EDR et SIEM : deux outils, une seule stratégie de sécurité
Chaque terminal de votre environnement constitue un point d'entrée potentiel. Chaque application, chaque service cloud et chaque connexion réseau génère des événements. Relier ces éléments entre eux avant qu'un attaquant ne le fasse constitue le défi fondamental des opérations de sécurité modernes — et c'est un défi qu'aucun outil ne peut relever à lui seul.
L'EDR et le SIEM comptent parmi les technologies les plus importantes dans les opérations modernes de cybersécurité. On les compare souvent comme si les entreprises devaient choisir entre les deux, mais cette comparaison passe à côté de l'essentiel. L'EDR surveille ce qui se passe sur vos appareils, tandis que le SIEM surveille ce qui se passe dans l'ensemble de votre environnement. Ils protègent des surfaces différentes, génèrent des types d'informations différents et fonctionnent de manière optimale lorsqu'ils sont intégrés et fonctionnent de concert.
La suite de sécurité de Kaseya comprend à la fois une solution logicielle EDR et un outil SIEM, avec une intégration native entre les deux. Cela nous permet d'avoir une vision directe du fonctionnement concret de ces deux catégories dans les environnements des MSP et des équipes informatiques du monde entier.
Quelle est la différence entre un EDR et un SIEM ?
L'EDR et le SIEM contribuent tous deux à la détection des menaces, mais ils sont conçus pour répondre à des aspects différents du problème de sécurité. C'est en comprenant ce que chacun d'entre eux fait réellement, et où s'arrêtent leurs capacités respectives, que l'on comprend pourquoi leur combinaison est pertinente.
Détection et réponse au niveau des terminaux (EDR)
L'EDR est un outil de sécurité qui surveille en permanence les terminaux, notamment les ordinateurs portables, les ordinateurs de bureau, les serveurs et les machines virtuelles, afin de détecter tout signe d'activité malveillante. Il installe un agent léger sur chaque terminal qui surveille en temps réel l'exécution des processus, les modifications du registre, les modifications de fichiers, les connexions réseau et le comportement des utilisateurs. Lorsqu'un élément semble suspect, la plateforme EDR alerte l'équipe de sécurité et, selon la configuration, peut réagir automatiquement en isolant le terminal concerné, en mettant fin aux processus malveillants ou en plaçant les fichiers en quarantaine.
La caractéristique déterminante de l’EDR réside dans la profondeur d’analyse au niveau des terminaux. Il est capable d’indiquer précisément quel processus a généré quel processus fils, quel fichier a été modifié à quel moment et quelle connexion réseau a été établie par quelle application. C’est ce niveau de détail forensic granulaire qui rend possibles l’investigation des incidents et l’analyse des causes profondes. C’est également au sein de l’EDR que s’inscrit la détection comportementale. Au lieu de s’appuyer sur des signatures de logiciels malveillants connus, les plateformes EDR modernes utilisent l’apprentissage automatique pour identifier les schémas de comportement suspects, ce qui les rend efficaces contre les menaces « zero-day » et les attaques sans fichier que les antivirus traditionnels ne détectent pas.
Ce que l'EDR ne voit pas, c'est tout ce qui se passe en dehors du terminal. Il n'a aucune visibilité sur le trafic réseau entre les appareils, l'activité des plateformes cloud, les événements liés aux applications SaaS ou les journaux d'identité et d'accès, à moins que cette activité ne touche directement le terminal.
Pour découvrir en détail le fonctionnement de l'EDR, les critères à prendre en compte lors du choix d'une solution et les différences par rapport aux antivirus traditionnels, consultez notre guide intitulé « Qu'est-ce que l'EDR ? ».
Gestion des informations et des événements de sécurité (SIEM)
Le SIEM constitue la couche d'agrégation et de corrélation d'une opération de sécurité. Il collecte les données de journaux et d'événements provenant de l'ensemble de l'environnement informatique, notamment des terminaux, des pare-feu, des plateformes cloud, des applications SaaS, des fournisseurs d'identité et des périphériques réseau ; il les normalise dans un format homogène et applique des règles de corrélation afin d'identifier des schémas suspects entre différentes sources, que nul outil pris isolément ne serait en mesure de relier.
