Les équipes de sécurité disposent de plus d'outils que jamais, mais les attaques continuent de passer entre les mailles du filet. La raison n'est généralement pas un manque de moyens ; les outils de sécurité fonctionnent en silos, sans partage de contexte entre eux. Une alerte sur un terminal se déclenche ici. Une connexion suspecte apparaît là. Une anomalie réseau passe inaperçue ailleurs. Reconstruire le tableau d'ensemble prend plus de temps que la plupart des équipes n'en ont à leur disposition.
La solution de détection et de réponse étendues (XDR) a été conçue pour remédier à ce problème. En centralisant les données de télémétrie provenant de l'ensemble de l'environnement au sein d'une plateforme unique de détection et de réponse, la solution XDR offre aux équipes de sécurité la visibilité unifiée dont elles ont besoin pour identifier plus rapidement les menaces et réagir avant que les dégâts ne s'étendent. Pour les MSP et les équipes informatiques confrontés à des effectifs limités et à des surfaces d'attaque croissantes, la suite de sécurité de Kaseya, comprenant Datto EDR, Kaseya MDR et Kaseya SIEM, est conçue pour offrir cette même couverture multi-environnements sans la complexité d'une plateforme XDR d'entreprise spécialisée.
Qu'est-ce que la détection et la réponse étendues (XDR) ?
La détection et la réponse étendues (XDR) constituent une approche de sécurité qui regroupe les données de télémétrie provenant de multiples couches de l'environnement informatique (terminaux, réseaux, charges de travail dans le cloud, messagerie électronique et systèmes d'identité) au sein d'une plateforme unique dédiée à la détection, à l'analyse et à la réponse. Plutôt que de gérer des outils distincts qui ne fournissent chacun qu'une vision partielle de la situation, la technologie XDR met en corrélation les données provenant de toutes ces sources afin de mettre au jour des menaces qui, sans cela, resteraient cachées.
Ce terme a été inventé par Palo Alto Networks en 2018 et est depuis devenu l’un des concepts les plus discutés dans le domaine de la sécurité d’entreprise. Gartner définit le XDR comme une « plateforme unifiée de détection et de réponse aux incidents de sécurité qui collecte et met automatiquement en corrélation les données provenant de multiples composants de sécurité propriétaires ». Forrester le décrit comme « l'évolution de la détection et de la réponse aux incidents au niveau des terminaux (EDR) », reconnaissant ainsi que le XDR a pour fondement l'EDR et s'est étendu pour couvrir une plus grande partie de la surface d'attaque.
Dans la pratique, l'XDR joue un rôle crucial dans le délai entre la détection et la réponse. Les outils de sécurité traditionnels génèrent des alertes de manière isolée. Un analyste peut ainsi constater un processus suspect sur un terminal, un événement d'authentification inhabituel dans le système d'identité et une connexion sortante inhabituelle sur le réseau, sans qu'aucun élément ne lui permette de déduire que ces trois événements font partie de la même attaque. L'XDR relie automatiquement ces éléments entre eux, en établissant des chronologies d'attaques et en corrélant les événements provenant de différentes sources, ce qui permet aux analystes d'enquêter sur des incidents plutôt que sur des alertes isolées.
Comment fonctionne l'XDR
XDR fonctionne selon un processus en trois étapes. Chaque étape s'appuie sur la précédente pour transformer les données brutes provenant de l'ensemble de l'environnement en incidents exploitables et classés par ordre de priorité.
Importer et normaliser
Le XDR commence par collecter des données de télémétrie provenant de tous les outils de sécurité et sources de données connectés. Cela inclut les agents sur les terminaux, les pare-feu, les passerelles de messagerie, les fournisseurs d'identité, les plateformes cloud et les applications SaaS. Comme chacune de ces sources produit des données dans des formats et des schémas différents, le XDR normalise l'ensemble de ces données en un modèle commun avant de procéder à toute analyse.
