EDR (Endpoint Detection and Response)

Définition

L'EDR (Endpoint Detection and Response, en français « détection et réponse sur les terminaux ») désigne une catégorie de solutions de sécurité qui instrumentent en continu les postes de travail, serveurs et machines virtuelles afin de collecter des données comportementales, détecter les menaces avancées, faciliter l'investigation et automatiser la réponse aux incidents. Le terme a été introduit par Gartner en 2013 pour nommer une rupture claire avec l'antivirus traditionnel : là où celui-ci compare un fichier à une base de signatures connues, l'EDR observe ce que fait réellement un processus sur la machine et raisonne sur des enchaînements d'actions.

Concrètement, un EDR répond à trois questions que l'antivirus ne sait pas traiter : que s'est-il passé sur ce poste, jusqu'où l'attaquant est-il allé, et comment stopper l'attaque sans réinstaller la machine. Les acteurs de référence du marché sont CrowdStrike Falcon, SentinelOne Singularity, Microsoft Defender for Endpoint, Palo Alto Cortex XDR, HarfangLab (éditeur français certifié par l'ANSSI) ou encore Sophos Intercept X.

Fonctionnement technique

Un EDR repose sur trois briques : un agent déployé sur chaque terminal, une plateforme d'analyse (généralement cloud) et une console d'administration.

• Collecte de télémétrie : l'agent instrumente le noyau et l'espace utilisateur pour capter les créations de processus et leurs lignes de commande, les chargements de DLL, les écritures en base de registre, les accès fichiers, les connexions réseau sortantes, les authentifications et les injections mémoire. Sous Windows, cela passe par des kernel callbacks, l'ETW (Event Tracing for Windows) et l'interface AMSI pour désobfusquer les scripts PowerShell. Sous Linux, l'agent s'appuie sur eBPF ou les audit rules du noyau.
• Détection comportementale : les événements sont corrélés en arbres de processus et confrontés à des règles de détection, souvent alignées sur la matrice MITRE ATT&CK. Un moteur de machine learning complète l'analyse statique des binaires et l'inspection mémoire pour repérer le code sans fichier (fileless).
• Réponse : l'analyste — ou une règle automatisée — peut isoler la machine du réseau tout en conservant le lien avec la console, tuer un processus, mettre un binaire en quarantaine, supprimer une clé de persistance, ou ouvrir un shell distant pour investiguer.

Exemples concrets de détection

La valeur de l'EDR apparaît sur des scénarios qu'aucune signature ne couvre :

• Macro malveillante : WINWORD.EXE lance powershell.exe -enc qui télécharge une charge utile. Aucun fichier connu n'est impliqué, mais la filiation processus est anormale et déclenche une alerte.
• Vol d'identifiants : un processus non signé ouvre un handle en lecture sur lsass.exe — comportement typique de Mimikatz, y compris dans ses variantes recompilées.
• Ransomware : suppression des clichés instantanés via vssadmin delete shadows /all, suivie d'un chiffrement massif détecté par le taux d'entropie des écritures. L'EDR peut alors stopper le processus et restaurer les fichiers touchés.
• Persistance : création d'une tâche planifiée ou d'un service pointant vers un exécutable dans %APPDATA%.

Liens avec les autres concepts de cybersécurité

L'EDR s'inscrit dans un écosystème plus large. Il est le successeur fonctionnel de l'antivirus (souvent intégré dans la même suite, qualifiée d'EPP — Endpoint Protection Platform). L'XDR étend son périmètre au-delà du terminal en agrégeant les journaux réseau, cloud, identité et messagerie. Le SIEM demeure complémentaire : l'EDR fournit une télémétrie riche mais centrée sur l'endpoint, tandis que le SIEM corrèle l'ensemble des sources du système d'information. Le MDR (Managed Detection and Response) correspond à l'exploitation de l'EDR par un SOC externalisé, 24/7. Enfin, l'EDR est le principal fournisseur de données pour le threat hunting et pour la réponse à incident (forensic), grâce à sa rétention d'événements sur plusieurs semaines.

Sur le plan réglementaire, le déploiement d'un EDR constitue une mesure attendue au titre de la directive NIS 2 (article 21, gestion des incidents) et contribue directement aux contrôles A.8.7 et A.8.16 de l'ISO/IEC 27001:2022.

Bonnes pratiques de déploiement

• Viser une couverture exhaustive : un seul poste non équipé suffit à l'attaquant. Rapprochez l'inventaire des agents de celui de l'Active Directory et du parc pour identifier les angles morts, notamment les serveurs et les postes nomades.
• Ne pas laisser l'EDR en mode détection seule : après une phase d'observation de quelques semaines, activez le blocage. Un EDR qui alerte sans bloquer suppose un SOC capable de réagir en minutes.
• Protéger l'agent : activez la protection anti-désinstallation par mot de passe et surveillez les alertes de « perte de contact » — la désactivation de l'EDR est une étape classique de la kill chain.
• Cloisonner les exclusions : chaque exclusion de chemin ou de processus crée une zone aveugle. Documentez-les, limitez-les et réévaluez-les périodiquement.
• Éprouver les détections : validez la couverture avec Atomic Red Team ou Caldera, puis mesurez le taux de détection par technique ATT&CK.
• Définir les procédures de réponse : qui est autorisé à isoler une machine, dans quel délai, et selon quelle chaîne d'escalade ? L'outil ne remplace pas le processus.

Bien exploité, un EDR réduit drastiquement le temps de détection et de confinement d'une intrusion. Mal supervisé, il devient une source d'alertes ignorées : la technologie ne produit de valeur qu'associée à une capacité d'analyse humaine, interne ou déléguée.