| En bref Un antivirus identifie des menaces connues à partir de signatures et de règles heuristiques ; un EDR (Endpoint Detection and Response) enregistre en continu l’activité des postes pour détecter des comportements anormaux, puis permet d’investiguer et de réagir à distance. L’antivirus bloque, l’EDR bloque et raconte ce qui s’est passé. La question n’est plus « lequel choisir » : la plupart des EDR intègrent aujourd’hui un moteur antivirus de nouvelle génération. La vraie question pour une PME est de savoir qui lira les alertes. |
La confusion entre EDR et antivirus tient largement au vocabulaire commercial : les éditeurs ont rebaptisé leurs gammes plusieurs fois en dix ans, et les termes EPP, NGAV, EDR, XDR et MDR se recouvrent partiellement. Pour une PME qui doit arbitrer un budget, l’enjeu n’est pourtant pas terminologique. Il s’agit de déterminer quel niveau de détection est proportionné au risque réel, et surtout quelles ressources humaines seront disponibles pour exploiter l’outil retenu.
Comment fonctionne un antivirus ?
L’antivirus traditionnel repose sur une base de signatures : l’empreinte cryptographique de chaque fichier analysé est comparée à une liste de codes malveillants connus. Ce modèle est rapide, peu gourmand en ressources et très fiable sur les menaces déjà répertoriées.
Sa limite est structurelle : il ne reconnaît que ce qu’il a déjà vu. Une variante recompilée d’un maliciel existant produit une signature différente et passe donc inaperçue. Les antivirus modernes, souvent appelés NGAV (next-generation antivirus), compensent par l’analyse heuristique et l’apprentissage automatique, qui évaluent la structure d’un fichier plutôt que son empreinte exacte. Cela élargit la couverture sans supprimer le problème de fond : l’antivirus raisonne au niveau du fichier, pas au niveau du scénario d’attaque.
Cette distinction compte, car une part croissante des intrusions n’utilise aucun fichier malveillant. Les attaquants se servent d’outils légitimes déjà présents sur le système PowerShell, WMI, outils d’administration à distance dans des séquences anormales. Aucun fichier suspect à détecter, donc aucune signature à faire correspondre.
Comment fonctionne un EDR ?
Un EDR installe un agent sur chaque poste et serveur, qui enregistre en continu la télémétrie : processus lancés, relations parent-enfant entre processus, écritures de fichiers, modifications de la base de registre, connexions réseau sortantes, authentifications. Ces événements sont corrélés en temps réel pour repérer non pas un fichier malveillant, mais une séquence anormale.
Un exemple concret : un document Word ouvert depuis une pièce jointe lance PowerShell, qui télécharge un exécutable, qui commence à parcourir les partages réseau et à supprimer les clichés instantanés du système. Chaque action, prise isolément, est légitime. La chaîne complète ne l’est pas. C’est exactement ce type d’enchaînement qu’un EDR détecte et qu’un antivirus laisse passer.
Le second apport tient au « R » de Response. Un EDR permet d’isoler un poste du réseau à distance en conservant l’accès pour l’analyse, de tuer un processus, de mettre un fichier en quarantaine sur l’ensemble du parc, et parfois de revenir à l’état antérieur du système. Il conserve enfin un historique daté qui permet de reconstituer le point d’entrée après coup, ce qui est indispensable pour une déclaration d’assurance ou une notification réglementaire.