C'est cette étape de normalisation qui rend possible la corrélation entre différentes sources. Sans elle, un événement provenant d'un agent de terminal et un événement provenant d'une plateforme d'identité cloud ne peuvent pas être comparés de manière pertinente, car ils décrivent la réalité en des termes incompatibles. La normalisation des données dès leur ingestion est fondamentale pour toutes les étapes suivantes.
Mettre en corrélation et détecter
Grâce aux données normalisées provenant de l'ensemble de l'environnement, la plateforme XDR applique des analyses, des règles de détection et des modèles d'apprentissage automatique pour identifier les activités suspectes. C'est là que le XDR démontre son principal avantage par rapport aux outils cloisonnés. Les détections se déclenchent sur la base de schémas corrélés, et non pas uniquement sur des événements isolés.
Une seule tentative de connexion infructueuse n'est qu'un bruit de fond. Une série de tentatives de connexion infructueuses provenant d'un emplacement inhabituel, suivie d'une connexion réussie, puis du lancement d'un processus sur un terminal que ce compte n'utilise pas habituellement : voilà un incident. XDR met en évidence ce schéma sous la forme d'une seule alerte contextualisée, plutôt que de trois événements distincts dispersés sur trois tableaux de bord différents.
Les plateformes XDR modernes exploitent également les renseignements sur les menaces à ce stade, en comparant les données collectées aux indicateurs de compromission connus et aux techniques actuelles des acteurs malveillants, telles qu'elles sont répertoriées dans le cadre MITRE ATT&CK. Cela signifie que les détections s'accompagnent d'un contexte dès leur déclenchement, ce qui réduit le temps que les analystes consacrent à déterminer la signification réelle d'une alerte donnée.
Enquêter et réagir
Lorsqu'une détection corrélée se déclenche, XDR fournit aux analystes une vue d'ensemble complète de l'incident, comprenant la chronologie des événements, les ressources et les comptes affectés, les sources de données ayant contribué à la détection, ainsi que des mesures de réponse suggérées ou automatisées. C'est là toute la différence entre réagir à une alerte et riposter à une attaque.
Les mesures d'intervention dans le cadre d'une solution XDR peuvent être automatisées, pilotées par des analystes, ou les deux à la fois. Parmi les actions automatisées courantes, on peut citer l'isolation d'un terminal compromis du réseau, le blocage d'une adresse IP malveillante, la suspension d'un compte utilisateur présentant des signes de compromission ou la mise en quarantaine d'un fichier suspect. Pour les décisions aux enjeux plus importants, la solution XDR fournit aux analystes le contexte dont ils ont besoin pour prendre des décisions rapides et éclairées, plutôt que de passer des heures à reconstituer le fil des événements.
XDR ouvert vs XDR natif
Toutes les plateformes XDR ne sont pas conçues de la même manière, et cette distinction est importante lorsqu'il s'agit d'évaluer dans quelle mesure une solution s'intégrera à un environnement existant. Les deux principales approches sont l'XDR ouvert et l'XDR natif.
Open XDR est conçu pour ingérer les données provenant des outils de sécurité de n'importe quel fournisseur grâce à des API ouvertes et à des intégrations prêtes à l'emploi. Plutôt que d'imposer le remplacement complet de la plateforme existante, Open XDR s'installe comme une couche de corrélation et de détection par-dessus les outils qu'une organisation utilise déjà. Cela le rend nettement plus pratique pour les environnements comportant un mélange d'investissements existants, ce qui correspond à la plupart des environnements réels des clients des MSP.
Le XDR natif (parfois appelé « XDR fermé ») est développé et commercialisé par un seul fournisseur, dont les propres produits de sécurité alimentent la plateforme. La détection, l'analyse et la réponse s'effectuent toutes au sein d'un même écosystème. Cela présente l'avantage d'une intégration étroite, d'une qualité de données homogène et d'une expérience utilisateur simplifiée. En contrepartie, la flexibilité est limitée. Les entreprises ayant déjà investi dans des outils tiers ne faisant pas partie du portefeuille de ce fournisseur peuvent rencontrer des difficultés à étendre leur solution XDR native.
