EDR et SIEM : deux outils, une seule stratégie de sécurité

Chaque terminal de votre environnement constitue un point d'entrée potentiel. Chaque application, service cloud et connexion réseau génère des événements. Relier ces éléments avant qu'un pirate ne le fasse représente le défi fondamental des opérations de sécurité modernes — et c'est un défi qu'aucun outil ne peut relever à lui seul.

L'EDR et le SIEM comptent parmi les technologies les plus importantes dans les opérations de cybersécurité modernes. On les compare souvent comme si les entreprises devaient choisir entre les deux, mais cette comparaison passe à côté de l'essentiel. L'EDR surveille ce qui se passe sur vos appareils, tandis que le SIEM surveille ce qui se passe dans l'ensemble de votre environnement. Ils protègent des surfaces différentes, fournissent des informations de nature différente et fonctionnent mieux lorsqu'ils sont intégrés et fonctionnent de concert.

La suite de sécurité de Kaseya comprend à la fois une solution logicielle EDR et un outil SIEM, qui sont nativement intégrés l'un à l'autre. Cela nous permet d'avoir une vision directe de la manière dont ces deux catégories fonctionnent concrètement dans les environnements des MSP et des équipes informatiques à travers le monde.

Quelle est la différence entre un EDR et un SIEM ?

L'EDR et le SIEM contribuent tous deux à la détection des menaces, mais ils sont conçus pour traiter des aspects différents du problème de sécurité. C'est en comprenant ce que chacun fait réellement et où s'arrêtent leurs capacités respectives que l'on comprend pourquoi leur combinaison est judicieuse.

Détection et réponse des points de terminaison (EDR)

L'EDR est un outil de sécurité qui surveille en permanence les terminaux, notamment les ordinateurs portables, les ordinateurs de bureau, les serveurs et les machines virtuelles, afin de détecter tout signe d'activité malveillante. Il installe un agent léger sur chaque terminal qui surveille en temps réel l'exécution des processus, les modifications du registre, les changements apportés aux fichiers, les connexions réseau et le comportement des utilisateurs. Lorsqu'un élément semble suspect, la plateforme EDR alerte l'équipe de sécurité et, selon la configuration, peut réagir automatiquement en isolant le terminal concerné, en mettant fin aux processus malveillants ou en plaçant les fichiers en quarantaine.

La caractéristique principale de l'EDR réside dans la profondeur d'analyse au niveau des terminaux. Il est capable de vous indiquer précisément quel processus a généré quel processus enfant, quel fichier a été modifié à quel moment et quelle connexion réseau a été établie par quelle application. C'est ce niveau de détail forensic qui rend possibles l'investigation des incidents et l'analyse des causes profondes. C'est également au sein de l'EDR que s'inscrit la détection comportementale. Au lieu de s'appuyer sur des signatures de logiciels malveillants connus, les plateformes EDR modernes utilisent l'apprentissage automatique pour identifier les schémas de comportement suspects, ce qui les rend efficaces contre les menaces « zero-day » et les attaques sans fichier que les antivirus traditionnels ne détectent pas.

Ce que l'EDR ne voit pas, c'est tout ce qui se passe en dehors du terminal. Il n'a aucune visibilité sur le trafic réseau entre les appareils, l'activité des plateformes cloud, les événements des applications SaaS ou les journaux d'identité et d'accès, à moins que cette activité ne touche directement le terminal.

Pour découvrir en détail le fonctionnement de l'EDR, les critères à prendre en compte lors du choix d'une solution et les différences par rapport aux antivirus traditionnels, consultez notre guide intitulé « Qu'est-ce que l'EDR ? ».

Gestion des informations et des événements de sécurité (SIEM)

Le SIEM constitue la couche d'agrégation et de corrélation d'une opération de sécurité. Il collecte les données de journaux et d'événements provenant de l'ensemble de l'environnement informatique, notamment des terminaux, des pare-feu, des plateformes cloud, des applications SaaS, des fournisseurs d'identité et des périphériques réseau ; il les normalise dans un format cohérent et applique des règles de corrélation afin d'identifier des schémas suspects entre différentes sources, que nul outil ne serait en mesure de relier à lui seul.

