EDR, XDR, MDR : la différence expliquée simplement

Le point de départ : l'antivirus ne suffit plus

Un antivirus bloque ce qu'il reconnaît. Les attaques actuelles, elles, utilisent souvent des outils parfaitement légitimes détournés : un script d'administration, un logiciel d'accès à distance, une macro. Rien de « malveillant » à reconnaître, et pourtant une intrusion en cours. EDR, XDR et MDR sont trois réponses à ce problème, de complexité croissante.

EDR : voir et réagir sur les postes

L'EDR — Endpoint Detection and Response — surveille le comportement des postes et des serveurs. Il enregistre ce qui se passe : quel programme en a lancé un autre, quelle connexion a été ouverte, quel fichier a été modifié. Quand quelque chose d'anormal survient, il montre l'enchaînement complet et permet d'isoler la machine du réseau d'un clic.

Pour qui ? Toute entreprise disposant d'au moins un informaticien capable de lire une alerte. C'est aujourd'hui le socle recommandé dès une vingtaine de postes. Dans la gamme Kaspersky, c'est le rôle de Next EDR Optimum.

XDR : relier les postes au reste

Le XDR — Extended Detection and Response — étend la même logique au-delà des postes : réseau, messagerie, cloud, annuaire. Surtout, il corrèle les alertes entre elles. Un courriel suspect, puis une connexion inhabituelle, puis un poste qui contacte une adresse inconnue : trois alertes faibles qui, prises séparément, passeraient inaperçues, et qui ensemble racontent une attaque.

Pour qui ? Les organisations dont les équipes perdent du temps à recouper des alertes venues d'outils différents. Voir Kaspersky Next XDR Expert.

MDR : confier la surveillance à des experts

Le MDR — Managed Detection and Response — n'est pas un logiciel de plus, mais un service : des analystes surveillent vos alertes jour et nuit, écartent les fausses alertes, enquêtent sur les vraies et vous disent quoi faire, ou agissent directement si vous les y autorisez.

Pour qui ? Les entreprises qui ont besoin de la surveillance d'un centre de sécurité sans pouvoir en recruter ni en financer un. C'est souvent la réponse la plus réaliste pour une entreprise marocaine de taille moyenne. Voir Kaspersky MDR.

En résumé

• EDR : un outil, pour les postes, utilisé par votre équipe.
• XDR : un outil, pour l'ensemble du système, utilisé par une équipe sécurité.
• MDR : un service, rendu par des experts extérieurs, qui s'appuie sur un EDR ou un XDR.

Le bon choix dépend moins de la taille de l'entreprise que de la question : qui, chez vous, regardera les alertes ? Notre article Kaspersky Next sans jargon détaille les niveaux, et nous vous aidons à choisir : nous contacter.