Pour les MSP qui gèrent des environnements clients variés couvrant des dizaines, voire des centaines d'entreprises, l'approche XDR ouverte constitue généralement la solution la plus réaliste. Chaque client peut disposer d'une combinaison différente d'outils, de systèmes d'exploitation et de plateformes cloud. Une approche de détection et de réponse qui impose une dépendance totale vis-à-vis d'un fournisseur est difficile à standardiser à grande échelle. Une solution qui agrège les données provenant de tout ce qui est déjà déployé est bien plus facile à gérer sur le plan opérationnel.
Comparaison entre l'XDR et d'autres outils de détection et de réponse
L'XDR s'inscrit dans une famille plus large de technologies de détection et de réponse qui peuvent sembler similaires à première vue. Voici en quoi il se distingue de chacune d'entre elles.
XDR vs EDR
La détection et la réponse au niveau des terminaux (EDR) se concentrent exclusivement sur les terminaux (postes de travail, ordinateurs portables, serveurs et appareils mobiles). Elle surveille l'activité des processus, les modifications de fichiers, les connexions réseau et d'autres événements au niveau des terminaux, et peut isoler un appareil ou interrompre un processus en réponse à une menace détectée. L'EDR constitue généralement le point de départ de tout programme de détection et de réponse, et sert souvent de source de données pour une plateforme XDR.
La différence réside dans la portée. L'EDR détecte tout ce qui se passe sur le terminal. Le XDR couvre non seulement le terminal, mais aussi le réseau, le cloud, les identités, la messagerie électronique et toute autre source connectée. Une attaque qui commence par un e-mail de phishing, passe par le vol d'identifiants et s'exécute sur un terminal nécessite une visibilité sur ces trois couches pour être pleinement comprise. L'EDR permet de surveiller la phase sur le terminal ; le XDR permet d'en avoir une vue d'ensemble. Pour une analyse plus détaillée, consultez la rubrique « EDR vs XDR ».
XDR vs MDR
La détection et la réponse gérées (MDR) constituent un service, et non une plateforme. Les prestataires MDR associent des technologies de détection et de réponse à une équipe d'analystes qui assurent la surveillance, mènent des enquêtes et interviennent pour le compte du client. Le XDR est l'approche technologique sous-jacente ; le MDR désigne la manière dont cette capacité est fournie sous forme de service géré.
Dans la pratique, de nombreux services MDR s’appuient sur des plateformes XDR ou intègrent une corrélation multisource de type XDR dans leur méthodologie de détection. Pour les entreprises qui souhaitent bénéficier d’une visibilité de niveau XDR sans disposer du personnel nécessaire pour gérer une plateforme XDR en interne, le MDR constitue la solution la plus pratique. Ces deux approches sont complémentaires, et non concurrentes. Pour en savoir plus, consultez notre article comparatif MDR vs XDR.
XDR vs NDR
La détection et la réponse au niveau du réseau (NDR) se concentrent sur le trafic réseau, en analysant les flux, les protocoles et les schémas de communication au niveau de la couche réseau afin d'identifier les mouvements latéraux, l'exfiltration de données et les menaces pesant sur les appareils non gérés. La solution NDR détecte ce que les terminaux ne peuvent pas voir, puisqu'elle capture l'activité des appareils sur lesquels aucun agent n'est installé.
Le XDR peut intégrer le NDR parmi ses sources de données. Dans ce cas, les événements de la couche réseau s'intègrent dans la même vue d'incident corrélée que les événements des terminaux et du cloud, offrant ainsi aux analystes une vue d'ensemble complète des trois couches simultanément.
XDR vs SIEM
La gestion des informations et des événements de sécurité (SIEM) collecte et met en corrélation les données de journaux provenant de l'ensemble de l'environnement, à l'instar du XDR. Les principales différences résident dans l'architecture et l'objectif. Le SIEM traditionnel a été conçu pour l'agrégation des journaux à des fins de conformité et nécessitait un réglage manuel important pour générer des détections utiles. Il génère un volume élevé d'alertes et laisse généralement le soin aux équipes d'analystes de mener les enquêtes et d'apporter les réponses nécessaires.
