Qu'est-ce que la détection et la réponse gérées (MDR) ?

Selon le rapport Kaseya « State of the MSP » de 2026, 61 % des MSP indiquent que la plupart ou la totalité de leurs clients font appel à eux pour obtenir des conseils en matière de cybersécurité. Le MDR permet de plus en plus aux MSP de répondre à cette attente sans avoir à constituer une équipe complète chargée des opérations de sécurité à partir de zéro.

La sécurité informatique est une nécessité 24 heures sur 24, 7 jours sur 7. Les menaces ne s'arrêtent pas aux heures de bureau, et les données sur la durée des attaques le montrent clairement : le temps moyen nécessaire à un cybercriminel pour passer de l'accès initial au déplacement latéral est désormais de 29 minutes (Rapport mondial sur les menaces de CrowdStrike, 2026). Une organisation qui ne dispose pas d'une surveillance continue n'a pas des heures pour réagir. Elle n'a que quelques minutes.

La mise en place et la gestion d'un centre d'opérations de sécurité (SOC) interne, doté d'analystes, d'outils, de processus et de l'expertise nécessaire pour détecter les menaces et y répondre 24 heures sur 24, coûtent plus de 735 000 dollars par an en frais de personnel et de fonctionnement. Et cela sans compter les outils. Pour la grande majorité des entreprises, un tel investissement n'est pas envisageable.

La solution MDR (Managed Detection and Response) comble cette lacune en proposant les fonctionnalités d'un centre de sécurité (SOC) sous forme de service géré : une équipe d'experts en sécurité, dotée de technologies de détection avancées, surveille votre environnement et réagit aux menaces en votre nom, 24 heures sur 24, 7 jours sur 7.

Qu'est-ce que le MDR ?

Le MDR est un service de sécurité géré qui associe des technologies (généralement l'EDR, la détection réseau, le SIEM et les renseignements sur les menaces) à l'expertise humaine afin d'assurer une surveillance, une détection, une analyse et une réponse continues face aux menaces. Le mot clé est « réponse » : contrairement aux services de surveillance des alertes qui se contentent de vous signaler les détections, les prestataires de services MDR agissent en votre nom pour contenir et éliminer les menaces.

Le service fonctionne 24 heures sur 24, 7 jours sur 7, grâce à une équipe d'analystes en sécurité qui surveillent les données télémétriques provenant de l'environnement du client, examinent les alertes signalées par les systèmes automatisés, distinguent les menaces réelles des faux positifs et prennent des mesures de confinement lorsqu'une menace réelle est confirmée. L'isolation des terminaux, le blocage des processus malveillants et l'accompagnement du client tout au long du processus de remédiation font partie intégrante de nos prestations.

Le MDR est axé sur les résultats. Sa valeur ne réside pas dans la pile technologique, que vous pourriez mettre en place vous-même. Elle réside dans l'expertise humaine qui exploite cette pile 24 heures sur 24, prend les décisions que les systèmes automatisés ne peuvent pas prendre et intervient avant qu'une menace ne se transforme en violation de sécurité.

Ce que comprend le MDR

Détection des menaces. Surveillance continue des terminaux, du réseau, des identités et des données télémétriques du cloud à l'aide d'outils EDR, d'outils de détection réseau et de données SIEM. La détection s'appuie à la fois sur des règles automatisées et sur l'examen par des analystes afin d'identifier les menaces que les systèmes automatisés ne parviennent pas à détecter à eux seuls, en particulier les anomalies comportementales qui ne correspondent pas aux signatures connues.

Analyse des alertes. Les analystes en sécurité examinent et classent les alertes afin de déterminer s'il s'agit de menaces réelles ou de faux positifs. Les outils de sécurité modernes génèrent des milliers d'alertes chaque jour. Sans ce tri effectué par les analystes, les informations pertinentes se perdent dans le bruit de fond et une « fatigue des alertes » s'installe. Le MDR décharge l'équipe interne de cette charge de travail.

