Qu'est-ce que l'EDR géré (MEDR) ? Un guide destiné aux entreprises et aux MSP

De nos jours, la plupart des entreprises possèdent un nombre incalculable de terminaux. Ordinateurs portables, serveurs, postes de travail distants, machines virtuelles hébergées dans le cloud… La liste s’allonge à chaque fois qu’un nouvel employé est embauché ou qu’un outil SaaS est déployé. Chacun de ces appareils constitue un point d’entrée potentiel pour les pirates, et la question n’est plus de savoir si vous avez besoin d’une solution de détection et de réponse aux incidents sur les terminaux (EDR), mais si vous disposez du personnel nécessaire pour la gérer correctement.

C'est précisément cette lacune que la solution EDR gérée a été conçue pour combler. Datto EDR, qui fait partie de la plateforme Kaseya, offre aux MSP les outils nécessaires pour déployer et gérer la sécurité des terminaux dans les environnements de leurs clients. Et pour les MSP qui souhaitent aller plus loin, Kaseya MDR leur apporte un soutien grâce à un centre d'opérations de sécurité (SOC) disponible 24 h/24 et 7 j/7, animé par des analystes expérimentés.

Ce guide explique ce qu'est l'EDR géré, comment il fonctionne, à qui il s'adresse et comment les MSP peuvent s'en servir pour mettre en place un service de sécurité récurrent dont leurs clients ont besoin.

Qu'est-ce qu'un EDR géré ?

L'EDR géré, parfois appelé MEDR, est une technologie de détection et de réponse au niveau des terminaux fournie sous forme de service géré. Au lieu de déployer un logiciel EDR et de laisser les clients se charger eux-mêmes de sa surveillance, un fournisseur d'EDR géré prend en charge la responsabilité opérationnelle. Cela implique le déploiement d'agents, la gestion des alertes, l'analyse des menaces et la réponse aux incidents.

Pour la plupart des petites et moyennes entreprises (PME), cette distinction revêt une importance capitale. Les logiciels EDR sont, par nature, très sophistiqués. Ils génèrent un volume important de données télémétriques, nécessitent un réglage minutieux pour réduire les faux positifs et exigent des analystes en sécurité capables d'exploiter les informations qu'ils mettent en évidence. Les PME disposent rarement de cette expertise en interne.

MEDR résout ce problème en associant la technologie et les ressources humaines. Les clients bénéficient d'une couverture EDR sans avoir à recruter de personnel de sécurité. Les MSP disposent d'un service structuré qu'ils peuvent tarifer, adapter à la demande et fournir de manière cohérente.

Comment fonctionne l'EDR géré ?

L'EDR géré s'articule autour de cinq étapes interdépendantes. Comprendre chacune d'entre elles permet de comprendre pourquoi cette approche est plus efficace que de laisser un logiciel EDR fonctionner de manière autonome. Voici un aperçu de ces cinq étapes :

