Qu'est-ce que l'EDR ?

La détection et la réponse au niveau des terminaux (EDR) est une catégorie de logiciels de cybersécurité qui surveille en permanence les terminaux – ordinateurs portables, téléphones, serveurs et appareils IoT – à la recherche de signes de compromission, met en corrélation ces données télémétriques pour générer des alertes, et fournit aux équipes de sécurité les outils nécessaires pour enquêter et contenir une menace avant qu'elle ne se propage.

Points clés à retenir

• L'EDR surveille en permanence les terminaux et signale les comportements suspects en temps réel.
• Il regroupe les données de télémétrie afin que les équipes puissent analyser et maîtriser rapidement les menaces.
• Parmi les principaux fournisseurs, on peut citer CrowdStrike, Microsoft Defender et SentinelOne.
• Versa intègre les scores de risque EDR dans des profils de risque unifiés par entité à des fins de politique.
• Les éléments à haut risque peuvent être isolés, bloqués ou soumis à une inspection plus approfondie.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · EDR et Versa · FAQ

Pourquoi l'EDR est-il important ?

Les défenses périmétriques telles que les pare-feu et les antivirus bloquent les menaces connues à la périphérie du réseau, mais les attaquants qui parviennent à les contourner – par hameçonnage, vol d’identifiants ou exploitation d’une faille « zero-day » – agissent en toute liberté une fois qu’ils ont atteint un terminal, à moins qu’un système de surveillance ne soit en place depuis l’intérieur. L’EDR comble cette lacune : il observe le comportement des processus, les modifications apportées aux fichiers et les connexions réseau directement sur l’appareil, détectant ainsi des techniques qui ne déclenchent jamais d’alerte basée sur des signatures.

Cette importance se mesure au temps de réaction. Sans visibilité au niveau des terminaux, une intrusion peut perdurer pendant des jours, voire des semaines, avant que quiconque ne remarque des mouvements de données inhabituels ou un trafic latéral. L’EDR réduit ce délai en corrélant les données télémétriques des terminaux pour former une vue d’ensemble des risques et en fournissant aux analystes les outils nécessaires – isoler le terminal, arrêter le processus, annuler la modification – pour agir immédiatement. Pour les organisations qui migrent leur sécurité vers le cloud, les données EDR deviennent également une source d’informations sur laquelle d’autres systèmes peuvent s’appuyer, étendant ainsi l’état de sécurité des terminaux aux politiques de réseau et d’accès, au lieu de le laisser cloisonné sur le terminal.

Qu'est-ce que l'EDR ?

Une plateforme EDR exécute un agent léger sur chaque terminal protégé, qui enregistre l'activité des processus, les modifications apportées au système de fichiers, les modifications du registre et les connexions réseau, puis transmet ces données de télémétrie à un moteur d'analyse hébergé dans le cloud ou sur site. Ce moteur applique des analyses comportementales et des informations sur les menaces à ce flux de données, signale les anomalies et attribue au terminal un score de risque ou de menace.

Lorsque l’EDR détecte une activité malveillante, il ne se contente pas d’alerter : il réagit. Selon la configuration, cela peut se traduire par l’arrêt automatique d’un processus malveillant, la mise en quarantaine d’un fichier, l’isolation du terminal du réseau ou la restauration des modifications effectuées par un attaquant. Les analystes disposent également d’un historique consultable des événements survenus sur les terminaux, ce qui transforme la réponse aux incidents, autrefois fondée sur des suppositions, en une chronologie claire : ce qui s’est exécuté, ce que cela a affecté et où cela a tenté de se rendre ensuite.

Types d'EDR

L’EDR est déployé selon plusieurs modèles distincts. L’EDR autonome fonctionne comme un agent indépendant, exclusivement dédié à la détection et à la réponse, généralement superposé à un produit antivirus distinct. L’EDR intégré à une suite EPP regroupe la détection et la réponse au sein d’une plateforme de protection des terminaux (EPP) plus large, qui gère également l’antivirus, le contrôle des appareils et la liste blanche des applications – ce qui constitue aujourd’hui le modèle le plus courant en entreprise. La détection et la réponse gérées (MDR) externalisent la surveillance et le triage à une équipe tierce chargée des opérations de sécurité, qui surveille les données télémétriques de l’EDR et intervient au nom du client. La détection et la réponse étendues (XDR) élargissent encore davantage le champ d’action, en corrélant les données des terminaux avec les données télémétriques du réseau, du cloud et des identités au sein d’un seul moteur de détection, plutôt que de traiter chaque terminal de manière isolée.

