Un antivirus traditionnel compare les fichiers à une liste de signatures connues. C’est utile contre les menaces déjà identifiées — et à peu près inutile contre une attaque construite pour passer inaperçue, ce qui décrit la majorité des intrusions actuelles. Les attaquants savent que les antivirus classiques tournent sur leurs cibles ; ils conçoivent leurs outils pour ne pas y ressembler.
Voici les briques qui comblent ce manque, et pourquoi on ne les installe plus séparément.
EDR : détecter le comportement, pas seulement la signature
L’EDR (Endpoint Detection and Response) surveille en continu ce qui se passe sur un poste ou un serveur — processus lancés, connexions réseau, modifications système — et repère les comportements anormaux plutôt que des fichiers connus. C’est la brique qui détecte un rançongiciel en train de chiffrer des fichiers même si sa signature n’existe dans aucune base.
Chez nos clients, cette couche est assurée par notre solution de protection des postes et serveurs.
MDR : la détection a besoin d’yeux humains
Un EDR génère des alertes. Sans équipe pour les trier et réagir, une alerte qui arrive un vendredi à 19h peut rester sans réponse jusqu’au lundi matin — largement le temps pour une intrusion de se propager. Le MDR (Managed Detection and Response) ajoute une équipe qui surveille ces alertes en continu et intervient directement en cas d’incident confirmé, sans attendre une validation côté client.
C’est le rôle de notre service de détection et de réponse managées, en complément de la protection des postes.
ITDR : protéger les identités, pas seulement les machines
La majorité des intrusions récentes ne passent plus par une faille logicielle, mais par des identifiants volés ou détournés — un mot de passe réutilisé, une session compromise, un compte de service mal protégé. L’ITDR (Identity Threat Detection and Response) surveille spécifiquement les comportements d’authentification anormaux : connexion depuis un pays inhabituel, élévation de privilèges suspecte, création de compte en dehors des procédures.
SIEM : relier les signaux entre eux
Pris isolément, un événement réseau suspect, une connexion inhabituelle et un fichier modifié peuvent chacun sembler anodins. Un SIEM (Security Information and Event Management) centralise les journaux de tous les systèmes et détecte les corrélations qu’un outil isolé ne verrait jamais — l’essentiel du travail d’un SOC repose sur cette vue d’ensemble.
Et la sauvegarde, dans tout ça ?
Ces briques réduisent le risque qu’un incident se produise et raccourcissent le temps de détection. Elles ne remplacent pas une sauvegarde testée et isolée : si un rançongiciel passe malgré tout, c’est elle qui décide si l’incident coûte quelques heures ou plusieurs semaines. Les deux volets sont complémentaires, pas interchangeables — c’est pour ça qu’on les opère ensemble plutôt qu’en silos séparés.
Si votre parc ne dispose aujourd’hui que d’un antivirus classique, c’est le bon moment pour faire le point. Parlons-en.