EDR, XDR, MDR : quelle détection des menaces pour votre PME ?

EDR, XDR, MDR : que signifient ces sigles et lequel protège vraiment votre PME ? La réponse tient dans la lettre oubliée, le M de « managé ».

EDR, XDR, MDR : trois sigles pour trois réponses différentes à la même question, comment détecter une attaque en cours et y réagir. L'EDR surveille chaque poste et serveur, le XDR élargit cette surveillance à la messagerie et au cloud en corrélant le tout, et le MDR ajoute ce qui manque aux deux premiers : des analystes humains qui traitent les alertes en continu. Pour une PME, la question décisive n'est pas EDR ou XDR ; c'est de savoir qui regarde.

M
Le marché débat de l'EDR contre le XDR. Pour une PME, la lettre qui change tout est ailleurs : M, comme managé. Un outil de détection sans équipe pour répondre à ses alertes est une alarme qui sonne dans une maison vide.

L'antivirus ne suffit-il plus ?

Non, et comprendre pourquoi éclaire tout le reste. L'antivirus classique reconnaît des menaces déjà connues : il compare chaque fichier à un catalogue de signatures. Les attaques modernes le contournent précisément en n'y figurant pas : identifiants volés utilisés « légitimement », outils système détournés, comportements malveillants sans fichier malveillant. La détection moderne ne cherche donc plus seulement des fichiers connus ; elle observe des comportements : ce poste qui chiffre soudain des centaines de fichiers, ce compte qui se connecte à 3 heures du matin depuis un pays inhabituel, ce serveur qui contacte une adresse jamais vue. C'est ce changement de logique que recouvrent les sigles qui suivent.

EDR : que surveille-t-il exactement ?

L'EDR (Endpoint Detection and Response) observe en continu chaque « point de terminaison » : ordinateurs fixes et portables, serveurs. Il enregistre les comportements, signale les anomalies, et permet d'agir à distance sur la machine concernée : isoler un poste du réseau en quelques secondes, tuer un processus, remonter le fil de l'incident. Ce dernier point est précieux après coup : l'EDR conserve l'historique qui permet de comprendre par où la menace est entrée et ce qu'elle a touché, condition indispensable pour ne pas se faire réinfecter par la porte restée ouverte. Une remédiation partielle n'est pas une économie : c'est un risque qui attend son heure.

XDR : quand la vue d'ensemble devient-elle utile ?

Le XDR (Extended Detection and Response) étend l'observation au-delà des machines : messagerie, applications cloud, identités, réseau. Son apport est la corrélation : un email de phishing reçu lundi, une connexion inhabituelle mardi et un transfert de données mercredi sont trois événements anodins séparément, et une attaque évidente une fois reliés. Le XDR relie. Plus l'environnement compte de briques (Microsoft 365, applications cloud, plusieurs sites), plus cette corrélation a de valeur, car les attaques modernes traversent plusieurs terrains et qu'aucun outil mono-terrain ne voit leur trajectoire complète.

MDR : qui regarde les alertes à 3 heures du matin ?

Voilà la question que les comparatifs EDR/XDR oublient systématiquement. Ces outils produisent des alertes ; encore faut-il quelqu'un pour les trier, les qualifier et réagir, à toute heure, car une attaque ne respecte pas les horaires de bureau, elle les évite. Le MDR (Managed Detection and Response) est exactement cela : la technologie de détection adossée à une équipe d'analystes qui surveille en continu et prend en charge les incidents en quelques minutes, y compris la nuit et le week-end, pour isoler ce qui doit l'être avant que les dégâts ne s'étendent. Aucune PME, et fort peu de grandes entreprises, ne peut aligner en interne une équipe d'astreinte capable de cela. C'est la raison pour laquelle notre standard associe systématiquement la détection (ESET) à une réponse managée : nous ne déployons pas d'alarme sans personne au bout. La détection est l'une des couches d'une défense en profondeur, aux côtés du cloisonnement du réseau et des accès à distance protégés.

Notre position : un EDR sans réponse managée est un tableau de bord que personne ne regarde. Lors des reprises de parcs informatiques, nous rencontrons régulièrement des outils de détection coûteux, correctement installés, dont les alertes s'accumulaient sans lecteur depuis des mois. La technologie ne remplace pas la vigilance ; elle la rend possible, à condition que quelqu'un l'exerce.

Alors, que choisir pour une PME ?

Oubliez le raccourci « EDR pour les petits, XDR pour les grands » : la taille n'est pas le critère. Le socle non négociable, pour toute entreprise qui a des données à protéger, est une détection comportementale sur tous les postes et serveurs, avec réponse managée 24/7, autrement dit EDR + MDR au minimum. L'extension XDR se justifie dès que l'environnement est éclaté (Microsoft 365, cloud, plusieurs sites) : c'est le profil de la plupart des PME d'aujourd'hui, pas un luxe de grand compte. Quant au coût, il se cadre comme tout le reste : non pas dans l'absolu, mais face à ce qu'il couvre. Une détection managée se chiffre en euros par poste et par mois ; un rançongiciel non détecté se chiffre en jours d'arrêt complet. Le calcul n'est pas difficile, il est juste rarement posé.

EDR, XDR, MDR ne sont donc pas trois niveaux d'une même échelle où il faudrait « choisir son étage » : ce sont trois réponses complémentaires, et la seule combinaison incomplète est celle où personne ne regarde. La question à poser à votre prestataire tient en une phrase : quand une alerte se déclenche un samedi à 3 heures du matin, qui la voit, en combien de temps, et que fait-il ? La qualité du silence qui suivra vous en dira long.

Évaluer ma détection des menaces

Questions fréquentes

Quelle est la différence entre un antivirus et un EDR ?

L'antivirus reconnaît des menaces déjà connues en comparant les fichiers à un catalogue de signatures. L'EDR observe les comportements : il détecte une attaque à ce qu'elle fait (chiffrement massif, connexion anormale, processus détourné), même si aucun fichier connu n'est impliqué, et permet d'isoler la machine touchée à distance.

Qu'est-ce que le MDR ?

Le MDR (Managed Detection and Response) associe les outils de détection à une équipe d'analystes qui surveille les alertes en continu, 24h/24, et prend en charge les incidents en quelques minutes. C'est la composante humaine sans laquelle un EDR ou un XDR reste une alarme sans personne au bout.

Une PME a-t-elle besoin d'un XDR ?

Dès que son environnement dépasse les seuls postes de travail (Microsoft 365, applications cloud, plusieurs sites), oui : le XDR corrèle les signaux entre ces terrains, là où les attaques modernes circulent. Le critère est l'éclatement de l'environnement, pas la taille de l'entreprise.