Recherche de menaces. Il s'agit d'une analyse proactive des données télémétriques visant à détecter les indicateurs de compromission qui n'ont pas déclenché de détection automatisée, en recherchant les activités d'attaque à un stade précoce, telles que la reconnaissance, les mouvements latéraux et l'escalade de privilèges, qui précèdent un incident visible. Les attaques par ransomware, qui se préparent pendant des semaines avant le chiffrement, nécessitent ce type de détection proactive pour être repérées.

Réponse aux incidents. Lorsqu'une menace confirmée est identifiée, les prestataires de services MDR prennent des mesures de confinement : isolation des terminaux affectés, blocage des processus malveillants et coordination de la réponse globale à l'incident. Le prestataire se charge du confinement immédiat ; le client et le prestataire gèrent conjointement l'enquête, la correction et la restauration, en fonction de l'étendue du service.

Renseignements sur les menaces. Les fournisseurs de services MDR regroupent les renseignements sur les menaces provenant de l'ensemble de leur clientèle et de sources externes, et mettent à jour en permanence leurs règles de détection à mesure que de nouvelles menaces apparaissent. Grâce à cette intelligence collective, la capacité de détection du fournisseur s'améliore à chaque incident survenant au sein de l'ensemble de son portefeuille de clients.

Rapports. Des rapports réguliers sur l'état de la sécurité, l'activité des menaces, les indicateurs de détection et d'intervention, ainsi que les tendances en matière d'incidents, fournissant ainsi la traçabilité requise par les exigences de conformité et dont les parties prenantes ont besoin pour apprécier la valeur des investissements en sécurité.

Comment fonctionne le MDR

Le déroulement opérationnel du MDR est simple, même si son exécution sous-jacente est complexe.

Collecte de données télémétriques. La pile technologique du fournisseur MDR recueille des données de sécurité provenant des terminaux, des réseaux, des systèmes d'identité, de la messagerie électronique et des plateformes cloud.

Détection automatisée. Des modèles d'apprentissage automatique et des mécanismes de détection basés sur des règles identifient les anomalies et les schémas de menaces connus dans le flux de télémétrie, générant ainsi des alertes qui sont ensuite examinées par des analystes.

Triage par les analystes. Les analystes en sécurité examinent les alertes, les replacent dans leur contexte et déterminent celles qui constituent de réelles menaces. Les faux positifs sont filtrés. Les menaces réelles sont transmises aux équipes compétentes pour faire l'objet d'une enquête.

Enquête. Les menaces confirmées font l'objet d'une enquête visant à en déterminer l'ampleur, les systèmes touchés, le vecteur d'attaque et l'ensemble de la chaîne d'attaque. La cartographie MITRE ATT&CK permet de classer les techniques et de comprendre les objectifs de l'adversaire.

Confinement et intervention. Des mesures de confinement sont mises en œuvre : isolation des terminaux affectés, blocage des processus malveillants, révocation des identifiants compromis. Le client est informé et accompagné tout au long du processus de remédiation.

Rétablissement et apprentissage. Après un incident, les règles de détection sont mises à jour en fonction des enseignements tirés, et un rapport rend compte de ce qui s'est passé, de la manière dont la situation a été gérée et des mesures susceptibles de réduire le risque de récidive.

MDR ou MSSP : quelle est la différence ?

On confond parfois les fournisseurs de services de sécurité gérés (MSSP) et les fournisseurs de services MDR, mais il existe une distinction opérationnelle importante :

Les MSSP proposent généralement des services de surveillance et d'alerte. Ils surveillent les menaces et informent le client lorsqu'une menace est détectée. L'analyse et la réponse restent toutefois à la charge du client.

Les prestataires MDR intègrent l'investigation et la réponse dans leur service. Ils ne se contentent pas de vous signaler qu'un incident s'est produit. Ils déterminent de quoi il s'agit, évaluent la gravité de la situation et prennent les mesures nécessaires pour la maîtriser. Cette capacité de réponse est leur principale caractéristique.

