Détection et réponse sur les postes de travail (EDR)

Définition

La détection et réponse sur les postes de travail, ou EDR (Endpoint Detection and Response), est une technologie de sécurité qui surveille en continu l'activité des terminaux, ordinateurs, serveurs et machines virtuelles, afin de détecter, investiguer et neutraliser les menaces avancées échappant aux antivirus traditionnels fondés sur les signatures. Un agent EDR installé sur chaque poste collecte en temps réel des télémétries détaillées sur les processus, les connexions réseau, les modifications de registre et les accès fichiers, puis les corrèle avec des règles de détection comportementale et des indicateurs de compromission alignés sur le framework MITRE ATT&CK, permettant d'identifier des techniques comme l'escalade de privilèges (TA0004) ou la persistance (TA0003). En cas de détection, l'EDR offre des capacités de réponse automatisée ou pilotée par un analyste : isolement réseau du poste compromis, arrêt de processus malveillants, suppression de fichiers ou restauration à un état antérieur. Il fournit également des outils d'investigation forensique permettant de reconstituer la chronologie complète d'une attaque. Des solutions comme CrowdStrike Falcon, Microsoft Defender for Endpoint ou SentinelOne illustrent cette catégorie. L'EDR constitue un pilier des opérations de sécurité modernes, souvent supervisé par un SOC en mode MDR (Managed Detection and Response), et s'intègre fréquemment à un SIEM ou évolue vers une plateforme XDR unifiant plusieurs sources de télémétrie.