Le XDR est spécialement conçu pour la détection et la réponse, avec des modèles de corrélation prêts à l'emploi, des enquêtes automatisées et des mesures de réponse intégrées. Plutôt que de générer des journaux destinés à être examinés, il met en évidence les incidents afin de permettre une intervention immédiate. Dans les environnements où les deux solutions sont déployées, le SIEM gère souvent la conservation à long terme des journaux et les rapports de conformité, tandis que le XDR se charge de la détection et de la réponse aux menaces en temps réel. Pour une comparaison détaillée, consultez la rubrique « XDR vs. SIEM ».
XDR vs SOAR
L'orchestration, l'automatisation et la réponse en matière de sécurité (SOAR) automatisent les flux de travail liés à la réponse aux incidents de sécurité, en coordonnant les actions entre plusieurs outils, en exécutant des scénarios d'intervention et en réduisant les étapes manuelles nécessaires au triage et au confinement. Alors que le XDR détecte et signale les incidents, le SOAR automatise les étapes suivantes. Le XDR intègre souvent des fonctionnalités de type SOAR (isolement automatisé, suspension de compte, blocage), mais les plateformes SOAR dédiées vont plus loin en matière de personnalisation des flux de travail et d'orchestration inter-outils. Dans les environnements de sécurité opérationnelle matures, le XDR et le SOAR sont fréquemment déployés conjointement, le XDR se chargeant de la détection et le SOAR de la réponse orchestrée.
Avantages de l'XDR
L'argument principal en faveur de l'XDR repose sur un problème concret. Les équipes de sécurité sont submergées par les alertes provenant d'outils qui ne communiquent pas entre eux. L'XDR répond directement à ce problème, et les avantages découlent naturellement de cette solution :
- Visibilité unifiée : les équipes de sécurité peuvent avoir une vue d'ensemble des terminaux, des réseaux, du cloud et des identités depuis une seule console. Les menaces qui touchent plusieurs couches (ce qui caractérise de plus en plus les attaques les plus sophistiquées) apparaissent sous forme d'incidents unifiés, et non plus comme des signaux isolés répartis sur différents tableaux de bord.
- Détection plus rapide : en corrélant les données provenant de différentes sources et en appliquant des modèles de détection prédéfinis, la solution XDR met en évidence des menaces qui échapperaient à un examen manuel ou à des outils s'appuyant sur une seule source. Le délai moyen de détection diminue, car la plateforme effectue le travail de corrélation que les analystes devraient autrement réaliser manuellement.
- Réduction de la fatigue liée aux alertes : XDR filtre le bruit dès la phase de corrélation, en regroupant les événements connexes en incidents et en supprimant les signaux peu fiables. Les analystes travaillent à partir d'une file d'attente d'incidents classés par ordre de priorité plutôt que d'un flux brut d'alertes, ce qui permet de traiter plus rapidement les menaces réelles.
- Réponse plus rapide : grâce aux mesures de réponse automatisées et aux guides d'intervention intégrés, le confinement peut être mis en place en quelques secondes plutôt qu'en quelques minutes. Face à des menaces qui évoluent rapidement, comme les ransomwares, cette différence de rapidité est déterminante.
- Simplification des opérations : le remplacement de multiples solutions ponctuelles par une couche unifiée de détection et de réponse permet de réduire le nombre d'outils, de consoles et d'intégrations qu'une équipe doit gérer. Pour les équipes informatiques en sous-effectif, cette simplification apporte une réelle valeur ajoutée sur le plan opérationnel.
- Un meilleur contexte d'analyse : lorsqu'un incident survient, XDR présente dans une seule vue la chronologie complète de l'attaque, les ressources touchées et les sources de données pertinentes. Les analystes passent ainsi moins de temps à reconstituer les faits et davantage à résoudre le problème.
