Endpoint Detection and Response (détection et réponse sur les postes)
Qu’est-ce que l’EDR (Endpoint Detection and Response)?
L’EDR est une technologie de sécurité qui enregistre ce qui se passe sur un ordinateur, puis détecte les menaces et y répond selon leur comportement, repérant des attaques que l’antivirus à signatures ne voit jamais. Lavawall® travaille autour de l’antivirus ou de l’EDR que vous utilisez déjà et ajoute une vue unique de ses alertes, l’élévation des privilèges d’administrateur, la prévention de l’exécution des outils à haut risque et la recherche de rançongiciels.
Commencer gratuitement, sans carte de crédit Voir comment cela fonctionne
Télémétrie des postes · détection comportementale · chasse aux menaces · isolement et correction
Définition
L’EDR est né d’un problème simple : l’antivirus n’arrête que ce qu’il reconnaît déjà. Le terme a été créé en 2013 pour décrire des outils qui enregistrent en continu l’activité des postes (les processus qui s’exécutent, les fichiers qu’ils touchent, les clés de registre qu’ils modifient, les connexions réseau qu’ils ouvrent), puis qui examinent cet enregistrement pour y trouver le comportement d’une attaque plutôt qu’un fichier connu.
Ce changement est important, car la plupart des intrusions graves n’arrivent plus sous la forme d’un fichier de virus. L’attaquant se connecte avec des identifiants volés, exécute des outils Windows intégrés comme PowerShell et progresse discrètement. L’antivirus à signatures n’a rien à comparer. L’EDR repère plutôt le motif : la relation inhabituelle entre processus parent et enfant, l’outil de vidage d’identifiants, le script qui contacte un hôte inconnu.
Quand quelque chose est détecté, l’EDR fait plus qu’alerter. Un intervenant peut isoler la machine du réseau, mettre fin au processus fautif, extraire la chronologie des événements et, dans certains produits, ramener le poste à un état sain connu.
Composantes principales
- Enregistrement continu des postes. Un agent léger consigne les événements de processus, de fichiers, de registre et de réseau pour qu’une chronologie soit disponible pour l’enquête après coup.
- Détection comportementale. Des règles et des modèles signalent les actions d’une attaque (vol d’identifiants, élévation de privilèges, déplacement latéral) plutôt qu’un fichier précis.
- Chasse aux menaces. Des analystes interrogent la télémétrie enregistrée pour trouver des intrusions qui n’ont déclenché aucune règle automatisée.
- Actions de réponse. Isoler l’hôte, mettre fin à un processus, mettre un fichier en quarantaine ou corriger une modification, depuis la console.
- Retour arrière et expertise judiciaire. Une chronologie enregistrée facilite le nettoyage, la conservation des preuves et, dans certains outils, le retour de la machine à son état antérieur.
Pourquoi c’est important
Le poste de travail est l’endroit où un rançongiciel se déclenche vraiment et où un identifiant volé devient un dommage réel. Si vous ne voyez le poste qu’après coup, vous nettoyez au lieu d’arrêter l’attaque. L’EDR vous donne le comportement en direct et l’enregistrement nécessaire pour agir.
Il devient aussi incontournable sur papier. Les demandes de cyberassurance demandent désormais si vous utilisez la détection sur les postes en plus de l’antivirus, et les évaluations de la CMMC 2.0 et du NIST CSF s’attendent à une détection comportementale et à une capacité de réponse. Répondre oui, preuves à l’appui, fait partie de l’obtention d’une couverture et de la réussite d’un audit.
Comment Lavawall® vous aide avec l’EDR
Lavawall® travaille autour de l’EDR en qui vous avez déjà confiance au lieu d’essayer de le remplacer. Il surveille l’état et la santé de l’antivirus ou de l’EDR sur chaque machine, de sorte qu’un agent désactivé ou périmé apparaît avant qu’un attaquant ne s’en serve. Il ajoute l’élévation des privilèges d’administrateur avec des règles fondées sur les certificats et le cloisonnement des applications (« ringfencing »), ainsi que la prévention de l’exécution des outils à haut risque, dans le même agent et sans pilote de noyau, de sorte qu’un point d’appui dispose de moins d’outils. Et sa recherche d’indicateurs du rançongiciel Akira traque les notes de rançon, les outils d’exfiltration et les utilitaires d’accès à distance qui trahissent une intrusion dormante ou passée inaperçue.
Comme Lavawall® lit aussi l’activité de Microsoft 365, de l’identité et du réseau, un signal des postes ne reste pas isolé. Une connexion à risque qui coïncide avec un nouveau compte d’administrateur et un processus étrange sur un portable devient une seule alerte corrélée, au lieu de trois que vous devez relier vous-même. Si vous voulez ajouter une couche gérée, Huntress, Blackpoint et Microsoft Defender s’intègrent, et leurs incidents apparaissent dans la même console.
Commencez gratuitement → Voir l’élévation des privilèges d’administrateur
Questions fréquentes
- L’EDR est-il la même chose qu’un antivirus?
- Non. L’antivirus bloque les fichiers malveillants connus au moyen de signatures. L’EDR enregistre ce qu’un programme fait réellement sur le poste et signale le comportement d’une attaque; il repère donc les activités sans fichier et celles qui détournent des outils légitimes du système (« living off the land »), qui n’ont aucune signature à comparer.
- L’EDR est-il la même chose que le XDR ou le MDR?
- Non. L’EDR surveille le poste de travail. Le XDR étend cette détection à l’identité, au courriel, au réseau et au nuage, et met les signaux en corrélation. Le MDR est un service où les analystes d’un fournisseur exploitent la détection et la réponse pour vous. Les trois s’empilent comme des couches.
- Lavawall® remplace-t-il mon EDR?
- Non. Lavawall® n’est pas un EDR classique et ne vous demande pas d’en retirer un. Il surveille l’antivirus ou l’EDR que vous utilisez déjà, ajoute l’élévation des privilèges d’administrateur, la prévention de l’exécution des outils à haut risque et la recherche d’indicateurs du rançongiciel Akira, et met les signaux des postes en corrélation avec les événements de Microsoft 365 et du réseau.