1. Déploiement d'agents et inventaire des terminaux : le processus commence par l'installation d'un agent logiciel léger sur chaque terminal concerné : ordinateurs de bureau, ordinateurs portables, serveurs et, de plus en plus, machines virtuelles et charges de travail hébergées dans le cloud. L'agent établit un profil de référence pour chaque appareil, en recensant les processus qui s'exécutent habituellement, les applications qui communiquent avec le réseau et les schémas d'accès aux fichiers. Tout élément s'écartant de ce profil de référence est signalé pour analyse.
2. Surveillance continue : une fois déployée, la plateforme EDR surveille les terminaux 24 heures sur 24. Elle recueille des données de télémétrie concernant la création de processus, les connexions réseau, les modifications de fichiers, les changements apportés au registre et les événements d'authentification. C'est grâce à ce flux continu de données que l'EDR est capable de détecter les menaces qui ne se révèlent qu'au fil du temps, telles que les mouvements latéraux progressifs caractéristiques des menaces persistantes avancées (APT).
3. Détection et corrélation des menaces : les données télémétriques brutes ne suffisent pas à elles seules à fournir des informations de sécurité exploitables. Les plateformes MEDR s'appuient sur l'analyse comportementale, l'apprentissage automatique et les flux de renseignements sur les menaces pour corréler les événements et mettre en évidence les menaces réelles. Les meilleurs outils alignent les détections sur le cadre MITRE ATT&CK, qui fournit un contexte sur la technique probable de l'attaquant et la prochaine étape, plutôt que de laisser les analystes devoir le déterminer par eux-mêmes.
4. Triage et analyse des alertes : toutes les alertes ne constituent pas nécessairement une menace réelle. L'un des principaux avantages d'une solution EDR gérée par rapport à une solution EDR autogérée réside dans le triage effectué par des humains. Des analystes expérimentés examinent les événements signalés, filtrent les faux positifs et ne transmettent que les incidents confirmés ou hautement prioritaires. C'est là que le jugement de l'analyste fait toute la différence. La reconnaissance des schémas, acquise grâce à l'analyse de milliers d'incidents réels, donne de meilleurs résultats que n'importe quelle liste de contrôle automatisée.
5. Intervention et remédiation : lorsqu'une menace avérée est confirmée, l'équipe MEDR intervient. Les mesures d'intervention varient en fonction de la gravité et peuvent inclure l'isolation du terminal affecté du réseau, l'arrêt des processus malveillants, la mise en quarantaine des fichiers suspects, la restauration des fichiers chiffrés (lorsque cela est possible) et la génération d'un rapport d'analyse post-incident. Pour de nombreux MSP, cette dernière étape, à savoir une intervention documentée et justifiable, est ce qui fait de l'EDR géré un service haut de gamme plutôt qu'un service de base.

Principales fonctionnalités de l'EDR géré

Tous les services EDR gérés ne se valent pas. Voici les fonctionnalités qui distinguent une offre de qualité d'une offre basique.

Analyse comportementale et surveillance de base
La détection basée sur les signatures permet de repérer les logiciels malveillants connus. L'analyse comportementale détecte tout le reste. Une plateforme MEDR efficace suit le comportement des processus, et pas seulement leur nature ; c'est pourquoi elle est capable de détecter les attaques sans fichier et les exploits « zero-day » qui n'écrivent jamais de fichier identifiable sur le disque.

de surveillance et d'intervention 24 h/24, 7 j/7 Les pirates informatiques ne respectent pas les horaires de bureau. Un service EDR géré qui n'est pas surveillé pendant la nuit n'est pas véritablement géré. Recherchez des prestataires proposant une véritable couverture 24 h/24, 7 j/7, assurée par des analystes en sécurité, et non pas seulement des alertes automatisées suivies d'un suivi le lendemain.

Faibles taux de faux positifs
La fatigue liée aux alertes est un véritable problème. Les plateformes qui génèrent un bruit excessif incitent les analystes à ignorer les alertes, ce sur quoi comptent précisément les attaquants. Un service MEDR de qualité concentre la détection sur les comportements les plus significatifs, en maintenant un rapport signal/bruit gérable pour les équipes chargées de la surveillance.

Alignement sur le cadre MITRE ATT&CK
Les alertes qui s'inscrivent dans le cadre MITRE ATT&CK indiquent aux analystes non seulement ce qui s'est passé, mais aussi où cela se situe dans la chaîne d'attaque et ce qui risque de se produire ensuite. Ce contexte est particulièrement utile pour les analystes moins expérimentés qui doivent réagir rapidement sans disposer d'une expertise approfondie en matière d'analyse informatique.

Mesures de réponse automatisées
La rapidité est essentielle dans la gestion des incidents. Les plateformes EDR gérées dotées de fonctions de réponse automatisées intégrées, telles que l'isolation des terminaux en un clic ou l'arrêt automatique des processus, peuvent mettre fin à une attaque avant qu'elle ne se propage, même au milieu de la nuit, lorsqu'aucun analyste n'est en train d'examiner activement la file d'attente.

Analyse technique et rapports
La documentation post-incident remplit deux objectifs : aider l'équipe de sécurité à comprendre ce qui s'est passé et à améliorer les défenses, et fournir aux clients les preuves dont ils ont besoin pour leurs demandes d'indemnisation au titre de l'assurance cyber ou pour les contrôles de conformité réglementaire. Un MEDR de qualité comprend une analyse technique détaillée de chaque incident confirmé, et ne se limite pas à une simple notification indiquant qu'une attaque a été bloquée.