Alors que l'EDR explore en profondeur une seule surface, le SIEM couvre l'ensemble des surfaces. Il répond aux questions qui nécessitent de croiser des données provenant de multiples sources : le processus suspect signalé par l'EDR sur cet ordinateur portable est-il lié à l'événement de connexion inhabituel sur votre plateforme d'identité et au pic de trafic sortant de votre environnement cloud ? Le SIEM gère également la fonction de conformité, en conservant les données de journaux pendant les mois ou les années requis par des référentiels tels que HIPAA, PCI-DSS, RGPD et SOC 2, et en générant les rapports prêts pour l'audit qui les accompagnent.

Pour découvrir en détail le fonctionnement du SIEM et savoir quels critères prendre en compte lors du choix d'une solution, consultez notre guide intitulé « Qu'est-ce que le SIEM ? ».

EDR vs SIEM : principales différences

Les solutions EDR et SIEM s'inscrivent dans le même écosystème de sécurité, mais elles répondent à des besoins différents. Le tableau ci-dessous présente les principales différences.

Champ de visibilité

C'est là que réside la différence fondamentale. L'EDR offre une visibilité approfondie sur le comportement des terminaux, tandis que le SIEM assure une visibilité globale sur l'ensemble de l'environnement. Un pirate qui compromet un terminal puis se déplace latéralement vers une charge de travail dans le cloud à l'aide d'identifiants volés apparaîtra dans l'EDR au niveau du terminal initial, disparaîtra de la vue de l'EDR lorsqu'il effectuera ce pivot, puis réapparaîtra dans le SIEM grâce aux journaux d'identité et aux événements d'accès au cloud qui tracent ses déplacements. Aucun des deux outils ne peut offrir une vue d'ensemble sans l'autre.

Détection et réaction

Les capacités de réaction de l'EDR sont immédiates et spécifiques à chaque terminal. Lorsqu'il détecte une menace, il agit en quelques secondes : il isole l'appareil du réseau, met fin au processus malveillant et place les fichiers affectés en quarantaine, le tout avant que l'attaquant ne puisse aller plus loin. Le SIEM génère des alertes qui nécessitent une investigation et une réponse, soit manuellement, soit via une plateforme SOAR intégrée ou une automatisation intégrée. La force du SIEM réside dans la qualité du contexte qu’il fournit pour cette réponse, et non dans la rapidité de l’action autonome.

Conformité

Le SIEM est le principal outil de conformité. Il stocke l'ensemble des données de journaux exigées par les cadres réglementaires et génère les rapports structurés dont les auditeurs ont besoin. L'EDR fournit des journaux d'audit spécifiques aux terminaux et des preuves de la surveillance active des menaces, mais il ne peut à lui seul satisfaire à l'ensemble des obligations en matière de conservation des journaux et de surveillance intersystémique imposées par les normes HIPAA, PCI-DSS et le RGPD.

L'EDR remplace-t-il le SIEM ?

Non, et l'inverse est également vrai. Le SIEM ne remplace pas non plus l'EDR. Ces solutions protègent des environnements différents et fournissent des informations d'une nature fondamentalement différente.

La confusion tient au fait que ces deux outils détectent les menaces. L'EDR détecte les menaces au niveau des terminaux, en temps réel, avec une précision suffisante pour isoler exactement ce qui s'est passé sur un appareil donné. Le SIEM détecte les menaces à l'échelle de l'environnement en corrélant les signaux provenant de multiples sources au fil du temps. Une plateforme EDR qui détecte un processus suspect sur une machine ignore que le même pirate a compromis trois autres machines via un vecteur différent la semaine dernière. Le SIEM, lui, le sait.

Il existe également un aspect lié à la conformité qui rend la question sans objet pour la plupart des organisations. Si vous exercez votre activité dans un secteur réglementé, le SIEM n’est pas facultatif, quelles que soient les capacités de votre solution EDR. Le RGPD, la loi HIPAA, la norme PCI-DSS et la norme SOC 2 imposent toutes des exigences en matière de conservation des journaux et de rapports d’audit auxquelles l’EDR ne peut répondre à lui seul. Les journaux de l’EDR couvrent les terminaux. Les autorités de régulation exigent une couverture de l’ensemble de votre environnement informatique.

