Qu'est-ce que la détection et la réponse au niveau des terminaux (EDR) ?

Selon le rapport Kaseya 2026 sur l’état du marché des MSP, 71 % des MSP ont fait état d’une croissance de leur chiffre d’affaires lié à la cybersécurité par rapport à l’année précédente, et l’EDR est devenu le dispositif de sécurité fondamental que les clients considèrent désormais comme la norme. La question n’est plus de savoir si vous avez besoin d’un système EDR, mais si celui dont vous disposez est capable de faire face aux menaces auxquelles les terminaux sont réellement confrontés en 2026.

Pendant des décennies, les antivirus ont constitué la norme en matière de sécurité pour la protection des terminaux. Ils fonctionnaient bien à une époque où les logiciels malveillants étaient pour l’essentiel connus, basés sur des signatures et diffusés par des vecteurs prévisibles. Face au paysage actuel des menaces, ils n’offrent qu’une protection minimale. Les attaques modernes recourent à des logiciels malveillants sans fichier qui s’exécutent entièrement en mémoire, à des techniques dites « living-off-the-land » qui détournent des outils système légitimes, ainsi qu’à des logiciels malveillants polymorphes qui modifient leur signature à chaque exécution. Aucun de ces éléments ne laisse le type d’empreinte de fichier que la détection basée sur les signatures est capable de repérer.

La solution EDR (Endpoint Detection and Response) a été conçue pour combler cette lacune. Plutôt que de comparer les fichiers à une base de données de menaces connues, l'EDR surveille en permanence le comportement des terminaux et identifie les schémas d'activité associés aux attaques, que la technique utilisée ait déjà été observée ou non.

Points clés à retenir

• L'EDR surveille en permanence le comportement des terminaux et détecte les schémas d'attaque, que la menace en question soit connue ou non, ce qui permet de pallier directement les limites des antivirus basés sur les signatures.
• Notre principe fondamental repose sur la détection, le confinement et l'analyse : bloquer les menaces au moment où elles s'exécutent, limiter leur propagation et fournir les données d'analyse afin de comprendre pleinement ce qui s'est passé et d'y remédier.
• L'EDR offre une protection contre les types d'attaques qui contournent les outils traditionnels : les logiciels malveillants sans fichier, les exploits « zero-day », les ransomwares, les campagnes APT en plusieurs étapes et les menaces internes.
• La couverture du cadre MITRE ATT&CK constitue la référence idéale pour évaluer les solutions EDR : il convient d'examiner quelles tactiques et techniques sont détectées avec précision, et non de se contenter des taux de détection annoncés dans les titres.
• Un système EDR sans suivi par des analystes est incomplet. Le MDR apporte la dimension humaine qui permet de transformer les détections de l'EDR en réponses opérationnelles ; il constitue la solution pratique pour les entreprises ne disposant pas d'un centre d'opérations de sécurité (SOC) en interne.
• Pour les MSP, l'EDR intégré à un RMM et à un PSA offre une visibilité unifiée sur les terminaux, un workflow automatisé allant de l'alerte à la création de ticket, ainsi qu'une gestion multi-locataires qui rend la sécurité évolutive dans tous les environnements clients.

Découvrez Kaseya EDR

Qu'est-ce que l'EDR ?

L'EDR est une technologie de sécurité des terminaux qui surveille en permanence l'activité des terminaux, l'exécution des processus, les modifications de fichiers, les connexions réseau, les modifications du registre et les actions sur les comptes utilisateurs, et qui utilise ces données de télémétrie pour détecter les menaces et y répondre en temps réel.

Le concept de « détection et réponse » est essentiel. L’EDR ne se contente pas d’identifier les menaces, il permet également de mener des enquêtes et d’y répondre. Lorsqu’une menace est détectée, l’EDR fournit les données d’analyse pour comprendre ce qui s’est passé, jusqu’où l’attaque a progressé, à quelles ressources elle a eu accès et quelles mesures correctives doivent être prises. Il offre également des capacités de réponse directes : isolation du terminal affecté du réseau, arrêt des processus malveillants, annulation des modifications et prévention de toute propagation supplémentaire.

L'EDR est désormais considéré comme la norme en matière de sécurité des terminaux dans les environnements d'entreprise. Il est de plus en plus souvent exigé par les polices d'assurance cyber, imposé par les cadres de conformité et mentionné dans les évaluations de sécurité comme mesure de contrôle de base. Pour les MSP, l'EDR passe du statut de module complémentaire facultatif à celui de composante standard de la prestation de services gérés, et devient de plus en plus souvent une condition préalable à la souscription d'une assurance par les clients.