Cette distinction est importante lorsqu'il s'agit d'évaluer la charge opérationnelle que chaque modèle fait peser sur le client. Un MSSP qui génère des alertes nécessitant une enquête et une intervention de la part d'une équipe interne apporte moins de soulagement aux organisations disposant de ressources limitées qu'un fournisseur MDR qui prend en charge ces étapes dans le cadre de son service. Pour les organisations ne disposant pas d'analystes de sécurité en interne, une alerte MSSP est en réalité inutile si personne n'est là pour y donner suite.

MDR, EDR et XDR

Ces trois termes désignent des fonctionnalités de sécurité connexes mais distinctes qui reviennent sans cesse dans les mêmes discussions :

L'EDR (Endpoint Detection and Response) est une plateforme technologique qui surveille le comportement des terminaux, détecte les menaces au niveau des appareils et offre des capacités de réaction telles que l'isolation des terminaux. L'EDR est un outil que vous gérez vous-même. En l'absence d'analystes chargés d'examiner ses détections, l'EDR génère des alertes qui risquent de ne pas être examinées.

Le XDR (Extended Detection and Response) étend la visibilité de l'EDR à plusieurs couches de sécurité, en regroupant les données télémétriques provenant des terminaux, du réseau, des identités, de la messagerie électronique et du cloud au sein d'une plateforme unifiée de détection et de réponse. Le XDR reste une plateforme technologique, et non un service géré.

Le MDR (Managed Detection and Response) est la couche de services qui gère pour votre compte les solutions EDR ou XDR. Les fournisseurs de services MDR s'appuient généralement sur des outils EDR et XDR pour la détection, puis y ajoutent une équipe d'analystes, la recherche active de menaces, les enquêtes et les mesures de réponse, transformant ainsi la technologie en un service de sécurité opérationnel.

En pratique : les solutions EDR et XDR vous indiquent ce qui se passe. La solution MDR vous explique ce que cela signifie et prend les mesures qui s'imposent.

À qui s'adresse le MDR ?

Le règlement MDR s'applique à toute organisation qui :

• Il manque des analystes en sécurité en interne pour surveiller les détections de l'EDR et examiner les alertes 24 heures sur 24
• Nécessite une couverture de détection et d'intervention 24 heures sur 24, 7 jours sur 7, qu'une petite équipe interne ne peut pas assurer
• A été confronté à un incident de sécurité et prend conscience de l'écart qui existe entre le fait de disposer d'outils de sécurité et celui de disposer d'une capacité de réaction opérationnelle
• Est soumis à des exigences en matière d'assurance cyber ou à des cadres de conformité qui imposent une surveillance continue et une réponse documentée aux incidents
• Souhaite démontrer sa maturité en matière de sécurité à ses clients, aux membres du conseil d'administration ou aux auditeurs, sans avoir à supporter les coûts et la complexité liés à la mise en place d'un SOC en interne

C'est le cas de la plupart des PME et d'une part importante des entreprises de taille intermédiaire. Les arguments économiques sont convaincants : mettre en place une capacité interne équivalente nécessite plusieurs analystes en sécurité à temps plein, des licences d'outils spécialisés et une couverture 24 heures sur 24, 7 jours sur 7, pour un coût annuel supérieur à 735 000 dollars, hors outils. Le MDR offre cette capacité pour un coût bien moindre.

Pour les MSP en particulier, les enjeux sont encore plus importants. Les MSP disposent d'un accès privilégié à des dizaines d'environnements clients via leurs plateformes RMM et PSA. Cet accès en fait des cibles de choix pour les attaques par la chaîne d'approvisionnement. Un MSP dont l'infrastructure n'est pas couverte par un service MDR constitue une porte d'entrée exposée vers tous les clients qu'il gère.

