Un antivirus bloque ce qu’il reconnaît ; un EDR enregistre ce qui se passe et permet de comprendre une attaque qu’il n’a pas su bloquer. Pour une PME de 50 personnes, le choix entre EDR et antivirus ne se joue donc pas sur le taux de détection annoncé, mais sur une question plus simple : le jour où un poste est compromis, êtes-vous capable de dire lequel, depuis quand, et par où ?
Ce que fait un antivirus, ce que fait un EDR
L’antivirus classique fonctionne sur un principe de reconnaissance. Il compare les fichiers et les processus à une base de signatures, à des règles heuristiques et à des modèles comportementaux simples. Quand la correspondance est trouvée, il bloque et met en quarantaine. C’est efficace, rapide, et cela reste indispensable : la majorité des menaces qui arrivent sur vos postes sont des menaces connues.
L’EDR — Endpoint Detection and Response — part d’un postulat inverse : une partie des attaques passera. Il installe donc sur chaque poste un agent qui journalise en continu les créations de processus, les connexions réseau, les écritures en base de registre, les chargements de DLL, les accès aux identifiants. Ces télémétries sont remontées vers une console centrale, corrélées, et conservées plusieurs semaines. L’EDR apporte trois choses que l’antivirus ne fournit pas : la détection comportementale sur des séquences d’actions plutôt que sur des fichiers, la capacité d’investigation rétroactive, et la réponse à distance — isoler un poste du réseau, tuer un processus, récupérer un fichier, sans se déplacer.
Dit autrement : l’antivirus est une serrure, l’EDR est une caméra couplée à une commande d’ouverture à distance. Les deux n’ont pas le même rôle, et la plupart des produits du marché embarquent aujourd’hui les deux couches dans le même agent.
Pourquoi la différence compte pour une PME de 50 personnes
Le ransomware ne se signe plus
Les groupes d’extorsion actuels n’arrivent plus avec un binaire malveillant dans une pièce jointe. Ils entrent par un accès distant valide — VPN sans MFA, identifiant racheté, faille sur un équipement de bord — puis progressent avec des outils d’administration légitimes avant de chiffrer. Un antivirus ne voit rien d’anormal : PowerShell, WMI, un outil de prise en main à distance et un utilitaire d’archivage sont tous des logiciels signés et autorisés. Ce sont les enchaînements qui sont anormaux, et seule une couche comportementale les qualifie. Nous détaillons ce mode opératoire dans notre analyse de la détection d’une intrusion Akira avant le chiffrement.
L’attaquant utilise vos propres outils
Cette technique porte un nom dans le référentiel MITRE ATT&CK : le détournement d’outils déjà présents sur le système. Face à cela, la question opérationnelle n’est plus « est-ce que ce fichier est malveillant ? » mais « est-ce que ce compte a l’habitude de lancer cette commande, à cette heure, depuis ce poste ? ». Répondre demande de l’historique. Sans EDR, votre historique se limite aux journaux Windows locaux, que l’attaquant effacera avant de partir.
Une PME n’a pas le temps de reconstruire à l’aveugle
C’est le point le plus sous-estimé. Après un incident, la charge réelle n’est pas la remédiation technique : c’est le périmètre. Sans télémétrie conservée, personne ne peut affirmer que les 12 autres postes du même service sont sains. La réponse par défaut devient alors « on reformate tout », avec l’arrêt d’activité que cela implique. Un EDR transforme une semaine d’incertitude en une requête de quelques minutes sur la console.
Le vrai coût d’un EDR n’est pas la licence
Le prix par poste et par mois est la partie visible et la moins problématique. Le coût réel se situe ailleurs, et c’est là que beaucoup de projets échouent en PME.
- Le déploiement : inventorier les postes réellement actifs, gérer les serveurs qui ne supportent pas l’agent, traiter les exclusions applicatives métier sans ouvrir de brèche.
- Le réglage : les premières semaines génèrent des alertes sur vos propres usages atypiques. Sans ajustement, l’outil est mis en mode « détection seule » et ne bloque plus rien.
- La surveillance : un EDR produit des alertes 24 h sur 24, y compris le samedi à 3 h du matin — c’est précisément le créneau choisi par les attaquants. Un outil dont les alertes sont lues le lundi matin ne réduit pas le délai de compromission.
C’est cette dernière ligne qui décide de la valeur de l’investissement. Un EDR non surveillé coûte le prix d’un EDR et rend le service d’un antivirus. Si votre équipe informatique compte une ou deux personnes déjà occupées à plein temps, la question n’est pas « quel EDR acheter » mais « qui lit les alertes ». Nous avons détaillé les variables qui structurent ce budget dans notre article sur le coût réel d’un SOC pour une PME.
Les cas où l’antivirus suffit encore
Refuser un EDR peut être une décision rationnelle, à trois conditions cumulatives. Premièrement, votre exposition externe est nulle ou quasi nulle : aucun accès distant, aucun service publié, aucune application métier exposée sur Internet. Deuxièmement, votre activité survit à plusieurs jours d’arrêt sans conséquence contractuelle ou réglementaire. Troisièmement, vos sauvegardes sont testées et hors de portée d’un administrateur compromis.
Dans la pratique, la troisième condition est plus rentable à traiter avant l’EDR : une sauvegarde immuable testée vous rend une capacité de reprise, alors qu’un EDR non surveillé ne vous rend rien. L’ordre des priorités compte autant que le choix de l’outil.
Que faire maintenant
- Vérifiez ce que vous avez déjà : beaucoup de licences Microsoft 365 E5 ou de suites de sécurité incluent une couche EDR jamais activée.
- Comptez vos postes et serveurs réellement actifs, avant de demander un devis au poste — l’écart avec l’inventaire théorique est systématique.
- Décidez qui lit les alertes en dehors des heures ouvrées, et écrivez-le, avant de choisir un produit.
- Traitez la sauvegarde immuable et l’authentification multifacteur si ce n’est pas fait : ces deux chantiers réduisent l’impact d’une compromission indépendamment de l’outil de détection.
- Exigez du fournisseur la durée de conservation de la télémétrie : en dessous de 30 jours, la capacité d’investigation est théorique.
Si la surveillance des alertes est le maillon que vous ne pouvez pas tenir en interne, c’est exactement ce que couvre notre SOC managé 24/7 pour PME et ETI : l’EDR reste votre outil, la détection et la qualification sont opérées en continu.
Ce qu’il faut retenir
- L’antivirus bloque le connu ; l’EDR enregistre et permet d’investiguer l’inconnu.
- Les attaques actuelles utilisent des outils légitimes : seule une détection comportementale les qualifie.
- Sans télémétrie conservée, un incident se solde par un reformatage général faute de périmètre.
- Un EDR dont personne ne lit les alertes hors heures ouvrées rend le service d’un antivirus.
- Sauvegarde immuable et MFA passent avant l’EDR si le budget est contraint.