Concrètement, cela signifie qu'EDR est votre spécialiste des terminaux, tandis que SIEM constitue votre couche de renseignements à l'échelle de l'environnement. La suppression de l'un ou de l'autre crée une faille que les pirates savent parfaitement exploiter.

Comment l'EDR et le SIEM s'intègrent et fonctionnent ensemble

C'est dans l'intégration entre l'EDR et le SIEM que la valeur ajoutée combinée de ces deux outils prend tout son sens. Une fois connectées, ces deux plateformes offrent une capacité de détection et d'analyse qu'aucune d'entre elles ne peut fournir à elle seule.

Le processus fonctionne comme suit. L'agent EDR installé sur un terminal détecte un comportement suspect, tel que l'exécution d'un processus inhabituel, une tentative de désactivation d'un logiciel de sécurité ou une connexion à une adresse IP malveillante connue, et génère une alerte accompagnée de données télémétriques détaillées sur le terminal. Ces données sont transmises au SIEM, qui les intègre aux données de journaux provenant des systèmes d'identité, des plateformes cloud, des périphériques réseau et d'autres sources. Le moteur de corrélation du SIEM vérifie ensuite si l'événement sur le terminal est lié à d'autres signaux dans l'environnement : y a-t-il eu un événement d'authentification inhabituel sur le même compte quelques instants auparavant ? Y a-t-il du trafic sortant provenant du même appareil vers une adresse IP externe ? Un autre terminal a-t-il présenté un comportement similaire au cours des dernières 24 heures ?

Il en résulte un incident contextualisé et mis en relation, plutôt qu'une simple alerte isolée concernant un terminal. L'analyste dispose ainsi d'un contexte complet : ce qui s'est passé sur le terminal, les autres événements survenus dans l'environnement en lien avec celui-ci, ainsi qu'une chronologie couvrant l'ensemble de la chaîne d'attaque, et non pas seulement la partie détectée par l'EDR.

Cette intégration fonctionne également dans l'autre sens. Les règles de corrélation SIEM peuvent exploiter les données de télémétrie des terminaux pour détecter des schémas d'attaque s'étendant sur plusieurs appareils. Une alerte EDR isolée sur une seule machine peut ne pas atteindre le seuil requis pour déclencher une escalade. Cinq alertes EDR sur cinq machines présentant des schémas de processus similaires, toutes provenant du même sous-réseau dans un intervalle de 30 minutes et corrélées à des événements d'authentification inhabituels dans les journaux d'identité, constituent un incident de niveau SIEM qui ne devient visible que lorsque les données des terminaux alimentent le moteur de corrélation global.

Pour les MSP qui gèrent plusieurs environnements clients, cette intégration apporte une valeur ajoutée considérable. Datto EDR transmet directement les données de télémétrie des terminaux à Kaseya SIEM grâce à une intégration native. L'équipe du SOC dispose ainsi d'une vue d'ensemble détaillée au niveau des terminaux et d'une corrélation à l'échelle de l'environnement, pour tous les clients, sans avoir à passer d'un outil à l'autre.

EDR, SIEM et cyberassurance

Un aspect pratique qui est rarement évoqué dans les comparaisons entre les solutions EDR et SIEM est que ces deux outils sont désormais considérés comme des éléments incontournables par les assureurs spécialisés dans la cyberassurance — et que les exigences en la matière deviennent de plus en plus précises.

D'après des données récentes en matière de souscription, la plupart des assureurs proposant des cyberassurances exigent désormais la mise en place d'une solution EDR comme condition préalable à la couverture. Cette exigence ne se limite pas à la simple possession d'une licence pour cet outil. Les souscripteurs souhaitent obtenir la preuve d'une surveillance active et de l'intégrité des agents sur l'ensemble des appareils. Un seul terminal non géré peut constituer une lacune rédhibitoire lors du renouvellement du contrat.

