Qu'est-ce que l'EDR géré (MEDR) ? Guide à l'intention des entreprises et des MSP

Aujourd’hui, la plupart des entreprises disposent d’un nombre incalculable de terminaux. Ordinateurs portables, serveurs, postes de travail distants, machines virtuelles hébergées dans le cloud… La liste s’allonge à chaque fois qu’un nouvel employé rejoint l’entreprise ou qu’un outil SaaS est déployé. Chacun de ces appareils constitue un point d’entrée potentiel pour les pirates, et la question n’est plus de savoir si vous avez besoin d’une solution de détection et de réponse au niveau des terminaux (EDR), mais si vous disposez du personnel nécessaire pour la faire fonctionner correctement.

C'est précisément cette lacune que la solution EDR gérée a été conçue pour combler. Datto EDR, qui fait partie de la plateforme Kaseya, offre aux MSP les outils nécessaires pour déployer et gérer la sécurité des terminaux dans les environnements de leurs clients. Et pour les MSP qui souhaitent aller plus loin, Kaseya MDR leur apporte son soutien grâce à un centre d'opérations de sécurité (SOC) disponible 24 h/24 et 7 j/7, animé par des analystes expérimentés.

Ce guide explique ce qu'est l'EDR géré, comment il fonctionne, à qui il s'adresse et comment les MSP peuvent l'utiliser pour mettre en place un service de sécurité récurrent répondant aux besoins de leurs clients.

Qu'est-ce que l'EDR géré ?

L'EDR géré, parfois appelé MEDR, est une technologie de détection et de réponse au niveau des terminaux fournie sous forme de service géré. Au lieu de déployer un logiciel EDR et de laisser les clients se charger eux-mêmes de sa surveillance, un fournisseur d'EDR géré prend en charge la responsabilité opérationnelle. Cela implique le déploiement d'agents, la gestion des alertes, l'analyse des menaces et la réponse aux incidents.

Pour la plupart des petites et moyennes entreprises (PME), cette distinction revêt une grande importance. Les logiciels EDR sont, par nature, sophistiqués. Ils génèrent un volume important de données télémétriques, nécessitent un réglage minutieux pour réduire les faux positifs et exigent des analystes en sécurité capables d’exploiter les informations qu’ils mettent en évidence. Les PME disposent rarement de cette expertise en interne.

MEDR résout ce problème en associant la technologie et les ressources humaines. Les clients bénéficient d'une couverture EDR sans avoir à recruter de personnel de sécurité. Les MSP disposent d'un service structuré dont ils peuvent fixer le prix, adapter la portée et assurer la prestation de manière cohérente.

Comment fonctionne l'EDR géré ?

L'EDR géré s'articule autour de cinq étapes interdépendantes. Comprendre chacune d'entre elles permet de mieux saisir pourquoi cette approche est plus efficace que de laisser un logiciel EDR fonctionner de manière autonome. Voici un aperçu de ces cinq étapes :