Alors que l’EDR explore en profondeur une seule surface, le SIEM couvre l’ensemble des surfaces. Il répond aux questions qui nécessitent de croiser des données provenant de plusieurs sources : le processus suspect signalé par l’EDR sur cet ordinateur portable est-il lié à l’événement de connexion inhabituel sur votre plateforme d’identité et au pic de trafic sortant de votre environnement cloud ? Le SIEM assure également la fonction de conformité, en conservant les données de journaux pendant les mois ou les années exigés par des référentiels tels que HIPAA, PCI-DSS, le RGPD et SOC 2, et en générant les rapports prêts pour l’audit qui y sont associés.
Pour découvrir en détail le fonctionnement d'un système SIEM et savoir quels critères prendre en compte lors du choix d'une solution, consultez notre guide intitulé « Qu'est-ce qu'un système SIEM ? ».
EDR et SIEM : principales différences
Les solutions EDR et SIEM s'inscrivent dans le même écosystème de sécurité, mais elles répondent à des besoins différents. Le tableau ci-dessous présente les principales différences.
| EDR | SIEM | |
|---|---|---|
| Champ d'application principal | Terminaux | Ensemble de l'environnement informatique |
| Données collectées | Activité des processus, modifications de fichiers, connexions réseau au niveau des terminaux | Journaux et événements provenant de toutes les sources connectées |
| Méthode de détection | Analyse comportementale et apprentissage automatique au niveau du terminal | Règles de corrélation et analyses multi-sources |
| Réponse | Actions automatisées sur les terminaux (isolement, mise en quarantaine, arrêt) | Alertes nécessitant une enquête ; réponse via des outils intégrés |
| Fonction de conformité | Facilite la mise en conformité ; journaux d'audit spécifiques aux terminaux | Fonction de conformité centrale couvrant toutes les sources de journaux |
| Approche scientifique approfondie | Analyse approfondie des terminaux et reconstitution de la chronologie des attaques | Chronologie des incidents dans différents environnements et analyse historique |
| Lacunes en matière de visibilité | Aucune visibilité au-delà du point d'extrémité | Profondeur comportementale limitée au niveau des terminaux sans intégration EDR |
| Idéal pour | Détecter et contenir rapidement les menaces pesant sur les terminaux | Relier les différents éléments de votre environnement dans son ensemble |
Champ de visibilité
C’est là que réside la différence fondamentale. L’EDR offre une visibilité approfondie sur le comportement des terminaux, tandis que le SIEM offre une visibilité globale sur l’ensemble de l’environnement. Un attaquant qui compromet un terminal puis se déplace latéralement vers une charge de travail dans le cloud à l’aide d’identifiants volés apparaîtra dans l’EDR au niveau du terminal initial, disparaîtra de la vue de l’EDR lorsqu’il effectuera ce pivot, puis réapparaîtra dans le SIEM grâce aux journaux d’identité et aux événements d’accès au cloud qui suivent ses déplacements. Aucun de ces deux outils ne permet d’avoir une vue d’ensemble sans l’autre.
Détection et réaction
Les capacités de réponse de l’EDR sont immédiates et spécifiques à chaque terminal. Lorsqu’il détecte une menace, il agit en quelques secondes : il isole le terminal du réseau, met fin au processus malveillant et place les fichiers affectés en quarantaine — le tout avant que l’attaquant ne puisse aller plus loin. Le SIEM génère des alertes qui nécessitent une analyse et une intervention, soit manuellement, soit via une plateforme SOAR intégrée ou une automatisation native. La force du SIEM réside dans la qualité du contexte qu’il fournit pour cette intervention, et non dans la rapidité de l’action autonome.
Conformité
Le SIEM est le principal outil de mise en conformité. Il stocke l'ensemble des données de journaux exigées par les cadres réglementaires et génère les rapports structurés dont les auditeurs ont besoin. L'EDR fournit des journaux d'audit spécifiques aux terminaux ainsi que des preuves de la surveillance active des menaces, mais il ne peut à lui seul satisfaire à l'ensemble des obligations en matière de conservation des journaux et de surveillance intersystémique imposées par les normes HIPAA, PCI-DSS et le RGPD.
L'EDR remplace-t-il le SIEM ?
Non, et l'inverse est également vrai. Le SIEM ne remplace pas non plus l'EDR. Ces deux solutions protègent des environnements différents et fournissent des types d'informations fondamentalement différents.
La confusion vient du fait que ces deux outils détectent les menaces. L’EDR détecte les menaces au niveau des terminaux, en temps réel, avec une précision permettant d’isoler exactement ce qui s’est passé sur un appareil donné. Le SIEM détecte les menaces à l’échelle de l’environnement en corrélant les signaux provenant de multiples sources au fil du temps. Une plateforme EDR qui détecte un processus suspect sur une machine ignore que le même attaquant a compromis trois autres machines via un vecteur différent la semaine dernière. Le SIEM, lui, le sait.