Intégration avec les solutions RMM (
) Pour les MSP, une solution EDR gérée qui s'intègre à leur plateforme de surveillance et de gestion à distance (RMM) transforme considérablement le paysage opérationnel. Grâce à cette intégration native, il est possible de déployer des agents, de gérer les alertes et de répondre aux incidents à partir d'une seule et même console, sans que les techniciens aient à passer d'un outil à l'autre.

Comment l'EDR géré améliore la détection des menaces

Notre article de référence sur les principes fondamentaux de l'EDR passe en revue l'ensemble des catégories de menaces que l'EDR est conçu pour détecter, des ransomwares et des logiciels malveillants sans fichier aux exploits « zero-day » et aux menaces internes. Plutôt que de revenir ici sur ces bases, il convient de se concentrer sur une question précise : en quoi la couche gérée joue-t-elle un rôle déterminant lorsqu'il s'agit de contrer concrètement ces menaces ?

En toute honnêteté, la plupart des déploiements d’EDR ne donnent pas les résultats escomptés, non pas parce que la technologie est inadaptée, mais parce qu’elle n’est pas utilisée correctement. Selon l’étude ISC² 2024 sur la main-d’œuvre dans le domaine de la cybersécurité, le déficit mondial en personnel spécialisé dans ce domaine a atteint 4,8 millions de postes vacants en 2024, soit une augmentation de 19 % par rapport à l’année précédente. Pour les PME, ce chiffre se traduit directement par des équipes informatiques en sous-effectif qui utilisent des outils EDR sans disposer de l'expertise ou des ressources nécessaires pour les exploiter pleinement.

Voici à quoi cela ressemble concrètement :

• Les alertes en attente ne sont pas examinées : les plateformes EDR génèrent un flux continu de données télémétriques. En l'absence d'analystes spécialisés, les alertes de haute gravité restent en attente pendant des heures, voire des jours. Dans le cas d'attaques par ransomware, chaque heure compte.
• Le réglage n'est jamais effectué : les configurations EDR par défaut génèrent un grand nombre de faux positifs. Sans un réglage régulier effectué par une personne qui maîtrise l'environnement, le rapport alertes/bruit reste médiocre et les équipes finissent par ignorer les notifications.
• La recherche proactive de menaces n'est tout simplement pas pratiquée : cette approche, qui consiste à repérer les comportements des attaquants avant qu'ils ne déclenchent une alerte, nécessite un temps de travail que la plupart des équipes informatiques des PME n'ont tout simplement pas. C'est là que les attaquants, agissant lentement et discrètement, parviennent à s'implanter sans être détectés.
• Les incidents ne sont pas maîtrisés : détecter une menace et y réagir efficacement sont deux compétences distinctes. De nombreuses entreprises se rendent compte qu’il y a un problème, mais ne parviennent pas à isoler suffisamment rapidement le terminal concerné, ce qui permet à l’attaque de se propager à travers le réseau.

MEDR comble chacune de ces lacunes en apportant la dimension humaine que la technologie seule ne peut offrir. Les menaces qu’il détecte ne diffèrent pas fondamentalement de celles que peut repérer un EDR autonome. Ce qui change, c’est de savoir si une personne disposant des compétences requises et du temps nécessaire pour agir examine réellement ce qu’il met en évidence.

Avantages de l'EDR géré pour les entreprises et les MSP

Les arguments en faveur d'une solution EDR gérée varient selon que l'on se trouve d'un côté ou de l'autre de la relation de service.

Pour les PME et les entreprises de taille intermédiaire

Le principal avantage réside dans la couverture en matière de sécurité sans avoir à embaucher de personnel. Le recrutement d'analystes en sécurité expérimentés est coûteux et très concurrentiel. MEDR permet aux entreprises d'accéder à cette expertise via un abonnement, sans avoir à faire face aux difficultés liées au recrutement.