1. Déploiement des agents et inventaire des terminaux : le processus commence par l’installation d’un agent logiciel léger sur chaque terminal concerné : ordinateurs de bureau, ordinateurs portables, serveurs et, de plus en plus, machines virtuelles et charges de travail hébergées dans le cloud. L’agent établit un profil de référence pour chaque appareil, en recensant les processus qui s’exécutent normalement, les applications qui communiquent avec le réseau et les schémas d’accès aux fichiers. Tout élément s’écartant de ce profil de référence est signalé pour analyse.
2. Surveillance continue : une fois déployée, la plateforme EDR surveille les terminaux 24 heures sur 24. Elle collecte des données télémétriques concernant la création de processus, les connexions réseau, les modifications de fichiers, les changements apportés au registre et les événements d’authentification. C’est grâce à ce flux continu de données que l’EDR est capable de détecter les menaces qui ne deviennent visibles qu’au fil du temps, telles que les mouvements latéraux lents caractéristiques des menaces persistantes avancées (APT).
3. Détection et corrélation des menaces : les données télémétriques brutes ne suffisent pas à elles seules à fournir des informations de sécurité exploitables. Les plateformes MEDR s'appuient sur l'analyse comportementale, l'apprentissage automatique et les flux de renseignements sur les menaces pour corréler les événements et mettre en évidence les menaces réelles. Les meilleurs outils alignent les détections sur le référentiel MITRE ATT&CK, qui fournit un contexte sur la technique probable de l'attaquant et la prochaine étape de son action, plutôt que de laisser les analystes devoir le déterminer eux-mêmes à partir de zéro.
4. Triage et analyse des alertes : toutes les alertes ne constituent pas nécessairement une menace réelle. L’un des principaux avantages d’une solution EDR gérée par rapport à une solution EDR autogérée réside dans le triage effectué par des humains. Des analystes expérimentés examinent les événements signalés, filtrent les faux positifs et ne transmettent à leurs supérieurs que les incidents confirmés ou hautement prioritaires. C’est là que le jugement de l’analyste fait toute la différence. La reconnaissance de schémas, acquise grâce à l’analyse de milliers d’incidents réels, produit de meilleurs résultats que n’importe quelle liste de contrôle automatisée.
5. Réponse et remédiation : lorsqu’une menace avérée est confirmée, l’équipe MEDR intervient. Les mesures de réponse varient en fonction de la gravité et peuvent inclure l’isolation du terminal affecté du réseau, l’arrêt des processus malveillants, la mise en quarantaine des fichiers suspects, la restauration des fichiers chiffrés (lorsque cela est pris en charge) et la génération d’un rapport d’analyse post-incident. Pour de nombreux MSP, cette dernière étape, à savoir une réponse documentée et justifiable, est ce qui fait de l’EDR géré un service haut de gamme plutôt qu’un service de base.

Principales fonctionnalités de l'EDR géré

Tous les services EDR gérés ne se valent pas. Voici les fonctionnalités qui distinguent une offre de qualité d'une offre basique.

Analyse comportementale et surveillance de référence
La détection basée sur les signatures permet de repérer les logiciels malveillants connus. L'analyse comportementale détecte tout le reste. Une plateforme MEDR efficace suit le comportement des processus, et pas seulement leur nature ; c'est pourquoi elle est capable de détecter les attaques sans fichier et les exploits « zero-day » qui n'écrivent jamais de fichier identifiable sur le disque.

Surveillance et intervention 24 h/24, 7 j/7
Les pirates ne respectent pas les horaires de bureau. Un service EDR géré qui n’est pas surveillé pendant la nuit n’est pas véritablement « géré ». Privilégiez les prestataires qui offrent une véritable couverture 24 h/24, 7 j/7, assurée par des analystes en sécurité, et non pas seulement des alertes automatisées suivies d’un suivi le lendemain.

Faibles taux de faux positifs
La « fatigue des alertes » est un véritable problème. Les plateformes qui génèrent un bruit excessif incitent les analystes à ignorer les alertes, ce sur quoi comptent précisément les attaquants. Un service MEDR de qualité concentre la détection sur les comportements les plus significatifs, en maintenant un rapport signal/bruit gérable pour les équipes chargées de la surveillance.

Alignement avec le cadre MITRE ATT&CK
Les alertes qui s'inscrivent dans le cadre MITRE ATT&CK indiquent aux analystes non seulement ce qui s'est passé, mais aussi où cela se situe dans la chaîne d'attaque et ce qui risque de se produire ensuite. Ce contexte est particulièrement utile pour les analystes moins expérimentés qui doivent réagir rapidement sans disposer d'une expertise approfondie en matière d'analyse forensic.

Mesures de réponse automatisées
La rapidité est essentielle dans la gestion des incidents. Les plateformes EDR gérées dotées de fonctions de réponse automatisées intégrées, telles que l’isolation des terminaux en un clic ou l’arrêt automatique des processus, peuvent mettre fin à une attaque avant qu’elle ne se propage, même au milieu de la nuit, lorsqu’aucun analyste n’examine activement la file d’attente.

Analyse forensic et rapports
La documentation post-incident poursuit deux objectifs : aider l'équipe de sécurité à comprendre ce qui s'est passé et à améliorer les défenses, et fournir aux clients les preuves dont ils ont besoin pour leurs demandes d'indemnisation au titre de l'assurance cyber ou pour les contrôles de conformité réglementaire. Un MEDR de qualité comprend une analyse forensic détaillée de chaque incident confirmé, et ne se limite pas à une simple notification indiquant qu'une attaque a été bloquée.