EDR et antivirus : le tableau comparatif
| Critère | Antivirus / NGAV | EDR |
|---|---|---|
| Principe de détection | Signatures, heuristique, apprentissage sur fichiers | Analyse comportementale et corrélation d’événements |
| Menaces inconnues | Couverture partielle | Couverture large, y compris attaques sans fichier |
| Visibilité après infection | Quasi nulle : le journal est sommaire | Historique complet et rejouable de la chaîne d’attaque |
| Réaction possible | Quarantaine ou suppression du fichier | Isolation réseau, arrêt de processus, action sur tout le parc |
| Administration | Souvent poste par poste | Console centralisée pour l’ensemble des machines |
| Charge d’exploitation | Faible : fonctionne seul | Réelle : produit des alertes à qualifier |
| Impact sur les postes | Léger | Modéré, télémétrie continue |
| Coût par poste | Bas | 3 à 6 fois supérieur selon les éditeurs |
| Utile pour | Poste isolé, usage bureautique simple | Parc multi-postes, données sensibles, exposition réelle |
EPP, NGAV, EDR, XDR, MDR : que recouvrent ces sigles ?
Ces cinq termes désignent des périmètres différents, souvent vendus dans une même offre. Les distinguer évite de payer deux fois la même fonction.
| Sigle | Signification | Périmètre |
|---|---|---|
| EPP | Endpoint Protection Platform | Socle de protection du poste : antivirus, pare-feu local, contrôle des périphériques |
| NGAV | Next-Generation Antivirus | Antivirus enrichi d’analyse comportementale et d’apprentissage automatique |
| EDR | Endpoint Detection and Response | Détection avancée, investigation et réponse sur les postes et serveurs |
| XDR | Extended Detection and Response | Même logique étendue à la messagerie, au cloud, à l’identité et au réseau |
| MDR | Managed Detection and Response | Un prestataire exploite l’outil et surveille les alertes 24h/24 à votre place |
Le point important pour une PME : EDR, XDR et MDR désignent des technologies, sauf MDR qui désigne un service. Un MDR peut s’appuyer sur l’EDR d’un éditeur tiers. C’est souvent la brique la plus déterminante pour une structure sans équipe sécurité interne.
Faut-il cumuler un EDR et un antivirus ?
Non, pas sous la forme de deux produits distincts. Faire cohabiter deux moteurs de protection en temps réel provoque des conflits classiques : analyses concurrentes des mêmes fichiers, mise en quarantaine mutuelle des agents, dégradation notable des performances. La bonne pratique consiste à retenir une solution unique dont l’EDR embarque son propre moteur antiviral, ce qui est le cas de la quasi-totalité des offres actuelles.
La superposition reste pertinente à d’autres niveaux de la chaîne : filtrage de la messagerie en amont, protection du navigateur, filtrage DNS. Ces couches n’entrent pas en conflit avec l’agent installé sur le poste, et interceptent les menaces avant qu’elles n’atteignent la machine.
Quelle solution pour quel profil de PME ?
Choisir entre EDR et antivirus dépend moins de la taille de l’entreprise que de trois variables : la sensibilité des données traitées, le niveau d’exposition externe (accès distants, services publiés sur internet), et la capacité à traiter une alerte dans l’heure.
| Profil | Recommandation | Justification |
|---|---|---|
| Moins de 10 postes, bureautique, aucun accès distant | NGAV professionnel administré | L’exposition est faible et personne ne pourra exploiter des alertes EDR |
| 10 à 50 postes, télétravail, VPN ou RDP publiés | EDR | Les accès distants constituent le premier vecteur d’intrusion identifié |
| Données de santé, financières ou industrielles | EDR, idéalement en mode MDR | L’obligation de tracer et de notifier impose un historique exploitable |
| Multi-sites ou multi-entités | EDR ou XDR | Une console unique évite les angles morts entre sites |
| Sous-traitant d’un donneur d’ordre soumis à NIS2 | EDR avec preuve documentaire | Les questionnaires sécurité fournisseurs le demandent désormais explicitement |
Pour une structure sans ressource interne et peu exposée, une solution antivirus correctement administrée, avec mises à jour centralisées, remontée d’alertes et vérification régulière de la couverture du parc, apporte davantage qu’un EDR haut de gamme dont personne ne consultera la console. L’outil non exploité crée une illusion de sécurité qui est parfois pire que l’absence d’outil.
