Antivirus ou EDR : quelles différences ?

Niveau : débutant à intermédiaire.

Prérequis : connaître les notions de poste, processus, fichier, compte, journal et incident. Savoir distinguer un événement d’une alerte aide à comprendre la télémétrie. Aucun produit de sécurité ni droit administrateur n’est nécessaire.

L’exercice reste local, fictif et défensif. Tu compares des événements écrits dans l’article, sans exécuter de fichier suspect, sans désactiver une protection et sans envoyer de données vers un service externe.

Un antivirus historique se concentre sur la prévention et la détection de logiciels malveillants : analyse de fichiers, réputation, signatures, règles heuristiques et parfois observation du comportement. Lorsqu’il reconnaît une menace, il peut bloquer l’exécution, mettre un fichier en quarantaine ou lancer une remédiation. Les protections modernes ajoutent souvent contrôle de scripts, filtrage Web ou réduction de surface d’attaque. Le mot « antivirus » décrit donc une famille plus large qu’un simple catalogue de signatures.

Un Endpoint Detection and Response, ou EDR, ajoute généralement une collecte continue d’événements sur les terminaux, une console de recherche, des corrélations et des actions de réponse. Il vise à rendre visibles des chaînes d’activité : quel processus a créé un autre processus, quel compte a lancé une commande, quel hôte a contacté une destination, puis quelles machines présentent un motif proche.

Les offres commerciales brouillent la frontière. Une suite peut vendre sous un même agent une protection antivirus, un EDR et d’autres contrôles. Compare des capacités vérifiables plutôt que les noms. Le NIST SP 800-83 Rev. 1 replace la prévention des logiciels malveillants dans un ensemble associant politique, sensibilisation, réduction des vulnérabilités, détection et traitement des incidents.

La prévention cherche à empêcher une activité indésirable avant qu’elle produise son effet. Elle peut comparer un fichier à une signature connue, consulter sa réputation, contrôler son origine, analyser sa structure ou bloquer un comportement. Cette couche est utile contre des menaces courantes et connues, mais son résultat dépend de la configuration, de la couverture du système, de l’état de l’agent et de la fraîcheur des données.

Une décision automatique doit rester proportionnée. Un blocage trop agressif interrompt des outils légitimes ; un réglage trop permissif laisse passer davantage d’activités. Commence par observer les détections, documente les exceptions et limite-les par chemin, certificat, version ou groupe précis lorsque le produit le permet. Une exclusion globale d’un dossier partagé peut créer un angle mort durable.

L’EDR peut inclure cette prévention, mais ce n’est pas sa seule fonction. Inversement, un antivirus peut intégrer des contrôles comportementaux sans fournir l’historique, la recherche transversale ou les actions à distance attendues d’un EDR. Vérifie séparément prévention activée, protection contre l’altération, remontée des événements et capacité de réponse.

La télémétrie d’un EDR peut contenir créations de processus, relations parent-enfant, modifications de fichiers, connexions réseau, chargements de modules, sessions, changements de registre ou autres événements selon le système. Ces données alimentent des règles, des modèles et des recherches. Le catalogue des sources de données MITRE ATT&CK aide à nommer les observations possibles et leurs composants, sans garantir qu’un produit collecte chaque champ ni qu’il détecte automatiquement chaque technique.

La collecte possède des limites concrètes : système non pris en charge, agent arrêté, mode dégradé, événement non instrumenté, perte de réseau, rétention courte ou horloge incorrecte. Un volume élevé peut aussi masquer les signaux utiles. Mesure donc le taux de couverture des postes, l’âge de leur dernière remontée, la latence, la durée de conservation et les champs réellement disponibles.

Une détection transforme certains événements en alerte à partir d’une règle ou d’un modèle. Elle peut produire des faux positifs et des faux négatifs. Une commande inhabituelle n’est pas nécessairement hostile ; une activité hostile peut ressembler à de l’administration. La qualité vient du contexte, du réglage et du recoupement avec l’identité, les journaux réseau, l’application et les changements autorisés.

L’EDR aide l’investigation en reliant les événements autour d’un hôte, d’un compte ou d’un indicateur. Tu peux partir d’une alerte, identifier le processus initial, suivre ses enfants, observer les fichiers créés et rechercher le même motif sur d’autres postes. Cette vue accélère le tri, mais elle reste une représentation issue de la collecte, pas une reproduction exhaustive de la machine.

Sépare toujours fait observé, interprétation et donnée manquante. « outil-maintenance.exe a lancé powershell.exe à 10:14 » est un fait si les champs sont présents. « Le poste est compromis » est une conclusion qui demande du contexte. Vérifie la signature du binaire, son emplacement, le compte, le changement planifié, les arguments, les destinations et les événements voisins.

Conserve l’identifiant de l’alerte, les horodatages, la requête utilisée et les résultats pertinents. Une console peut réévaluer ou supprimer des données après expiration de la rétention. Si l’incident exige une analyse forensique ou une preuve formelle, suis une procédure dédiée de préservation. L’EDR facilite la recherche initiale, mais ne garantit ni l’intégrité probatoire ni la présence de toutes les traces.