Intégration avec les solutions RMM
Pour les MSP, une solution EDR gérée qui s'intègre à leur plateforme de surveillance et de gestion à distance (RMM) transforme considérablement leur environnement opérationnel. Grâce à cette intégration native, il est possible de déployer des agents, de gérer les alertes et de répondre aux incidents depuis une console unique, sans que les techniciens aient à passer d'un outil à l'autre.

Comment l'EDR géré améliore la détection des menaces

Notre article de référence sur les principes fondamentaux de l’EDR passe en revue l’ensemble des catégories de menaces que l’EDR est conçu pour détecter, des ransomwares aux logiciels malveillants sans fichier, en passant par les exploits « zero-day » et les menaces internes. Plutôt que de revenir ici sur ces bases, il convient de se concentrer sur une question précise : en quoi la couche gérée joue-t-elle un rôle déterminant lorsqu’il s’agit de bloquer concrètement ces menaces ?

En réalité, la plupart des déploiements d’EDR ne donnent pas les résultats escomptés, non pas parce que la technologie est inadaptée, mais parce qu’elle n’est pas utilisée correctement. Selon l’étude ISC² 2024 sur les effectifs en cybersécurité, le déficit mondial de main-d’œuvre dans ce domaine a atteint 4,8 millions de postes vacants en 2024, soit une augmentation de 19 % par rapport à l’année précédente. Pour les PME, ce chiffre se traduit directement par des équipes informatiques en sous-effectif qui exploitent des outils EDR sans disposer ni de l’expertise ni des ressources nécessaires pour les utiliser pleinement.

Voici à quoi cela ressemble concrètement :

• Les alertes en attente ne sont pas examinées : les plateformes EDR génèrent un flux continu de données télémétriques. En l'absence d'analystes dédiés, les alertes de gravité élevée restent en attente pendant des heures, voire des jours. Or, dans le cas d'incidents liés à des ransomwares, chaque heure compte.
• L'optimisation n'est jamais effectuée : les configurations EDR par défaut génèrent un nombre élevé de faux positifs. Sans optimisation régulière par une personne qui maîtrise l'environnement, le rapport alertes/bruit reste médiocre et les équipes finissent par ignorer les notifications.
• La recherche active de menaces n'est tout simplement pas pratiquée : la recherche proactive de menaces, qui consiste à repérer les comportements des attaquants n'ayant pas encore déclenché d'alerte, nécessite un temps de travail de la part des analystes dont la plupart des équipes informatiques des PME ne disposent tout simplement pas. C'est dans ce contexte que les attaquants, agissant lentement et discrètement, parviennent à s'implanter sans être détectés.
• Les incidents ne sont pas maîtrisés : détecter une menace et y répondre efficacement sont deux compétences distinctes. De nombreuses organisations savent qu'un problème existe, mais ne parviennent pas à isoler suffisamment rapidement le terminal affecté, ce qui permet à l'attaque de se propager latéralement à travers le réseau.

MEDR comble chacune de ces lacunes en apportant la dimension humaine que la technologie seule ne peut offrir. Les menaces qu’il détecte ne sont pas fondamentalement différentes de celles que peut repérer un EDR autonome. Ce qui change, c’est de savoir si une personne disposant des compétences requises et du temps nécessaire pour agir examine réellement ce qu’il met en évidence.

Avantages de l'EDR géré pour les entreprises et les MSP

Les arguments en faveur d'une solution EDR gérée varient selon que l'on se situe d'un côté ou de l'autre de la relation de service.

Pour les PME et les entreprises de taille intermédiaire

Le principal avantage réside dans la mise en place d'une couverture de sécurité sans avoir à embaucher de personnel. Le recrutement d'analystes en sécurité expérimentés est coûteux et très convoité. MEDR permet aux entreprises d'accéder à cette expertise via un abonnement, sans avoir à faire face aux difficultés liées au recrutement.