Parmi les avantages spécifiques, on peut citer :

• Une visibilité permanente sur les terminaux, qu'ils soient sur site, distants ou hébergés dans le cloud
• Une réponse plus rapide aux incidents : le délai moyen entre la détection d'une faille et sa maîtrise est nettement plus court sur les plateformes gérées que sur les déploiements gérés en interne
• Documentation relative à la conformité : les journaux d'audit, les rapports d'analyse technique et les résumés des menaces permettent de satisfaire aux exigences de référentiels tels que HIPAA, PCI DSS et CMMC
• Réduction des temps d'arrêt : une maîtrise rapide des incidents limite leur propagation et garantit la continuité des activités

À l'attention des MSP

L'EDR géré est une catégorie de services à forte marge dont la demande est avérée. Selon le rapport « State of the MSP » 2026 de Kaseya, 71 % des MSP ont enregistré une croissance de leur chiffre d'affaires d'une année sur l'autre dans le domaine de la cybersécurité, ce qui en fait la catégorie de services la plus performante de l'ensemble du secteur. Les données de CyVent sur les marges confirment pourquoi : les MSP proposant des services EDR gérés ont enregistré des marges brutes moyennes de 42 % en 2024, soit 18 points de pourcentage de plus que le support antivirus traditionnel. Plus important encore, il s'agit d'un service que les clients ont véritablement du mal à reproduire eux-mêmes, ce qui crée une réelle fidélisation.

Un MSP type gérant 300 terminaux répartis entre 15 PME clientes peut proposer une solution EDR gérée sous forme de forfait mensuel par terminal, en complément de son service RMM existant. Le coût supplémentaire lié à cette prestation est faible. La valeur ajoutée pour les clients et les discussions qu’elle suscite sur la maturité en matière de sécurité sont, quant à elles, considérables.

Il y a également un enjeu de positionnement concurrentiel. Les MSP qui misent sur le MEDR se positionnent comme des partenaires en matière de sécurité, et non plus simplement comme des prestataires de services informatiques ponctuels. Cela modifie la relation avec le client et rend plus difficile pour un concurrent à bas prix de les devancer uniquement sur le plan tarifaire.

EDR géré vs MDR : quelle est la différence ?

C'est la question qui revient le plus souvent lorsque les MSP mettent en place leur offre de services de sécurité.

L'EDR géré est axé sur les terminaux. Ce service surveille, détecte et traite les menaces sur chaque appareil : ordinateurs portables, ordinateurs de bureau, serveurs. Il est spécialement conçu pour assurer la couverture des terminaux et fournit des données de télémétrie détaillées au niveau des appareils.

La détection et la réponse gérées (MDR) ont une portée plus large. Un service MDR surveille généralement les terminaux, mais recueille également des données télémétriques issues du trafic réseau, des pare-feu, des environnements cloud et des systèmes d'identité, en établissant des corrélations entre les signaux provenant de l'ensemble de l'environnement informatique. Les fournisseurs de services MDR exploitent généralement un centre d'opérations de sécurité (SOC) complet et proposent des services tels que la recherche active de menaces, des contrats de réponse aux incidents et des rapports destinés à la direction.

Pour les partenaires Kaseya, les deux options sont disponibles :

• Datto EDR constitue la couche logicielle : il s'agit d'une solution logicielle EDR que les MSP déploient et gèrent pour le compte de leurs clients. Les partenaires gèrent le service, fixent leurs propres tarifs et le fournissent via leur flux de travail RMM existant.
• Kaseya MDR (anciennement RocketCyber) est un service SOC entièrement géré. Les analystes en sécurité de Kaseya surveillent les terminaux, Microsoft 365 et les pare-feu 24 heures sur 24, 7 jours sur 7, en effectuant le tri des alertes et en prenant les mesures d'intervention nécessaires pour le compte du MSP. La surveillance couvre une surface d'attaque plus large que celle des seuls terminaux, et la gestion des analystes est assurée par Kaseya, et non par l'équipe du MSP.

Ces deux approches ne s'excluent pas mutuellement. De nombreux MSP utilisent Datto EDR comme couche de terminaux au sein d'un déploiement Kaseya MDR, bénéficiant ainsi de la profondeur des données télémétriques de l'EDR combinée à l'étendue et à la couverture analytique d'un service MDR complet. D'autres utilisent Datto EDR de manière autonome, gérant eux-mêmes la couche de terminaux et la facturant comme une offre de sécurité distincte.