Un EDR peut proposer l’isolation réseau d’un poste, l’arrêt d’un processus, la quarantaine d’un fichier, la collecte d’un artefact ou l’exécution d’une action encadrée. Ces capacités réduisent parfois le délai de confinement. Elles peuvent aussi interrompre un service critique, supprimer une trace utile ou échouer si l’agent ne répond plus. Définis donc les rôles autorisés, les cas d’usage, le critère de déclenchement et le retour arrière.

Isoler n’est pas éradiquer. Un poste isolé peut conserver une persistance, des identifiants exposés ou une vulnérabilité. Après le confinement, examine l’étendue, traite les comptes et secrets concernés, corrige la cause puis restaure depuis un état maîtrisé. Vérifie que l’action a réellement produit l’effet attendu : absence de communication non autorisée, agent toujours joignable par son canal de gestion, processus arrêté et contrôles fonctionnels réussis.

Le Cybersecurity Framework 2.0 du NIST répartit la gestion du risque entre gouverner, identifier, protéger, détecter, répondre et rétablir. Cette structure rappelle qu’un outil de terminal contribue à plusieurs fonctions sans les couvrir seul. La décision, la coordination métier et la restauration restent des processus humains et techniques plus larges.

Un EDR sans exploitation produit surtout des alertes, du stockage et une impression de couverture. Il faut suivre le déploiement des agents, traiter les postes muets, régler les politiques, qualifier les alertes, maintenir des requêtes, tester les actions et relier la console au processus d’incident. Attribue chaque tâche à un rôle et fixe un délai adapté à la criticité.

Prépare des procédures courtes pour les scénarios fréquents : détection de malware, exécution inhabituelle, vol de compte présumé et agent désactivé. Chaque procédure doit indiquer les vérifications minimales, les sources complémentaires, l’autorité qui peut isoler, les conditions de levée et les éléments à consigner. Organise des exercices pour repérer les permissions manquantes ou les dépendances oubliées.

Le standard technique de réponse à incident du NCSC cite l’EDR comme moyen d’obtenir de la visibilité sur les hôtes et d’effectuer certaines actions de réponse. Il souligne implicitement une réalité opérationnelle : la capacité repose aussi sur des analystes, des procédures, un déploiement possible et l’accès aux données. Un abonnement seul ne constitue pas une équipe de réponse.

Analyse uniquement ce jeu fictif, sans lancer les commandes mentionnées :

10:12 AV poste-17 : fichier facture-demo.exe bloqué, signature TEST-42
10:14 EDR poste-22 : outil-maintenance.exe -> powershell.exe
10:14 EDR poste-22 : powershell.exe -> connexion 192.0.2.44:443
10:15 Inventaire : poste-22 affecté à l’équipe support
10:16 Changements : maintenance support prévue de 10:00 à 10:30
10:18 EDR poste-22 : agent actif, télémétrie reçue

Crée un tableau local avec événement, fonction, fait, hypothèse, donnée manquante, action et critère de vérification. Classe le premier événement comme prévention antivirus. Pour la chaîne du poste 22, distingue télémétrie, détection possible et investigation. Utilise l’adresse réservée à la documentation comme donnée fictive, sans tentative de connexion.

Critère observable

Ton tableau doit comporter six lignes, ne pas déclarer le poste 22 compromis, demander au moins les arguments de la commande et l’identité ou signature de l’outil, puis proposer une vérification du changement planifié. Il doit expliquer qu’une isolation ne serait justifiée qu’après un seuil documenté ou un impact urgent, et qu’un blocage de fichier sur le poste 17 ne démontre pas l’absence d’autres activités.

• Choisir sur une étiquette commerciale. Compare collecte, prévention, recherche, rétention et réponse par plateforme.
• Considérer l’EDR comme une garantie. Un agent peut manquer un événement, être contourné ou ne pas couvrir un actif.
• Confondre alerte et compromission. Recoupe les faits et conserve une hypothèse concurrente.
• Collecter sans exploiter. Mesure les agents muets, la latence et le traitement des alertes.
• Isoler sans préparer l’impact. Prévois autorité, dépendances, canal de gestion et retour arrière.
• Multiplier les exclusions. Donne-leur un propriétaire, une justification, une portée minimale et une échéance.
• Oublier la confidentialité. La télémétrie peut révéler comptes, chemins, commandes et usages ; limite les accès et la conservation.
• Remplacer les autres couches. Maintiens correctifs, moindre privilège, sauvegardes, segmentation et journalisation.

Ni l’antivirus ni l’EDR ne voit tout. La couverture varie selon le système, la configuration, la licence et l’activité réelle de l’équipe. Un EDR améliore souvent la visibilité et la vitesse d’action, mais il ne prouve pas qu’un poste est sain et ne remplace pas une investigation complète lorsque l’enjeu l’exige.