Parmi les avantages spécifiques, on peut citer :

• Visibilité permanente sur les terminaux, qu'ils soient sur site, distants ou hébergés dans le cloud
• Réponse plus rapide en cas d'incident : le délai moyen entre la détection d'une faille et sa maîtrise est nettement plus court sur les plateformes gérées que sur les déploiements gérés en interne
• Documentation relative à la conformité : les journaux d'audit, les rapports d'analyse forensic et les synthèses des menaces permettent de répondre aux exigences de référentiels tels que HIPAA, PCI DSS et CMMC
• Réduction des temps d'arrêt : une maîtrise rapide des incidents limite leur propagation et préserve la continuité des activités

Pour les MSP

L’EDR géré est une catégorie de services à forte marge dont la demande est avérée. Selon le rapport « State of the MSP 2026 » de Kaseya, 71 % des MSP ont enregistré une croissance de leur chiffre d’affaires d’une année sur l’autre dans le domaine de la cybersécurité, ce qui en fait la catégorie de services la plus performante de l’ensemble du secteur. Les données de CyVent sur les marges expliquent pourquoi : les MSP proposant des services EDR gérés ont enregistré des marges brutes moyennes de 42 % en 2024, soit 18 points de pourcentage de plus que pour l'assistance antivirus traditionnelle. Plus important encore, il s'agit d'un service que les clients ont véritablement du mal à reproduire eux-mêmes, ce qui crée une réelle fidélisation.

Un MSP type gérant 300 terminaux répartis entre 15 PME clientes peut proposer un service EDR géré sous forme de ligne budgétaire mensuelle par terminal, en complément de son service RMM existant. Le coût supplémentaire lié à cette prestation est faible. La valeur apportée aux clients et les discussions qu’elle suscite sur la maturité en matière de sécurité sont, quant à elles, élevées.

Il y a également un enjeu de positionnement concurrentiel. Les MSP qui misent sur le MEDR se positionnent comme des partenaires de sécurité, et non plus simplement comme des prestataires de services informatiques de dépannage. Cela modifie la relation client et rend plus difficile pour un concurrent à bas prix de les devancer uniquement sur le plan tarifaire.

EDR géré ou MDR : quelle est la différence ?

C'est la question qui revient le plus souvent lorsque les MSP mettent en place leur offre de services de sécurité.

L'EDR géré est axé sur les terminaux. Ce service surveille, détecte et neutralise les menaces sur chaque appareil : ordinateurs portables, ordinateurs de bureau, serveurs. Conçu spécialement pour assurer la couverture des terminaux, il fournit des données télémétriques détaillées au niveau des appareils.

La détection et la réponse gérées (MDR) ont une portée plus large. Un service MDR surveille généralement les terminaux, mais collecte également des données télémétriques issues du trafic réseau, des pare-feu, des environnements cloud et des systèmes d'identité, en établissant des corrélations entre les signaux provenant de l'ensemble de l'environnement informatique. Les prestataires MDR exploitent en outre généralement un centre d'opérations de sécurité (SOC) complet et proposent des services tels que la recherche active de menaces, des contrats de réponse aux incidents et des rapports destinés à la direction.

Pour les partenaires Kaseya, les deux options sont disponibles :

• Datto EDR constitue la couche « outil » : il s'agit d'une solution logicielle EDR que les MSP déploient et gèrent pour le compte de leurs clients. Les partenaires contrôlent le service, fixent leurs propres tarifs et le fournissent via leur workflow RMM existant.
• Kaseya MDR (anciennement « RocketCyber ») est un service SOC entièrement géré. Les analystes en sécurité de Kaseya surveillent les terminaux, Microsoft 365 et les pare-feu 24 h/24 et 7 j/7, effectuent le triage des alertes et prennent les mesures d'intervention nécessaires pour le compte du MSP. La surveillance couvre une surface d'attaque plus large que celle des seuls terminaux, et la fonction d'analyse est assurée par Kaseya, et non par l'équipe du MSP.

Ces deux approches ne s'excluent pas mutuellement. De nombreux MSP utilisent Datto EDR comme couche de terminaux au sein d'un déploiement Kaseya MDR, bénéficiant ainsi de la profondeur des données télémétriques de l'EDR combinée à l'étendue et à la couverture analytique d'un service MDR complet. D'autres utilisent Datto EDR de manière autonome, gérant eux-mêmes la couche de terminaux et la facturant comme une référence de sécurité distincte.

Le choix de l'approche la plus pertinente dépend des capacités de sécurité propres au MSP et des clients qu'il sert. Un MSP disposant d'une équipe de sécurité expérimentée peut exploiter MEDR de manière rentable en interne. Un MSP ne disposant pas de personnel dédié à la sécurité, ou souhaitant étendre sa couverture à des clients ayant des exigences de sécurité plus élevées, trouvera dans Kaseya MDR un moyen pratique d'offrir une protection de niveau SOC sans avoir à mettre en place ces capacités à partir de zéro.