EDR & Versa

Versa ne remplace pas l'EDR, mais l'exploite. Grâce à la fonctionnalité « Configure Endpoint Detection and Response », Concerto s'intègre directement à CrowdStrike, Microsoft Defender et SentinelOne, en interrogeant l'API de chaque fournisseur à une fréquence configurable afin de récupérer les données de risque relatives aux terminaux.

Ce signal EDR alimente un profil de risque unifié de l’entité, dans lequel un administrateur le pondère avec des données issues de la gestion des vulnérabilités et de l’analyse comportementale afin de générer un score de risque composite par terminal, allant de « Fiable » à « Risque élevé ». Versa Advanced Security Cloud calcule ce score et le transmet aux passerelles d’ SASE .

Les politiques de sécurité et d’accès agissent alors directement sur ce score. Comme décrit dans la section « Configurer les scores de risque unifiés », un score indiquant un risque élevé ou suspect peut empêcher la connexion d’un périphérique à la passerelle « SASE », déclencher des contrôles supplémentaires tels qu’une analyse IPS ou un contrôle DLP, ou rejeter l’accès à des applications privées non Web comme RDP et SSH – transformant ainsi l’état de sécurité du terminal en une politique réseau en temps réel, plutôt qu’en une simple alerte isolée affichée dans la console EDR.

Questions fréquentes

Quelle est la différence entre un EDR et un antivirus ?

Les antivirus traditionnels comparent les fichiers à des signatures de logiciels malveillants connus et bloquent ceux qu’ils identifient. L’EDR, quant à lui, surveille en permanence le comportement des terminaux, détectant ainsi des techniques – telles que les attaques de type « living-off-the-land » – qui ne correspondent jamais à une signature, et fournit aux analystes les outils nécessaires pour mener des enquêtes et intervenir après la détection.

Quelle est la différence entre l'EDR et le XDR ?

L'EDR analyse uniquement les données télémétriques provenant des terminaux. Le XDR (Extended Detection and Response) met en corrélation ces données issues des terminaux avec celles du réseau, du cloud et des identités au sein d'un moteur de détection unique, sacrifiant ainsi la profondeur d'analyse au niveau des terminaux propre à l'EDR au profit d'une visibilité sur l'ensemble de l'environnement.

Avec quels fournisseurs d'EDR Versa s'intègre-t-il ?

Versa Versa s'intègre à CrowdStrike, Microsoft Defender et SentinelOne. Les données relatives aux risques ou le score composite de chaque fournisseur peuvent être pris en compte dans le profil de risque unifié des entités de et servir de base à l'élaboration de politiques de sécurité des accès et de protection Internet.

Quelle licence est nécessaire pour l'intégration d'EDR dans « Versa » ?

La notation des risques, y compris l'intégration EDR, nécessite une licence « Secure Private and Internet Access » (VSPIA) d'Versa ou une licence « Secure Access Fabric » (VSAF) « Professional » d'Versa . Vous devez également disposer d'une licence et d'un compte distincts auprès de chaque fournisseur EDR auquel vous vous connectez, tel que CrowdStrike ou Microsoft Defender.

Les données EDR peuvent-elles bloquer l'accès au réseau, et pas seulement déclencher une alerte ?

Oui. Dans la mise en œuvre d’ Versa, le score de risque d’un point d’accès, calculé à partir des données EDR, peut être utilisé comme critère de correspondance dans les règles d’accès sécurisé basées sur le client et de protection Internet, ce qui permet de refuser ou de restreindre automatiquement l’accès au réseau lorsque ce score dépasse un seuil configuré.

En savoir plus sur l'EDR

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'EDR, voici quelques liens qui pourraient vous intéresser.