Fonctionnement de l'EDR

Un administrateur informatique déploie un agent EDR sur chaque terminal. Une fois en fonctionnement, l'agent surveille les processus, les applications, les connexions réseau et les fichiers, établissant ainsi, au fil du temps, un profil de référence du comportement de l'appareil. Lorsqu'une activité s'écarte de ce profil, l'agent la signale, l'analyse à la recherche d'indicateurs de menace, puis réagit ou déclenche une alerte en fonction de la gravité.

Un exemple concret : si l'agent EDR détecte la création inhabituelle d'un processus fils au sein d'une application légitime, une connexion sortante inattendue sur un port non standard ou un comportement de chiffrement de fichiers dans plusieurs répertoires simultanément, il considère ce schéma comportemental comme un signal de menace et intervient immédiatement, sans attendre la comparaison du hachage du fichier avec une base de données de logiciels malveillants connus.

Lorsque plusieurs alertes se déclenchent, les outils EDR effectuent un triage en fonction de leur gravité, garantissant ainsi que les incidents les plus critiques soient signalés en priorité aux équipes de sécurité. Une fois la correction effectuée, la fonction d'analyse forensique retrace l'historique complet de l'incident : vecteur d'accès initial, mouvement latéral, fichiers affectés, identifiants consultés, fournissant ainsi les données sur la cause première nécessaires pour éviter toute récidive.

En quoi l'EDR diffère-t-il d'un antivirus ?

La différence réside dans la méthode de détection et le champ d'application.

• L'antivirus compare les fichiers à une base de données contenant les signatures de logiciels malveillants connus. Il est efficace contre les logiciels malveillants connus, de type « file-based ». Il ne peut toutefois pas détecter les menaces inconnues, les attaques « fileless » ni les anomalies comportementales qui ne correspondent à aucun modèle connu. Lorsqu'une nouvelle variante de logiciel malveillant apparaît dans la base de données de signatures, elle est déjà en circulation.
• L'EDR surveille le comportement de l'ensemble du terminal, et pas seulement celui des fichiers, en combinant la détection basée sur des règles, l'apprentissage automatique et les informations sur les menaces afin d'identifier à la fois les menaces connues et les techniques inédites.

Une attaque sans fichier qui injecte du code malveillant dans un processus légitime ne génère aucun fichier susceptible d'être détecté par un antivirus. Un système EDR surveillant le comportement des processus détecte le processus fils inhabituel, la connexion réseau inattendue ou l'accès anormal à la mémoire, et déclenche une alerte en fonction de ce comportement plutôt qu'en fonction d'un fichier.

Dans la pratique, l’EDR a remplacé l’antivirus en tant que principale couche de protection des terminaux. La plupart des plateformes EDR modernes intègrent la détection basée sur les signatures à titre de composant complémentaire ; vous n’avez donc pas à choisir entre les deux. Vous ajoutez ainsi la couche comportementale que l’antivirus seul ne peut pas fournir.

Fonctionnalités principales de l'EDR

Collecte continue de données télémétriques au niveau des terminaux. Les agents EDR collectent des journaux détaillés sur l'exécution des processus, les opérations sur les fichiers, les connexions réseau, les modifications du registre et les actions liées aux comptes utilisateurs. Ces données télémétriques constituent la matière première de toute détection, enquête et recherche de menaces.

Détection comportementale des menaces. Des règles de détection et des modèles d'apprentissage automatique identifient les schémas d'attaque dans le flux de télémétrie : mouvement latéral, élévation de privilèges, extraction d'identifiants, comportement de chiffrement des ransomwares et communications de type « command and control ». La détection repose sur l'activité du terminal, et non sur les fichiers qui s'y trouvent.

Réponse automatisée et confinement. Lorsqu’une menace est confirmée, l’EDR peut réagir immédiatement : il isole le terminal affecté du réseau, met fin aux processus malveillants, bloque les connexions malveillantes et place les fichiers en quarantaine. C’est cette automatisation qui fait de l’EDR un outil de confinement et non un simple outil de détection. La réponse intervient en quelques secondes, et non pas dans le délai nécessaire à un technicien pour remarquer l’alerte.

