🎓 Niveau : 🔴 Avancé
📋 Prérequis : notions de système d'exploitation (processus, fichiers), antivirus, idéalement SIEM
EDR signifie Endpoint Detection and Response (« détection et réponse sur les terminaux »). Un endpoint (terminal), c'est un poste de travail, un portable ou un serveur. L'EDR est un agent installé sur chaque machine qui surveille en continu tout ce qui s'y passe (processus, fichiers, réseau) pour détecter les menaces, investiguer et réagir automatiquement. À retenir dès maintenant : l'EDR agit au niveau de la machine — à distinguer du SIEM, qui corrèle les logs de toute l'infrastructure de façon centralisée.
L'antivirus classique compare les fichiers à une base de signatures de virus connus. Problème : les attaques modernes utilisent du code inconnu (zero-day), s'exécutent en mémoire sans fichier (fileless), ou détournent des outils légitimes (PowerShell). L'antivirus ne voit alors rien.
Le problème : il faut surveiller le comportement de la machine, pas seulement les fichiers — et pouvoir réagir vite quand une machine est compromise. C'est précisément ce que fait l'EDR.
L'EDR existe pour donner aux équipes sécurité une vision détaillée de ce qui se passe sur chaque poste, enregistrer l'historique (pour comprendre une attaque après coup) et agir à distance (isoler une machine, tuer un processus) sans devoir se déplacer physiquement.
- Endpoint (terminal) : toute machine d'extrémité — PC, portable, serveur — par opposition aux équipements réseau (switch, routeur).
- Agent EDR : petit logiciel installé sur l'endpoint, qui collecte la télémétrie et applique les actions.
- Télémétrie : flux de données d'activité (création de processus, ouverture de fichiers, connexions réseau, clés de registre…).
- Comportemental : l'EDR juge sur les actions, pas seulement sur les signatures. Ex. : Word qui lance PowerShell qui chiffre des fichiers = comportement de rançongiciel, même si le fichier est inconnu.
- IOC (Indicator of Compromise) : indice qu'une machine est compromise (un hash de fichier malveillant, une IP de serveur de contrôle…).
- Fileless / Living off the Land : attaques sans fichier sur disque, utilisant des outils déjà présents (PowerShell, WMI). Invisibles pour un antivirus classique.
- Isolation réseau : action EDR qui coupe une machine du réseau (sauf la liaison vers la console EDR) pour stopper la propagation, tout en gardant la main dessus.
- EDR managé / MDR : Managed Detection and Response — un prestataire surveille ton EDR 24/7 à ta place.
- XDR : Extended Detection and Response — extension qui combine EDR (endpoints) + données réseau, mail, cloud. Une évolution de l'EDR.
- Collecte continue : l'agent enregistre en permanence l'activité de la machine (qui lance quoi, qui touche quel fichier, qui parle à quelle IP).
- Analyse : signatures + analyse comportementale + souvent IA / machine learning, en local et/ou dans le cloud du fournisseur.
- Détection : un enchaînement suspect déclenche une alerte enrichie (toute la chaîne d'événements, pas juste « virus trouvé »).
- Investigation : l'analyste remonte le fil (timeline) : comment l'attaque est entrée, ce qu'elle a touché, où elle en est.
- Réponse (le « R » d'EDR) : actions automatiques ou manuelles —
- tuer un processus malveillant ;
- isoler la machine du réseau ;
- mettre un fichier en quarantaine ;
- annuler des modifications (rollback) sur certaines solutions.
graph TD
subgraph Endpoints
PC1[Agent EDR - PC]
PC2[Agent EDR - Portable]
SRV[Agent EDR - Serveur]
end
PC1 --> CONSOLE[Console EDR centrale + cloud d'analyse]
PC2 --> CONSOLE
SRV --> CONSOLE
CONSOLE -->|alerte enrichie| ANALYSTE[Analyste / SOC]
ANALYSTE -->|isoler / tuer process| PC2
CONSOLE -->|envoie les détections| SIEM[SIEM corrélation globale]
L'EDR voit en profondeur ce qui se passe sur la machine. Le SIEM, lui, voit en largeur (tous les équipements, mais sans ce niveau de détail interne). Les deux se complètent : l'EDR alimente souvent le SIEM.
Un employé de la PME ouvre une pièce jointe piégée. La macro lance discrètement PowerShell, qui télécharge un rançongiciel et commence à chiffrer le disque.
- L'antivirus classique ne réagit pas : le fichier est inconnu.
- L'EDR, lui, repère la chaîne comportementale :
Word → PowerShell → connexion sortante suspecte → chiffrement massif de fichiers. Il tue le processus, isole le poste du réseau automatiquement, et alerte l'équipe.
Le SOC ouvre la console EDR, voit la timeline complète, confirme qu'aucune autre machine n'est touchée (grâce à l'isolement immédiat), nettoie le poste et le réintègre. Le SIEM, en parallèle, a corrélé cette détection avec un mail entrant pour identifier la campagne et alerter les autres employés.
- Déploie l'agent sur 100 % des endpoints : une machine sans agent est un angle mort.
- Active les réponses automatiques sur les cas sûrs (isolement en cas de rançongiciel), tout en gardant un humain dans la boucle pour les cas ambigus.
- Couple l'EDR au SIEM pour corréler endpoint + réseau + mail (chemin vers le XDR).
- Conserve un historique suffisant de télémétrie : l'investigation post-incident en dépend.
- Teste les playbooks de réponse (exercices) pour ne pas découvrir les boutons en pleine crise.
- Surveille la santé des agents (à jour, actifs) : un agent désactivé ne protège plus.
Croire que l'EDR remplace l'antivirus, le pare-feu ou le SIEM. C'est une couche complémentaire centrée sur l'endpoint, pas un produit unique.
Activer le blocage automatique partout sans réglage : tu risques d'isoler des serveurs critiques sur un faux positif. Affine, comme pour un IPS.
Laisser des machines sans agent (BYOD, serveurs oubliés, IoT). L'attaquant cherche justement la machine non couverte.
- L'EDR surveille en continu et en profondeur chaque endpoint (comportement, pas seulement signatures) et peut réagir : tuer un processus, isoler la machine.
- Il attrape ce que l'antivirus rate : zero-day, fileless, détournement d'outils légitimes.
- Il agit machine par machine ; le SIEM corrèle l'ensemble — les deux sont complémentaires (et mènent au XDR).
« L'EDR ne se contente pas de voir le virus : il regarde le film entier de l'attaque. » 🔑