XDR géré : XDR en tant que service
La gestion d'une plateforme XDR ne se limite pas au simple déploiement de la technologie. Il faut que quelqu'un surveille la file d'attente des incidents, examine les détections, prenne les décisions d'intervention et optimise la plateforme au fil du temps. Pour la plupart des PME et de nombreux MSP, il n'est pas envisageable de disposer en interne d'un personnel dédié à cette fonction 24 heures sur 24.
Le XDR géré, parfois appelé « XDR en tant que service » ou « MxDR », répond à ce besoin en associant la technologie XDR à une équipe d'analystes en sécurité qui exploitent la plateforme pour le compte du client. Le fournisseur se charge de la surveillance continue, du tri des alertes, des enquêtes et des interventions, tandis que le client conserve une visibilité totale grâce à des tableaux de bord et des rapports. Cette solution offre les mêmes résultats qu'un centre d'opérations de sécurité (SOC) doté d'un effectif complet, sans que le client ait à en mettre un en place.
Pour les MSP, le XDR géré représente une opportunité considérable. Plutôt que d'attendre de chaque PME cliente qu'elle gère son propre programme de détection et de réponse, le MSP peut fournir cette fonctionnalité sous forme de service géré, étendant ainsi la couverture à l'ensemble de ses clients à partir d'une plateforme centralisée. Ce modèle offre une évolutivité que la gestion ponctuelle, terminal par terminal et outil par outil, ne peut égaler.
Le terme clé à retenir ici est « détection et réponse étendues gérées », qui désigne spécifiquement le XDR proposé sous forme de service externalisé. À mesure que le managed services a mûri, cette catégorie a connu une croissance rapide, portée par le fait que la plupart des entreprises ont besoin d’une visibilité de niveau XDR, mais ne disposent pas du personnel interne nécessaire pour y parvenir de manière autonome.
Comment Kaseya offre des fonctionnalités XDR
Kaseya ne commercialise pas de produit portant la marque XDR. L'entreprise propose plutôt un ensemble de solutions de sécurité étroitement intégrées qui, combinées, offrent les capacités de détection et de réponse multi-environnements promises par le XDR, adaptées aux environnements dans lesquels les MSP et les équipes informatiques opèrent réellement.
Datto EDR assure la protection des terminaux en assurant une surveillance comportementale sur Windows, macOS et Linux, chaque détection étant mise en correspondance avec le référentiel MITRE ATT&CK. Avec plus de 65 actions de réponse automatisées, une fonctionnalité intégrée de restauration après une attaque par ransomware et une intégration directe avec Datto RMM et Kaseya VSA, la sécurité des terminaux s'inscrit dans le même flux de gestion que celui déjà utilisé par les MSP.
Kaseya MDR offre une solution de détection et de réponse gérées, grâce à des analystes en sécurité basés aux États-Unis qui assurent une surveillance continue des terminaux, de Microsoft 365 et des pare-feu. La corrélation basée sur l'IA réduit le nombre d'alertes superflues, permettant ainsi aux analystes de se concentrer sur les menaces confirmées. Pour les MSP, il s'agit d'une solution SOC gérée clé en main qui peut être proposée aux clients sans avoir à constituer une équipe d'analystes en interne.
Kaseya SIEM assure la corrélation multi-surfaces et la gestion des journaux, en regroupant les données de télémétrie provenant des terminaux et des applications cloud au sein d'un tableau de bord unique, grâce à plus de 60 connecteurs natifs et une conservation des journaux sur 400 jours. Il complète Kaseya MDR en prenant en charge l'agrégation des journaux et le reporting de conformité, tandis que MDR se charge de la détection et de la réponse en temps réel.
Au fond, le XDR repose sur un engagement en faveur de la visibilité. Plus une équipe de sécurité a une vue d'ensemble de l'environnement, plus elle est en mesure de détecter les menaces et d'y répondre rapidement et avec précision. Que cette visibilité provienne d'une plateforme XDR dédiée ou d'une suite intégrée d'outils spécialement conçus, c'est le résultat qui compte. La suite de sécurité de Kaseya est conçue pour permettre aux équipes qui en ont le plus besoin et qui ne peuvent se permettre aucune erreur d'atteindre cet objectif.