Enquête sur les menaces et analyse forensic. La télémétrie EDR fournit un historique complet des événements survenus sur les terminaux : ce qui s'est exécuté, ce que le programme a fait, les fichiers sur lesquels il a agi, les connexions qu'il a établies. Ces données sont essentielles pour confirmer l'étendue totale de la compromission, remonter jusqu'au point d'accès initial et vérifier que tous les composants de l'attaque ont bien été supprimés avant de remettre le terminal en production.

Recherche proactive de menaces. Outre la détection automatisée, l’EDR permet une recherche proactive de menaces, en analysant les données télémétriques des terminaux à la recherche d’indicateurs de compromission que les règles automatisées auraient pu manquer. La recherche proactive de menaces nécessite l’intervention d’analystes humains ; c’est pourquoi l’EDR est souvent associé à des services MDR pour les entreprises ne disposant pas d’une équipe de sécurité en interne.

Rapports et preuves de conformité. L'EDR génère des rapports détaillés sur les menaces détectées, les mesures prises en réponse et l'état de sécurité des terminaux. Pour les organisations soumises aux exigences PCI DSS, HIPAA, Cyber Essentials ou CMMC, ces rapports fournissent la trace écrite requise par les auditeurs.

Contre quelles menaces l'EDR assure-t-il une protection ?

Ransomware. La détection comportementale de l’EDR repère les ransomwares dès leur exécution, en identifiant le chiffrement massif de fichiers, la suppression des clichés instantanés et les activités de commande et de contrôle avant même que le chiffrement ne soit achevé. L’isolement automatisé des terminaux limite la propagation de l’attaque à un seul appareil, empêchant ainsi toute propagation latérale.

Malwares sans fichier. Les attaques qui s'exécutent entièrement en mémoire à l'aide de PowerShell, de WMI ou d'autres outils système légitimes ne laissent aucun fichier susceptible d'être détecté par un antivirus. La surveillance du comportement des processus offerte par l'EDR détecte les schémas d'exécution anormaux, qu'il y ait ou non un fichier malveillant sur le disque.

Exploits « zero-day ». Comme l'EDR se base sur l'analyse comportementale plutôt que sur des signatures connues, il est capable d'identifier les tentatives d'exploitation visant des vulnérabilités non corrigées. Le comportement inhabituel des processus qui suit un exploit réussi est détectable, même lorsque l'exploit lui-même est totalement inédit.

Attaques en plusieurs étapes et menaces persistantes avancées (APT). Les menaces persistantes avancées se déroulent sur plusieurs semaines, voire plusieurs mois : accès initial, déplacement latéral discret, élévation des privilèges, collecte des données et, finalement, exfiltration. Grâce à la télémétrie continue de l'EDR, chaque étape laisse une trace, et la détection comportementale à n'importe quel moment permet de mettre au jour une attaque qui se déroule discrètement depuis un certain temps.

Menaces internes. Les acteurs internes malveillants ou les comptes compromis qui abusent d’un accès légitime sont difficiles à détecter à l’aide d’outils de sécurité périmétrique. L’approche de référence de l’EDR consiste à signaler comme des anomalies les schémas d’accès aux données inhabituels, l’utilisation inattendue de privilèges ou les opérations anormales sur les fichiers effectuées par un compte connu, plutôt que de les considérer comme des activités légitimes.

Charges utiles véhiculées par le phishing. Le phishing reste le vecteur d’accès initial le plus courant. L’EDR n’empêche pas l’e-mail de phishing lui-même d’arriver — c’est le rôle des outils de sécurité de la messagerie —, mais lorsqu’une charge utile véhiculée par le phishing s’exécute sur le terminal, l’EDR détecte ce comportement et le contient avant qu’elle ne puisse s’implanter durablement ou entamer un mouvement latéral.

L'EDR et le cadre MITRE ATT&CK

Le cadre MITRE ATT&CK constitue la base de connaissances de référence du secteur en matière de tactiques, techniques et procédures utilisées par les attaquants et observées lors d'attaques réelles. Il s'agit du cadre de référence permettant de décrire le comportement des attaques, d'évaluer la couverture des outils de sécurité et d'élaborer des logiques de détection.

Lorsqu'on compare des plateformes EDR, la couverture du cadre ATT&CK constitue un critère d'évaluation plus pertinent que les taux de détection annoncés. Deux questions sont essentielles : quelles techniques la plateforme détecte-t-elle de manière fiable, et avec quelle précision les détecte-t-elle sans générer un nombre excessif de faux positifs ?