Comment les MSP peuvent proposer des services EDR gérés

Pour mettre en place une offre de services EDR gérés, il n'est pas nécessaire de partir de zéro. La plupart des MSP disposent déjà de l'infrastructure nécessaire. Ce dont ils ont besoin, c'est d'un modèle de service clair et de la rigueur nécessaire pour le mettre en œuvre de manière cohérente.

Étape 1 : Définissez vos niveaux de service

Un service EDR géré ne doit pas nécessairement être une solution universelle. Envisagez de le structurer en plusieurs niveaux :

• Éléments essentiels: déploiement d'une solution EDR, réponse automatisée et rapports mensuels
• Niveau avancé: EDR, recherche proactive des menaces et bilans de sécurité trimestriels
• Formule Premium: l'EDR associé à une couverture MDR complète, offrant aux clients une intervention et une gestion des incidents 24 h/24 et 7 j/7, assurées par un centre d'opérations de sécurité (SOC)

Une tarification à plusieurs niveaux facilite le développement des comptes clients à mesure que leurs besoins en matière de sécurité évoluent et que les exigences de conformité réglementaire se renforcent.

Étape 2 : Intégrer l'EDR à votre flux de travail existant

La rentabilité opérationnelle d'une solution MEDR dépend fortement de sa capacité à s'intégrer aux outils que vous utilisez déjà. Une plateforme EDR qui s'intègre nativement à votre solution RMM vous permet de déployer des agents, de gérer les alertes et de réagir aux incidents à partir d'une seule et même console. Une plateforme qui nécessite un flux de travail totalement distinct ajoute des coûts supplémentaires qui réduisent rapidement la marge de la prestation.

Avant de choisir une plateforme, déterminez comment les alertes seront transmises à votre système PSA pour la création de tickets, comment le déploiement s'effectuera au sein des parcs clients et comment les rapports seront générés. Les réponses à ces questions vous aideront à déterminer le produit sur lequel vous devriez vous standardiser.

Étape 3 : Élaborer un guide d'intervention

Les clients s'attendent à ce que les procédures à suivre en cas de détection d'une menace soient clairement définies. Documentez vos procédures d'intervention en précisant ce qui déclenche une alerte, qui l'examine, quelles mesures vous prenez à chaque niveau de gravité et comment vous communiquez avec le client pendant et après un incident. Ce guide d'intervention constitue également une preuve de votre compétence, un outil à présenter aux clients potentiels au cours du processus de vente.

Étape 4 : Établir un lien avec la conformité

Les cadres réglementaires imposent de plus en plus la surveillance continue des terminaux. La loi HIPAA exige la mise en place de mesures de protection appropriées pour les informations de santé protégées sous forme électronique. La norme PCI DSS v4.0 impose une protection contre les logiciels malveillants sur tous les systèmes. Le niveau de maturité 2 du CMMC exige une protection des terminaux et une capacité de réponse aux incidents. L'EDR géré constitue le contrôle technique qui répond à ces exigences. La documentation d'audit doit être incluse dans les prestations standard, et non proposée en option.

Étape 5 : Rendre compte régulièrement

Les rapports de sécurité mensuels comptent parmi les prestations les plus précieuses qu'un MSP puisse offrir. Ils démontrent l'efficacité du service, mettent en évidence les tendances en matière de menaces et fournissent aux clients un élément concret à présenter à leur direction ou à leurs auditeurs de conformité. Faites en sorte que ces rapports fassent partie intégrante du service, et non une simple formalité ajoutée après coup.

Comment choisir un fournisseur de solution EDR gérée

Que vous soyez un MSP à la recherche d'un outil EDR sur lequel développer un service, ou une entreprise à la recherche d'un fournisseur d'EDR géré, voici les facteurs les plus importants à prendre en compte :

Couverture des terminaux
La plateforme doit prendre en charge tous les types de terminaux présents dans votre environnement : Windows, macOS et Linux pour la plupart des entreprises, ainsi que les serveurs et les machines virtuelles. Vérifiez si les charges de travail hébergées dans le cloud sont prises en charge, si celles-ci font partie de votre infrastructure.