MDR et Kaseya SIEM : comment ils fonctionnent ensemble

Le MDR et le SIEM abordent le même problème sous des angles différents. Le MDR est un service géré, assuré par une équipe d'analystes qui surveille votre environnement et réagit aux menaces. Le SIEM est une plateforme technologique qui agrège, met en corrélation et analyse les données de télémétrie de sécurité provenant de l'ensemble de votre environnement.

Kaseya propose les deux solutions. Kaseya SIEM, désormais disponible au grand public, unifie les données de télémétrie provenant des terminaux, du réseau, du cloud, des identités et de la messagerie électronique, en corrélant les signaux issus de plus de 60 sources de données avec une conservation des journaux de 400 jours. Pour les organisations qui souhaitent gérer elles-mêmes leurs opérations de sécurité, SIEM fournit la plateforme nécessaire. Pour celles qui souhaitent bénéficier d'une couverture sans la charge opérationnelle, le service SOC géré 24 h/24 et 7 j/7 de Kaseya, optimisé par Kaseya Intelligence, offre des capacités MDR en plus de cette base de télémétrie.

Ces deux solutions fonctionnent mieux ensemble : le SIEM offre une large couverture des données et une longue durée de conservation ; le MDR apporte l'expertise humaine nécessaire pour transformer ces données en mesures de protection. Découvrez Kaseya SIEM.

Le RDM pour les MSP : étendre la pile de sécurité

Pour les MSP, le MDR offre deux opportunités distinctes.

En interne, le MDR assure la couverture des opérations de sécurité qui protège l'environnement propre au MSP, y compris les plateformes RMM et PSA à privilèges élevés qui font des MSP des cibles de choix. Un MSP dont l'infrastructure est couverte par un service MDR est nettement plus résilient face aux attaques de la chaîne d'approvisionnement qui visent les MSP comme point d'entrée vers leur clientèle.

En tant que service orienté client, le MDR offre aux clients des capacités de sécurité que la plupart des PME n'ont pas les moyens de mettre en place elles-mêmes. Les MSP qui intègrent le MDR comme composante standard de leur offre de sécurité, plutôt que de le recommander comme option supplémentaire, fournissent une protection véritablement complète et se démarquent ainsi de leurs concurrents qui se contentent d'assurer une surveillance sans intervention.

Le service MDR de Kaseya, disponible dans Kaseya 365 Pro, est assuré par des analystes en sécurité basés aux États-Unis et disponibles 24 heures sur 24, 7 jours sur 7. Il s'intègre à Datto EDR et à Kaseya 365 au sens large, offrant ainsi aux MSP et aux équipes informatiques internes une solution complète de gestion des opérations de sécurité. Découvrez Kaseya 365 Pro.

Points clés à retenir

• MDR propose un service géré assurant la surveillance, l'analyse et la réponse aux menaces 24 heures sur 24, 7 jours sur 7, offrant ainsi les capacités d'un centre d'opérations de sécurité (SOC) sans les coûts annuels de plus de 735 000 dollars liés à la mise en place d'un tel centre en interne.
• Ce qui distingue le MDR du MSSP, c'est la réaction : les prestataires MDR prennent des mesures de confinement en votre nom, ils ne se contentent pas de vous signaler qu'un incident s'est produit.
• Le MDR est la couche de services qui gère pour vous les technologies EDR et XDR. L'EDR et le XDR sont des outils ; le MDR est le service géré qui permet à ces outils d'être pleinement opérationnels.
• Avec un délai moyen de détection des cybercrimes désormais fixé à 29 minutes, la présence d'analystes 24 heures sur 24, 7 jours sur 7, n'est plus un luxe, mais une exigence fondamentale pour les entreprises qui souhaitent contenir les menaces avant qu'elles ne se propagent.
• Pour les MSP, le MDR constitue à la fois un dispositif de sécurité interne protégeant les accès privilégiés aux solutions RMM et PSA, et un service destiné aux clients qui offre des fonctionnalités de sécurité que la plupart des PME ne sont pas en mesure de mettre en place elles-mêmes.