Le choix de l'approche la plus appropriée dépend des capacités de sécurité propres au MSP et des clients qu'il sert. Un MSP disposant d'une équipe de sécurité expérimentée peut gérer le MEDR de manière rentable en interne. Un MSP ne disposant pas de personnel dédié à la sécurité, ou souhaitant étendre sa couverture à des clients ayant des exigences de sécurité plus élevées, trouvera dans Kaseya MDR un moyen pratique d'offrir une protection de niveau SOC sans avoir à mettre en place ces capacités à partir de zéro.

Comment les MSP peuvent proposer des services EDR gérés

Pour mettre en place une offre de services EDR gérés, il n'est pas nécessaire de partir de zéro. La plupart des MSP disposent déjà de l'infrastructure nécessaire. Ce dont ils ont besoin, c'est d'un modèle de service clair et de la rigueur nécessaire pour le mettre en œuvre de manière cohérente.

Étape 1 : Définissez vos niveaux de service

Un service EDR géré ne doit pas nécessairement être un modèle unique. Envisagez de le structurer en plusieurs niveaux :

• Éléments essentiels: déploiement d'une solution EDR, réponse automatisée et rapports mensuels
• Avancé: EDR, recherche proactive des menaces et bilans de sécurité trimestriels
• Formule Premium: l'EDR associé à une couverture MDR complète, offrant aux clients une intervention et une gestion des incidents assurées par le SOC 24 heures sur 24, 7 jours sur 7

Une tarification à plusieurs niveaux facilite la croissance des comptes clients à mesure que leurs besoins en matière de sécurité évoluent et que les exigences réglementaires se renforcent.

Étape 2 : Intégrez l'EDR à votre flux de travail actuel

La rentabilité opérationnelle d'une solution MEDR dépend fortement de sa capacité à s'intégrer aux outils que vous utilisez déjà. Une plateforme EDR qui s'intègre nativement à votre solution RMM vous permet de déployer des agents, de gérer les alertes et de réagir aux incidents à partir d'une seule console. Une plateforme qui nécessite un flux de travail totalement distinct entraîne des coûts supplémentaires qui réduisent rapidement la marge bénéficiaire du service.

Avant de choisir une plateforme, déterminez comment les alertes seront transmises à votre système PSA pour la création de tickets, comment le déploiement s'effectuera au sein des parcs clients et comment les rapports seront générés. Ces éléments vous aideront à déterminer le produit sur lequel vous standardiserez votre infrastructure.

Étape 3 : Élaborer un guide d'intervention

Les clients s'attendent à savoir clairement ce qui se passe lorsqu'une menace est détectée. Documentez vos procédures d'intervention en précisant ce qui déclenche une alerte, qui l'examine, quelles mesures vous prenez à chaque niveau de gravité et comment vous communiquez avec le client pendant et après un incident. Ce guide constitue également une preuve de votre compétence, un outil à présenter aux clients potentiels au cours du processus de vente.

Étape 4 : Associez-le à la conformité

Les cadres réglementaires imposent de plus en plus la surveillance continue des terminaux. La loi HIPAA exige la mise en place de mesures de protection adéquates pour les informations de santé électroniques protégées. La norme PCI DSS v4.0 impose une protection contre les logiciels malveillants sur tous les systèmes. Le niveau de maturité 2 du CMMC exige une protection des terminaux et une capacité de réponse aux incidents. L'EDR géré est le contrôle technique qui répond à ces exigences. La documentation d'audit doit être incluse dans les prestations standard, et non proposée en option.

Étape 5 : Rendre compte régulièrement

Les rapports de sécurité mensuels comptent parmi les prestations les plus utiles qu'un MSP puisse offrir. Ils démontrent l'efficacité du service, mettent en évidence les tendances en matière de menaces et fournissent aux clients des éléments concrets à présenter à leur direction ou à leurs auditeurs de conformité. Intégrez systématiquement ces rapports à votre offre de services, et ne les considérez pas comme un simple supplément.

Comment choisir un fournisseur de services EDR gérés

Que vous soyez un MSP à la recherche d'un outil EDR pour développer une offre de services, ou une entreprise à la recherche d'un fournisseur d'EDR géré, voici les facteurs les plus importants :

Couverture des terminaux
La plateforme doit prendre en charge tous les types de terminaux présents dans votre environnement : Windows, macOS et Linux pour la plupart des entreprises, ainsi que les serveurs et les machines virtuelles. Vérifiez si les charges de travail hébergées dans le cloud sont prises en charge si celles-ci font partie de votre infrastructure.

