Sommaire
Introduction
La sécurité des postes se vend en acronymes, et les éditeurs étirent chacun d’eux pour couvrir le plus de marché possible. Résultat : deux produits portant la même étiquette peuvent faire des choses très différentes, tandis que deux produits aux étiquettes différentes peuvent presque se confondre. Ce guide ramène chaque terme à sa fonction, à ce qu’il peut voir et à ce qu’il peut faire.
Antivirus et EPP : arrêter ce qui est connu
L’antivirus traditionnel compare les fichiers à des signatures de logiciels malveillants connus, avec quelques heuristiques pour les variantes proches. Il est peu coûteux et rapide, et il arrête encore les menaces banales, mais il ne dit rien d’un attaquant qui utilise des outils légitimes comme PowerShell, un logiciel de gestion à distance ou des identifiants volés.
Une plateforme de protection des postes (EPP) est l’évolution moderne de l’antivirus. Elle ajoute des modèles de machine learning pour les fichiers inconnus, une protection contre les exploits et de la mémoire, le blocage comportemental des schémas de rançongiciel, le contrôle des périphériques USB, un pare-feu local et souvent le contrôle des applications. L’objectif d’un EPP est la prévention : bloquer la menace avant son exécution, discrètement et automatiquement.
EDR et XDR : voir ce qui est passé
La détection et réponse sur les postes (EDR) part du principe que la prévention échouera parfois. L’agent enregistre les lancements de processus, les lignes de commande, les connexions réseau, les modifications de fichiers et du registre, et envoie cette télémétrie à une console où les analystes et la logique de détection recherchent le comportement des attaquants. Lorsqu’un problème est trouvé, l’EDR permet d’isoler l’hôte du réseau, d’arrêter des processus, de récupérer des fichiers et d’examiner toute la chaîne d’événements.
La détection et réponse étendue (XDR) applique la même idée au-delà du poste. Elle corrèle la télémétrie des postes avec les signaux d’identité, d’e-mail, de cloud et de réseau, de sorte qu’un e-mail de phishing, une connexion suspecte et un processus malveillant sur un portable apparaissent comme un seul incident et non trois alertes sans lien. Le XDR « natif » utilise les produits d’un seul éditeur ; le XDR « ouvert » intègre des sources tierces. En pratique, la plupart des produits XDR reposent sur un EDR solide.
DLP et UEBA : données et comportement
La prévention des pertes de données (DLP) concerne l’information plutôt que les logiciels malveillants. Un agent DLP classe les contenus sensibles, comme les numéros de carte, les numéros d’identité nationale ou les documents marqués confidentiels, et surveille comment ils quittent l’appareil : copies sur USB, envois vers un cloud personnel, impression, collage dans des formulaires web, y compris des outils de discussion par IA. Les politiques peuvent journaliser, avertir l’utilisateur ou bloquer. Le DLP est aussi ce qui demande le plus de réglages, car une politique stricte qui bloque le vrai travail finit désactivée.
L’analyse du comportement des utilisateurs et des entités (UEBA, parfois abrégé UBA) établit une référence de l’activité normale de chaque utilisateur, hôte et compte de service, puis note les écarts : un utilisateur de la finance connecté à 3 h du matin depuis un nouveau pays, un compte de service qui lit soudain des milliers de fichiers, un administrateur qui utilise un outil inédit. L’UEBA n’est généralement pas un agent. C’est une couche d’analyse dans un SIEM ou une plateforme XDR, qui exploite les journaux produits par les autres outils.
L’agent SIEM : un collecteur, pas un défenseur
Un agent SIEM, ou transmetteur de journaux, envoie les journaux du poste vers un SIEM central. Citons Splunk Universal Forwarder, Azure Monitor Agent pour Microsoft Sentinel, Elastic Agent et l’agent Wazuh. De nombreuses équipes l’associent à Microsoft Sysmon sous Windows pour générer des événements plus riches sur les processus et le réseau. L’agent lui-même ne bloque rien. Sa valeur est d’offrir au SOC un historique consultable à long terme, qui survit à l’effacement du poste et peut être corrélé avec toutes les autres sources de l’organisation.
| Outil | Fonction principale | Ce qu’il voit | Ce qu’il peut faire |
|---|---|---|---|
| Antivirus | Bloquer les logiciels malveillants connus | Les fichiers sur le disque et en mémoire | Mettre en quarantaine ou supprimer des fichiers |
| EPP | Empêcher les attaques avant leur exécution | Fichiers, exploits, utilisation des périphériques | Bloquer l’exécution, contrôler l’USB et les applications |
| EDR | Détecter les intrusions et enquêter | Activité des processus, du réseau, des fichiers et du registre | Isoler l’hôte, arrêter un processus, collecter des preuves |
| XDR | Corréler sur tout le parc | Poste, identité, e-mail, cloud et réseau | Réponse coordonnée entre les produits |
| DLP | Empêcher la sortie de données sensibles | Le contenu et ses déplacements | Avertir, bloquer, chiffrer, journaliser |
| UEBA | Repérer les comportements anormaux | Les journaux de nombreuses sources dans la durée | Augmenter les scores de risque et alerter |
| Agent SIEM | Collecter et transmettre les journaux | Tous les journaux qu’il est configuré pour lire | Rien sur l’hôte ; il alimente le SOC |
Où les catégories se recoupent
- Presque tous les produits EDR incluent désormais la prévention EPP dans le même agent : acheter les deux séparément est donc généralement inutile.
- La télémétrie EDR recoupe largement ce que collectent un agent SIEM et Sysmon. De nombreuses équipes transmettent les alertes EDR au SIEM et gardent la télémétrie brute dans l’EDR, ce qui limite les coûts d’ingestion.
- Plusieurs plateformes XDR incluent des analyses de type UEBA, et plusieurs SIEM une corrélation de type XDR. Comparez les capacités, pas les étiquettes.
- Le DLP est la catégorie qui se recoupe le moins. Un EDR peut voir un fichier copié sur USB, mais il ne saura pas que ce fichier contenait des données clients.
Que déployer selon la maturité
- Petites organisations sans SOC : un seul agent EDR avec la prévention activée, idéalement surveillé en continu par un service de détection et réponse managé (MDR).
- Organisations en croissance : ajouter les signaux d’identité et d’e-mail via un XDR, un SIEM pour la conservation et la journalisation de conformité, et le DLP pour les données qui intéressent les régulateurs.
- SOC matures : un SIEM avec UEBA comme couche d’analyse à long terme, un EDR ou XDR comme principal outil de détection et de réponse, et un SOAR pour automatiser les actions courantes entre eux.
Conclusion
Ces noms de produits se recoupent, mais les fonctions sont différentes : bloquer les menaces connues, détecter ce qui passe, protéger les données sensibles et collecter les journaux pour l’analyse. Décidez quelles fonctions vous sont nécessaires et qui agira sur les résultats avant de comparer les produits.
Un agent par fonction, c’est bien. Cinq agents qui se recoupent sur chaque portable, non : chacun consomme du processeur, ajoute des conflits lors des mises à jour et élargit la surface d’attaque. Regrouper sur moins d’outils bien exploités améliore presque toujours davantage la sécurité que d’ajouter une catégorie.
- EDR
- XDR
- EPP
- Antivirus
- DLP
- UEBA
- SIEM
- Sécurité des postes