Ce qu’un EDR ne fait pas
- Il ne remplace pas les sauvegardes : un EDR réduit la probabilité d’un chiffrement complet, il ne garantit pas la restauration.
- Il ne corrige pas les vulnérabilités : un VPN non mis à jour reste une porte ouverte, quel que soit l’agent installé sur les postes.
- Il ne protège pas ce sur quoi il n’est pas installé : serveurs oubliés, NAS, machines de production, équipements réseau restent hors périmètre.
- Il ne se surveille pas tout seul : une alerte critique remontée un vendredi soir et lue le lundi matin laisse largement le temps à une attaque d’aboutir.
- Il ne remplace pas l’authentification multifacteur : un identifiant valide utilisé depuis l’extérieur ne déclenche pas nécessairement d’alerte comportementale.
Comment se passe un déploiement ?
Le déploiement technique d’un EDR sur un parc de 30 à 50 postes prend généralement quelques jours : installation des agents par stratégie de groupe ou via l’outil de gestion du parc, puis phase d’apprentissage. Cette période, souvent d’une à deux semaines, sert à écarter les faux positifs liés aux logiciels métier spécifiques, fréquents dans l’industrie et la comptabilité.
Le point à cadrer avant la signature n’est pas l’installation mais l’exploitation : qui reçoit les alertes, selon quel niveau de criticité, avec quel délai d’intervention contractuel, et qui décide d’isoler un poste en pleine journée de production. Ces réponses déterminent l’efficacité réelle du dispositif bien plus que le classement de l’éditeur dans les comparatifs.
Questions fréquentes
Un EDR est-il obligatoire pour une PME ?
Aucun texte ne l’impose nommément. En revanche, plusieurs cadres exigent des mesures de détection et de gestion des incidents proportionnées au risque, ce que l’analyse comportementale permet de démontrer. Les questionnaires sécurité envoyés par les grands donneurs d’ordre à leurs fournisseurs mentionnent de plus en plus explicitement l’EDR.
L’antivirus intégré à Windows suffit-il ?
Microsoft Defender offre un niveau de protection antivirale correct pour un usage bureautique standard. Sa faiblesse en entreprise tient à l’administration : sans console centralisée, personne ne sait quels postes sont réellement protégés, à jour, ou ont désactivé la protection. Les versions professionnelles administrées corrigent ce point.
Un EDR ralentit-il les postes de travail ?
L’impact est mesurable mais modéré sur du matériel récent, de l’ordre de quelques pourcents de CPU en usage courant. Il devient perceptible sur des postes anciens à disque mécanique ou lors des analyses complètes, qu’il vaut mieux planifier en dehors des heures de production.
Quelle différence entre EDR et SIEM ?
L’EDR se concentre sur les postes et serveurs et sait agir sur eux. Le SIEM centralise et corrèle des journaux venant de toutes les sources (pare-feu, applications, annuaire, cloud) mais n’agit pas directement. Les deux sont complémentaires ; le SIEM reste rarement justifié en dessous d’une certaine taille de parc.
Un EDR détecte-t-il un ransomware avant le chiffrement ?
Souvent, oui, parce que les phases préparatoires reconnaissance du réseau, suppression des sauvegardes locales et des clichés instantanés, élévation de privilèges précèdent le chiffrement de plusieurs heures à plusieurs jours. C’est précisément cette fenêtre que l’analyse comportementale exploite, à condition que quelqu’un traite l’alerte.
Ce qu’il faut retenir
- L’antivirus raisonne au niveau du fichier, l’EDR au niveau du scénario d’attaque.
- Ne pas installer deux moteurs temps réel : les EDR actuels embarquent leur propre antivirus.
- Le critère décisif pour une PME n’est pas la technologie mais la capacité à exploiter les alertes.
- Sans ressource interne, un EDR en mode managé apporte plus qu’un EDR livré seul.
- Un EDR ne remplace ni les sauvegardes, ni les mises à jour, ni l’authentification multifacteur.