La qualité de la détection prime sur le volume d'alertes
Une plateforme qui génère des milliers d'alertes de mauvaise qualité ne vous protège pas ; elle épuise votre équipe. Renseignez-vous auprès des fournisseurs sur leurs taux de faux positifs et sur la manière dont ils optimisent leurs détections. Les meilleures plateformes se concentrent sur les comportements les plus significatifs, et non sur la maximisation du nombre d'alertes.

Intégration à votre infrastructure existante
Un système MEDR qui ne s'intègre pas à votre PSA ou à votre RMM engendre des frictions opérationnelles qui compromettent la rentabilité du service. Privilégiez les plateformes qui s'intègrent naturellement aux outils que vous utilisez déjà.

Capacités d'intervention
Vérifiez précisément quelles mesures d'intervention le service couvre. Le prestataire est-il en mesure d'isoler un terminal à distance ? De restaurer des fichiers chiffrés ? De fournir une analyse forensic pour chaque incident confirmé ? C'est sur le plan de l'intervention que l'EDR géré justifie son coût ; assurez-vous donc que les capacités correspondent bien aux promesses.

Disponibilité des analystes
Si la surveillance 24 h/24, 7 j/7 fait partie de l'offre, vérifiez-le. Demandez quel est le délai de réponse moyen à une alerte de gravité élevée à 2 heures du matin un dimanche. La réponse vous en dira long sur la question de savoir si le service est véritablement assuré par du personnel ou s'il s'agit simplement d'un système automatisé auquel on a ajouté une touche humaine.

Documentation relative à la conformité
Si les clients opèrent dans des secteurs réglementés, ils ont besoin de plus que de la sécurité ; ils ont besoin de preuves. Assurez-vous que la plateforme génère les journaux d'audit, les rapports d'incident et la documentation d'analyse technique exigés par les cadres de conformité.

Procédure d'escalade
Même un MSP disposant de ressources importantes peut parfois être confronté à un incident qui dépasse ses capacités internes. Il est important de connaître à l'avance la procédure d'escalade à suivre, qu'il s'agisse de faire appel à l'équipe de sécurité du fournisseur EDR, à un prestataire MDR distinct ou à un prestataire spécialisé dans la gestion des incidents.

Proposez une solution EDR gérée avec Kaseya

La technologie EDR a atteint un tel niveau de maturité qu'elle est désormais capable de détecter pratiquement toutes les menaces significatives pesant sur les terminaux, qu'il s'agisse de ransomware, de logiciels malveillants sans fichier, d'exploits « zero-day » ou d'attaques APT à évolution lente. Pour la plupart des entreprises, le problème ne réside pas dans la technologie, mais dans les ressources humaines et les processus nécessaires pour donner suite aux résultats obtenus.

MEDR comble cette lacune. Il décharge les équipes informatiques, déjà débordées, de la gestion de la télémétrie, des alertes et des décisions relatives à la réponse aux incidents, pour confier ces tâches à des analystes dont la mission exclusive est la sécurité des terminaux. Pour les clients, cela se traduit par un confinement plus rapide et une réduction des temps d'arrêt. Pour les MSP, cela représente un service récurrent à forte marge qui renforce la relation client et facilite le respect des exigences de conformité, lesquelles ne sont pas près de disparaître.

Pour les MSP qui souhaitent développer une offre de services EDR gérés, Datto EDR fournit la couche d'outils nécessaire. Il s'agit d'une plateforme cloud de détection et de réponse au niveau des terminaux qui se déploie rapidement, s'intègre aux solutions RMM de Kaseya et est spécialement conçue pour être fournie par les MSP. Les partenaires qui souhaitent étendre leur couverture au-delà des terminaux, ou qui souhaitent que les analystes de Kaseya gèrent la file d'attente pendant la nuit, peuvent intégrer Kaseya MDR pour bénéficier d'une surveillance complète, soutenue par un SOC, sur l'ensemble des terminaux, Microsoft 365 et les pare-feu.

Le paysage des menaces ne devient pas plus simple. Mais la mise en place d'une sécurité efficace des terminaux ne doit pas nécessairement être compliquée. L'EDR géré est le point de départ de ce service.