Concentrez-vous sur les tactiques les plus pertinentes au regard de votre modèle de menace. Pour la plupart des environnements gérés par des MSP, les domaines hautement prioritaires sont l’accès initial, l’exécution, la persistance, l’escalade des privilèges, l’accès aux identifiants, le déplacement latéral et l’impact, qui inclut les ransomwares. Une solution EDR offrant une couverture précise de ces sept tactiques assure une protection nettement plus solide qu’une solution qui se contente de détecter les variantes connues de logiciels malveillants et s’en tient là.

EDR vs MDR : quand un simple outil ne suffit plus

L'EDR est une technologie puissante de détection et de réponse. Il ne s'agit pas d'un service de sécurité entièrement géré. Les détections qui ne font pas l'objet d'une enquête et d'une intervention n'offrent aucune protection, et l'analyse précise des alertes EDR nécessite une expertise en sécurité dont la plupart des équipes informatiques et des MSP ne disposent pas 24 heures sur 24.

Le MDR (Managed Detection and Response) comble cette lacune en ajoutant une couche d'analystes humains à la plateforme EDR : des analystes en sécurité qui surveillent les données télémétriques, examinent les alertes, filtrent les faux positifs et réagissent aux menaces confirmées, généralement 24 heures sur 24, 7 jours sur 7.

Pour les entreprises ne disposant pas de capacités internes en matière de sécurité, ce qui est le cas de la plupart des PME et d'une part importante des entreprises de taille intermédiaire, le MDR permet de tirer pleinement parti de l'EDR sur le plan opérationnel. La technologie détecte les menaces. Le service MDR détermine ce qui est réel, décide de la réponse à apporter et passe à l'action.

Datto EDR offre une solution complète de détection et de réponse au niveau des terminaux, comprenant des fonctions automatisées de confinement et des capacités d’investigation forensic complètes. Pour les entreprises qui ont besoin d’une offre entièrement gérée, le service MDR de Kaseya, disponible dans la solution « Kaseya 365 Endpoint Pro », met à disposition des analystes en sécurité basés aux États-Unis, intervenant 24 h/24 et 7 j/7 en complément de la plateforme EDR. Découvrez Datto EDR ou explorez la solution « Kaseya 365 Endpoint » pour accéder à la plateforme complète.

Choix et déploiement d'une solution EDR

• Couverture de détection par rapport au référentiel MITRE ATT&CK. Quelles techniques sont couvertes, et avec quel degré de précision ? Une couverture étendue accompagnée d’un taux élevé de faux positifs s’avère moins utile qu’une couverture précise des techniques qui revêtent une importance particulière pour votre modèle de menace.
• Taux de faux positifs. La « fatigue des alertes » constitue un véritable problème opérationnel. Un EDR qui déclenche sans cesse des alertes incite les analystes à ne plus y prêter attention, ce qui explique précisément pourquoi de véritables menaces passent inaperçues. La précision est tout aussi importante que la sensibilité.
• Niveau d'automatisation de la réponse. La plateforme est-elle capable d'isoler automatiquement les terminaux, d'arrêter des processus et de mettre des fichiers en quarantaine sans intervention humaine pour chaque action ? La rapidité de la réponse automatisée fait toute la différence entre confiner un ransomware à un seul appareil et le laisser se propager. Pour les prestataires de services gérés (MSP) qui gèrent plusieurs environnements clients, l'automatisation est le seul moyen de réagir à la vitesse requise face aux menaces.
• Outils d'investigation informatique. Est-il facile d'analyser une alerte ? Pouvez-vous établir une chronologie complète des événements, passer d'un processus à tous les fichiers qu'il a touchés, ou interroger les données télémétriques de tous les terminaux gérés à la recherche d'un indicateur de compromission spécifique ?
• Intégration RMM et PSA. Pour les MSP, une solution EDR intégrée au RMM offre une visibilité unifiée sur l'état de santé des terminaux, leur niveau de sécurité et les menaces actives, le tout à partir d'une seule console opérationnelle. L'automatisation du processus « de l'alerte au ticket » grâce à l'intégration PSA permet aux détections d'être intégrées directement dans le flux de travail de prestation de services, plutôt que de rester isolées dans un portail de sécurité distinct.
• Multilocataire et séparation des clients. Pour les MSP qui gèrent plusieurs environnements clients, la possibilité de visualiser et d'intervenir sur l'ensemble de ces environnements à partir d'une seule plateforme, tout en garantissant une séparation totale des données entre eux, constitue une exigence opérationnelle incontournable.