Choisir une capacité de protection, pas seulement un sigle
« Il vous faut un EDR. » La proposition est difficile à apprécier si vous ne savez pas ce que l’outil observera, qui recevra ses alertes et ce qui se passera lors d’un incident. La bonne comparaison porte sur des fonctions, un périmètre et une organisation de réponse.
Les repères ci-dessous présentent les différences techniques. Les situations et les questions de choix correspondent à la manière dont Karbonic propose d’examiner une installation ; elles ne remplacent pas l’analyse de votre parc.
Antivirus, EDR, XDR : quelle différence ?
| Moyen | Ce qu’il apporte principalement | Ce qu’il faut vérifier |
|---|---|---|
| Antivirus et protection des postes | Prévenir et bloquer des activités malveillantes sur les équipements. | Mise à jour, configuration, couverture et traitement des alertes. |
| EDR | Observer les activités des équipements, enquêter sur des événements et permettre des réponses. | Informations disponibles, durée de conservation, actions et personnes chargées du suivi. |
| XDR | Rapprocher des événements provenant de plusieurs sources de sécurité. | Capteurs, connexions, licences et qualité des rapprochements. |
| Pare-feu et analyse réseau | Filtrer ou examiner les échanges visibles sur le réseau. | Emplacement des observations, journaux conservés et limites de visibilité. |
Les fonctions peuvent être réunies dans une même suite. Un nom commercial ou un écran « protégé » ne suffit donc pas à déterminer ce qui est réellement déployé. Microsoft, par exemple, distingue la protection antivirus et les capacités EDR de Defender for Endpoint.
Dans quels contextes l’EDR mérite-t-il d’être étudié ?
La question porte sur ce qu’un incident empêcherait de faire et sur les informations nécessaires pour réagir. Voici des points de départ pour la discussion, et non une grille qui attribuerait automatiquement un produit à chaque entreprise.
| Votre situation | Questions à examiner |
|---|---|
| Une petite structure avec des dossiers confidentiels | Qui accède aux dossiers ? Que faudrait-il savoir en cas de compromission d’un poste ? |
| Des collaborateurs itinérants et des services hébergés | Quels appareils et comptes sont suivis en dehors des locaux ? Quelles sources peuvent être rapprochées ? |
| Des serveurs essentiels à l’activité | Quelles actions de réponse sont possibles sans interrompre un service critique ? Qui peut les autoriser ? |
| Un équipement ancien qui ne supporte pas d’agent | Quels accès peuvent être limités ? Quelle surveillance est possible ailleurs ? Qu’est-ce qui restera invisible ? |
Une installation de petite taille n’est pas nécessairement peu exposée. La valeur des données, les accès et les conséquences d’une interruption comptent autant que le nombre de machines.
Est-il utile d’ajouter du XDR immédiatement ?
Le XDR est intéressant lorsqu’une investigation exige de relier plusieurs sources. Encore faut-il disposer des capteurs utiles et les configurer. Dans GravityZone, les possibilités varient notamment selon les licences et les intégrations déployées.
La démarche proposée par Karbonic consiste à partir de quelques questions d’incident : quelles observations faut-il rapprocher, qui les examinera et quelle décision pourraient-elles permettre ? Ce travail aide à choisir les connexions utiles et à écarter une extension qui n’apporterait pas de réponse supplémentaire à votre besoin.
Peut-on remplacer l’EDR que l’on possède ?
Oui, mais le remplacement doit être comparé fonction par fonction : systèmes couverts, détection, informations d’investigation, actions de réponse, conservation des événements, accès et exploitation quotidienne. Les capacités éventuellement comprises dans des licences existantes sont vérifiées avant un achat supplémentaire.
Le changement peut commencer par un périmètre pilote. La compatibilité, la remontée des informations et les actions prévues sont vérifiées avant le retrait de l’ancien dispositif. La reprise doit préserver la protection et les éléments nécessaires aux investigations en cours.
Il est aussi possible que la difficulté vienne surtout du paramétrage ou du suivi. Remplacer le produit sans corriger cette organisation ne résoudrait alors qu’une partie du problème.
Un pare-feu, des logs ou NetWatch peuvent-ils suffire ?
Ces moyens ont leur utilité, mais leurs fonctions ne sont pas interchangeables. Des journaux réseau n’offrent pas nécessairement la même observation de l’activité d’un poste qu’un capteur installé sur celui-ci. Une centralisation de logs ne devient pas automatiquement un dispositif EDR.
NetWatch sert à recueillir des informations et à coordonner des interventions. Dans l’organisation décrite par Karbonic, il exploite notamment des informations de Bitdefender et travaille avec la gestion du parc. Il n’est pas présenté comme un substitut autonome à la protection des équipements.
Lorsqu’une protection particulière ne peut pas être installée, des mesures compensatoires sont étudiées. Leur portée et leurs limites doivent être indiquées, sans prétendre obtenir les mêmes capacités par défaut.
Que faut-il conserver, même avec une bonne solution de détection ?
Mises à jour, accès limités, authentification renforcée, sauvegardes et préparation de la reprise répondent à des besoins complémentaires. Les ressources de la CISA et le référentiel de l’ANSSI les traitent au-delà du seul choix d’un antivirus ou d’un EDR.
Le suivi des alertes est tout aussi concret : qui les reçoit, quand, avec quels droits et quelle marche à suivre ? Les horaires d’intervention et les conditions d’escalade doivent être connus. L’achat d’une licence ne crée pas une permanence opérationnelle.
Quelles questions poser avant d’accepter une proposition ?
- Quels équipements, comptes et services seront couverts ?
- Quelles informations seront disponibles pour comprendre un incident ?
- Où ces informations seront-elles conservées, pendant combien de temps et avec quels accès ?
- Qui examinera les alertes, et dans quels horaires ?
- Quelles actions pourront être déclenchées automatiquement ou après validation ?
- Que restera-t-il hors du périmètre, et comment sera-t-il suivi ?
- Quels sont les coûts de déploiement, de licence et d’exploitation ?
Karbonic peut établir cette lecture à partir de votre installation, comparer les possibilités et organiser le suivi retenu. La proposition distingue les outils, le travail de configuration et les engagements d’accompagnement.
Examiner la sécurité de votre installation