Le SIEM répond à un ensemble distinct d'exigences des assureurs. Les assureurs attendent de plus en plus des organisations qu'elles démontrent leur capacité à assurer une surveillance continue de la sécurité, à conserver les journaux d'événements et à détecter et signaler rapidement les violations. Le SIEM est le mécanisme standard permettant de satisfaire ces exigences, en particulier dans les secteurs réglementés où des cadres normatifs tels que l'HIPAA et la norme PCI-DSS imposent des obligations spécifiques en matière de conservation des journaux d'événements, que les assureurs vérifient lors de la souscription.

Pour les MSP, cela représente une opportunité commerciale directe. Les clients qui ne disposent pas encore d’une solution EDR ou SIEM risquent de ne pas pouvoir être assurés ou de payer des primes plus élevées que nécessaire. Le déploiement de ces deux solutions dans le cadre d’une stratégie de sécurité multicouche permet de répondre aux exigences des assureurs tout en renforçant la posture de sécurité globale du client.

Lequel devriez-vous déployer en premier ?

Pour les organisations qui mettent en place leur infrastructure de sécurité, l'ordre des priorités dépend de l'endroit où se situent les principales vulnérabilités.

Si les terminaux constituent la principale surface d'attaque — ce qui est le cas pour la plupart des PME et des entreprises de taille intermédiaire —, l'EDR est la priorité absolue. Il offre une protection immédiate contre les vecteurs d'attaque initiaux les plus courants, tels que les logiciels malveillants, les ransomwares et les attaques sans fichier qui ciblent les appareils des utilisateurs et les serveurs. L'EDR est également plus rapide à déployer et à configurer que le SIEM, qui nécessite de connecter et de normaliser les données provenant de dizaines de sources avant de pouvoir générer des alertes fiables.

Une fois l'EDR déployé et capable de générer des données de télémétrie fiables au niveau des terminaux, le SIEM apporte une couche de corrélation à l'échelle de l'environnement qui transforme les alertes des terminaux en récits complets d'incidents. Il répond également aux exigences de conformité et de conservation des journaux auxquelles l'EDR seul ne peut pas satisfaire. Les données de télémétrie de l'EDR deviennent l'une des sources de données les plus précieuses que le SIEM ingère. Plus l'EDR est mature et bien configuré, plus les informations sur les terminaux dont dispose le SIEM sont riches.

Pour les organisations qui disposent déjà d'un outil, la marche à suivre est simple : déployer l'autre outil et les intégrer. C'est dans cette intégration que réside la valeur ajoutée.

Ensemble, c'est mieux : EDR et SIEM de Kaseya

L'EDR et le SIEM ne sont pas des outils concurrents. Il s'agit de couches complémentaires d'une architecture de sécurité conçue pour détecter ce que chacune d'entre elles ne pourrait repérer à elle seule. L'EDR assure une protection approfondie des terminaux. Le SIEM relie les données issues des terminaux à l'ensemble du reste de votre environnement. Ensemble, ils comblent le manque de visibilité dont les attaquants tirent régulièrement parti lorsqu'ils se déplacent d'une surface d'attaque à l'autre.

Pour les MSP et les équipes informatiques à la recherche de ces deux fonctionnalités dans une solution étroitement intégrée, Kaseya propose Datto EDR et Kaseya SIEM avec une intégration native qui transmet directement les données de télémétrie des terminaux au SIEM pour une analyse corrélative. Datto EDR détecte et neutralise 99,62 % des logiciels malveillants et se déploie sur les terminaux Windows, macOS et Linux en un seul clic via Kaseya RMM. Kaseya SIEM met en corrélation ces données des terminaux avec la télémétrie des applications cloud provenant de SaaS Alerts, les événements réseau et les journaux d'identité provenant de plus de 60 sources de données, avec une conservation des journaux de 400 jours, des règles de réponse automatisées et une couverture SOC 24 h/24, 7 j/7. Pour les environnements où les effectifs d'analystes sont limités mais où la surface d'attaque ne l'est pas, cette combinaison couvre le terrain qu'aucun des deux outils ne couvre à lui seul.