La qualité de la détection prime sur le volume d'alertes
Une plateforme qui génère des milliers d'alertes de mauvaise qualité ne vous protège pas ; elle épuise votre équipe. Renseignez-vous auprès des fournisseurs sur leurs taux de faux positifs et sur la manière dont ils optimisent leurs détections. Les meilleures plateformes se concentrent sur les comportements les plus importants, et non sur la maximisation du nombre d'alertes.

Intégration à votre infrastructure existante
Un système MEDR qui ne s'intègre pas à votre PSA ou à votre RMM génère des frictions opérationnelles qui compromettent la rentabilité du service. Privilégiez les plateformes qui s'intègrent naturellement aux outils que vous utilisez déjà.

Capacités d'intervention
Assurez-vous de bien comprendre quelles mesures d'intervention sont couvertes par le service. Le prestataire est-il en mesure d'isoler un terminal à distance ? De restaurer des fichiers chiffrés ? De fournir une analyse forensic pour chaque incident confirmé ? C'est sur le plan de l'intervention que l'EDR géré justifie son coût ; veillez donc à ce que les capacités correspondent bien aux promesses faites.

Disponibilité des analystes
Si la surveillance 24 h/24 et 7 j/7 fait partie de l'offre, vérifiez-la. Demandez quel est le temps de réponse moyen à une alerte de gravité élevée à 2 heures du matin un dimanche. La réponse vous en dira long sur le fait que le service est véritablement assuré par du personnel ou s'il s'agit simplement d'un système automatisé « déguisé » en service humain.

Documentation relative à la conformité
Lorsque les clients opèrent dans des secteurs réglementés, la sécurité ne suffit pas : ils ont besoin de preuves. Assurez-vous que la plateforme génère les journaux d'audit, les rapports d'incident et la documentation d'analyse forensic requis par les cadres de conformité.

Procédure d'escalade
Même un MSP disposant de ressources importantes peut parfois être confronté à un incident qui dépasse ses capacités internes. Il est important de connaître à l'avance la procédure d'escalade à suivre, qu'il s'agisse de faire appel à l'équipe de sécurité du fournisseur EDR, à un prestataire MDR distinct ou à un prestataire spécialisé dans la gestion des incidents.

Proposez une solution EDR gérée avec Kaseya

La technologie EDR a atteint un niveau de maturité tel qu’elle est désormais capable de détecter la quasi-totalité des menaces significatives pesant sur les terminaux, qu’il s’agisse de ransomwares, de logiciels malveillants sans fichier, d’exploits « zero-day » ou d’attaques APT à évolution lente. Pour la plupart des entreprises, le problème ne réside pas dans la technologie, mais dans les ressources humaines et les processus nécessaires pour donner suite aux résultats de ces détections.

MEDR comble cette lacune. Il décharge les équipes informatiques, déjà débordées, de la gestion de la télémétrie, des alertes et des décisions relatives à la réponse aux incidents, pour confier ces tâches à des analystes dont le métier consiste exclusivement à assurer la sécurité des terminaux. Pour les clients, cela se traduit par un endiguement plus rapide des menaces et une réduction des temps d’arrêt. Pour les prestataires de services gérés (MSP), cela représente un service récurrent à forte marge qui renforce la relation client et permet de répondre aux exigences de conformité, lesquelles ne sont pas près de disparaître.

Pour les MSP qui souhaitent développer une offre EDR gérée, Datto EDR fournit la couche d’outils nécessaire. Il s’agit d’une plateforme cloud de détection et de réponse au niveau des terminaux qui se déploie rapidement, s’intègre aux offres RMM de Kaseya et est spécialement conçue pour être proposée par les MSP. Les partenaires qui souhaitent étendre leur couverture au-delà des terminaux, ou qui souhaitent que les analystes de Kaseya gèrent la file d’attente pendant la nuit, peuvent ajouter Kaseya MDR pour bénéficier d’une surveillance complète, assurée par un SOC, couvrant les terminaux, Microsoft 365 et les pare-feu.

Le paysage des menaces ne devient pas plus simple. Mais la mise en place d'une sécurité efficace des terminaux ne doit pas nécessairement être compliquée. L'EDR géré est le point de départ de ce service.