heures sur 24.

S'entraîner : questions sur EDR (endpoint detection and response)

Quelle description de l'EDR (endpoint detection and response), par rapport à un antivirus traditionnel, est correcte ?

AIl enregistre en continu le comportement sur les terminaux, comme les lancements de processus et les connexions réseau, détecte les activités suspectes et aide à la réponse, par exemple en isolant l'appareil
BIl vérifie seulement si des fichiers correspondent aux caractéristiques de logiciels malveillants connus et supprime ceux qui correspondent, sans enregistrer le comportement
CIl est placé non sur les terminaux mais à la frontière du réseau et bloque les paquets venant de l'extérieur selon les adresses IP et les numéros de port

Afficher la réponse et l'explication

Réponse : A. Il enregistre en continu le comportement sur les terminaux, comme les lancements de processus et les connexions réseau, détecte les activités suspectes et aide à la réponse, par exemple en isolant l'appareil

L'antivirus traditionnel compare surtout les fichiers aux caractéristiques des logiciels malveillants connus et vise à arrêter l'intrusion à l'entrée. L'EDR part du principe que l'intrusion ne peut pas être totalement empêchée et enregistre en continu sur le terminal les lancements de processus, les modifications de fichiers et de paramètres, les connexions réseau, etc., pour détecter les comportements suspects. Il permet notamment de remonter dans les enregistrements pour examiner le chemin de l'intrusion et l'étendue de l'impact, d'isoler l'appareil du réseau à distance et d'arrêter des processus suspects. Aujourd'hui, de nombreux produits réunissent les fonctions antivirus et l'EDR.

Questions fréquentes

Avec un EDR en place, l'antivirus est-il inutile ?

Leurs rôles diffèrent ; dans bien des cas, on utilise donc les deux. L'antivirus (EPP) arrête les logiciels malveillants connus à l'entrée, et l'EDR trouve les attaques qui passent malgré tout et y répond. Aujourd'hui, de nombreux produits réunissent les deux fonctions.

Suffit-il d'installer un EDR pour être en sécurité ?

L'EDR est un outil qui produit des alertes et des enregistrements ; il faut donc des personnes et des procédures pour les examiner, décider et répondre. Sans équipe qui vérifie les alertes, la réponse prend du retard même lorsqu'une attaque est détectée. Si une équipe interne est difficile à mettre en place, on recourt à un service externe comme le MDR.

« EDR (endpoint detection and response) » dans les explications

L'EDR part du principe que l'intrusion ne peut pas être totalement empêchée et enregistre en continu sur le terminal les lancements de processus, les modifications de fichiers et de paramètres, les connexions réseau, etc., pour détecter les comportements suspects.
Quelle description de l'EDR (endpoint detection and respons…
Comme aucun correctif ne peut être appliqué, il est important d'empiler d'autres mesures pour limiter les dégâts : par exemple désactiver les services inutiles pour réduire la surface d'attaque, réduire les privilèges au minimum, segmenter le réseau, utiliser des mécanismes qui détectent les activités suspectes sur les terminaux et y répondent (comme l'EDR), et appliquer les solutions de contournement publiées par l'éditeur.
Quelle affirmation décrit correctement une attaque zero-day…
Les attaquants tentent toutefois d'échapper à la détection en ajoutant de l'aléa (gigue) aux intervalles ou en passant par des services cloud légitimes ; on examine donc les enregistrements du trafic avec les informations sur les terminaux collectées par l'EDR.
L'examen des enregistrements du trafic d'un réseau interne …
On collecte plutôt les arguments des commandes et les relations parent-enfant avec l'EDR et les journaux du système d'exploitation (comme la journalisation des scripts PowerShell et l'enregistrement des créations de processus), et la détection s'appuie sur des usages qui s'écartent du travail normal, comme « PowerShell lancé par une application qui a ouvert un document » ou « une longue commande encodée a été exécutée ».
La technique par laquelle un intrus évite autant que possib…
Le SIEM (gestion des informations et des événements de sécurité) collecte en un seul endroit les journaux des pare-feux, serveurs, EDR, services cloud, etc., aligne leurs horodatages et présente les attaques présumées sous forme d'alertes à l'aide de règles combinant plusieurs événements (analyse de corrélation).
Quelle association entre SIEM, SOAR et SOC et leur rôle dan…

Questions mentionnant « EDR (endpoint detection and response) » (7)

Termes associés

Attaque zero-day (attaque du jour zéro) Argument SIEM (gestion des informations et des événements de sécurité) Centre des opérations de sécurité Attaque par la chaîne d'approvisionnement Médiane Cyber Kill Chain Indicateur de compromission (IoC) Investigation numérique (forensique) MITRE ATT&CK

Retour au glossaire