Il existe également un aspect de conformité qui rend la question sans objet pour la plupart des organisations. Si vous exercez votre activité dans un secteur réglementé, le SIEM n’est pas facultatif, quelles que soient les capacités de votre solution EDR. Le RGPD, la loi HIPAA, la norme PCI-DSS et la norme SOC 2 imposent tous des exigences en matière de conservation des journaux et de rapports d’audit auxquelles l’EDR ne peut répondre à lui seul. Les journaux de l’EDR couvrent les terminaux. Les autorités de régulation attendent une couverture de l’ensemble de votre environnement informatique.
Concrètement, cela se présente ainsi : l'EDR est votre spécialiste des terminaux. Le SIEM est votre couche d'intelligence à l'échelle de l'environnement. La suppression de l'un ou de l'autre crée une faille que les attaquants savent parfaitement exploiter.
Comment l'EDR et le SIEM s'intègrent et fonctionnent ensemble
C'est dans l'intégration entre l'EDR et le SIEM que la valeur ajoutée combinée de ces deux outils prend tout son sens. Une fois connectées, ces deux plateformes offrent une capacité de détection et d'analyse qu'aucune d'entre elles ne peut fournir à elle seule.
Le processus fonctionne ainsi : l’agent EDR installé sur un terminal détecte un comportement suspect, tel que l’exécution d’un processus inhabituel, une tentative de désactivation d’un logiciel de sécurité ou une connexion à une adresse IP malveillante connue, et génère une alerte accompagnée de données télémétriques détaillées sur le terminal. Ces données sont transmises au SIEM, qui les intègre aux données de journaux provenant des systèmes d’identité, des plateformes cloud, des périphériques réseau et d’autres sources. Le moteur de corrélation du SIEM vérifie ensuite si l’événement survenu sur le terminal est lié à d’autres signaux dans l’environnement : y a-t-il eu un événement d’authentification inhabituel sur le même compte quelques instants auparavant ? Y a-t-il du trafic sortant provenant du même appareil vers une adresse IP externe ? Un autre terminal a-t-il présenté un comportement similaire au cours des dernières 24 heures ?
Il en résulte un incident enrichi et mis en corrélation, plutôt qu'une simple alerte isolée concernant un terminal. L'analyste dispose ainsi d'un contexte complet : ce qui s'est passé sur le terminal, les autres événements survenus dans l'environnement en lien avec celui-ci, ainsi qu'une chronologie couvrant l'ensemble de la chaîne d'attaque, et non pas uniquement la partie détectée par l'EDR.
Cette intégration fonctionne également dans l’autre sens. Les règles de corrélation SIEM peuvent utiliser les données télémétriques des terminaux pour détecter des schémas d’attaque s’étendant sur plusieurs appareils. Une seule alerte EDR sur une machine peut ne pas atteindre le seuil de remontée. En revanche, cinq alertes EDR sur cinq machines présentant des schémas de processus similaires, toutes provenant du même sous-réseau dans un intervalle de 30 minutes et corrélées à des événements d’authentification inhabituels dans les journaux d’identité, constituent un incident de niveau SIEM qui ne devient visible que lorsque les données des terminaux alimentent le moteur de corrélation global.
Pour les MSP qui gèrent plusieurs environnements clients, cette intégration apporte une valeur ajoutée considérable. Datto EDR transmet directement les données de télémétrie des terminaux à Kaseya SIEM grâce à une intégration native. L'équipe du SOC dispose ainsi d'une vue détaillée au niveau des terminaux et d'une corrélation à l'échelle de l'environnement dans une vue unique, pour tous les clients, sans avoir à passer d'un outil à l'autre.
EDR, SIEM et cyberassurance
Un aspect pratique qui est rarement évoqué dans les comparaisons entre les solutions EDR et SIEM est que ces deux outils sont désormais considérés comme des critères incontournables par les assureurs spécialisés dans la cyberassurance — et que les exigences en la matière deviennent de plus en plus précises.
D’après des données récentes en matière de souscription, la majorité des assureurs proposant des assurances cyber exigent désormais la mise en place d’une solution EDR comme condition de couverture. Cette exigence ne se limite pas à la simple possession d’une licence pour cet outil. Les souscripteurs souhaitent disposer de preuves attestant d’une surveillance active et du bon état de fonctionnement des agents sur l’ensemble des terminaux. Un seul terminal non géré peut constituer une lacune rédhibitoire lors du renouvellement du contrat.
Le SIEM répond à un ensemble distinct d'exigences formulées par les assureurs. Ces derniers attendent de plus en plus des organisations qu'elles démontrent leur capacité à assurer une surveillance continue de la sécurité, à conserver les journaux d'événements et à détecter et signaler rapidement les violations de sécurité. Le SIEM constitue le mécanisme standard permettant de satisfaire à ces exigences, en particulier dans les secteurs réglementés où des cadres normatifs tels que la loi HIPAA et la norme PCI-DSS imposent des obligations spécifiques en matière de conservation des journaux d'événements, que les assureurs vérifient lors de la souscription.
Pour les MSP, cela représente une opportunité commerciale directe. Les clients qui ne disposent pas encore d’une solution EDR ou SIEM risquent de ne pas pouvoir être assurés ou de payer des primes plus élevées que nécessaire. Le déploiement de ces deux solutions dans le cadre d’une offre de sécurité multicouche permet de répondre aux exigences des assureurs tout en renforçant la posture de sécurité globale du client.
Lequel devriez-vous déployer en premier ?
Pour les organisations qui mettent en place leur infrastructure de sécurité, l'ordre dans lequel les mesures sont mises en œuvre dépend de l'endroit où se situe le point de vulnérabilité le plus important.
Si les terminaux constituent la principale surface d’attaque — ce qui est le cas pour la plupart des PME et des entreprises de taille intermédiaire —, l’EDR est la priorité absolue. Il offre une protection immédiate contre les vecteurs d’attaque initiaux les plus courants, tels que les logiciels malveillants, les ransomwares et les attaques sans fichier qui ciblent les appareils des utilisateurs et les serveurs. L’EDR est également plus rapide à déployer et à configurer que le SIEM, qui nécessite de relier et de normaliser les données provenant de dizaines de sources avant de commencer à générer des alertes fiables.
Une fois l’EDR déployé et générant des données télémétriques fiables sur les terminaux, le SIEM ajoute une couche de corrélation à l’échelle de l’environnement qui transforme les alertes des terminaux en récits complets d’incidents. Il répond également aux exigences de conformité et de conservation des journaux auxquelles l’EDR ne répond pas à lui seul. Les données télémétriques de l’EDR deviennent l’une des sources de données les plus précieuses que le SIEM ingère. Plus l’EDR est mature et bien configuré, plus les informations sur les terminaux dont dispose le SIEM sont riches.
Pour les organisations qui disposent déjà d'un outil, la marche à suivre est simple : déployer l'autre outil et les intégrer. C'est dans cette intégration que réside la valeur ajoutée.
Ensemble, c'est mieux : EDR et SIEM de Kaseya
L'EDR et le SIEM ne sont pas des outils concurrents. Il s'agit de couches complémentaires d'une architecture de sécurité conçue pour détecter ce que chacune d'entre elles ne pourrait pas repérer à elle seule. L'EDR assure une protection approfondie des terminaux. Le SIEM relie les informations relatives aux terminaux à l'ensemble du reste de votre environnement. Ensemble, ils comblent le manque de visibilité dont les attaquants tirent régulièrement parti lorsqu'ils se déplacent d'une surface d'attaque à l'autre.
Pour les MSP et les équipes informatiques à la recherche de ces deux fonctionnalités dans une solution étroitement intégrée, Kaseya propose Datto EDR et Kaseya SIEM avec une intégration native qui transmet directement les données télémétriques des terminaux au SIEM pour une analyse corrélative. Datto EDR détecte et neutralise 99,62 % des logiciels malveillants et se déploie sur les terminaux Windows, macOS et Linux en un seul clic via Kaseya RMM. Kaseya SIEM met en corrélation ces données des terminaux avec les données télémétriques des applications cloud provenant d’ SaaS Alerts, les événements réseau et les journaux d’identité issus de plus de 60 sources de données, avec une conservation des journaux de 400 jours, des règles de réponse automatisées et une couverture SOC 24 h/24, 7 j/7. Pour les environnements où les effectifs d’analystes sont limités mais où la surface d’attaque ne l’est pas, cette combinaison couvre les aspects que chaque outil, pris isolément, ne peut à lui seul prendre en charge.
