Antivirus EDR : la protection que l'antivirus classique ne sait plus assurer

Pourquoi l'antivirus classique ne protège plus assez

Ce n'est pas une question de marque ou de qualité d'antivirus. C'est une question de méthode. Les attaques modernes ont été conçues, précisément, pour échapper à la détection par signature.

Le code à usage unique. Un rançongiciel peut être recompilé automatiquement pour chaque victime. Son empreinte est donc inédite à chaque fois : aucune base de signatures ne peut l'avoir répertorié.

Les attaques sans fichier. De plus en plus d'attaques n'écrivent aucun fichier malveillant sur le disque. Elles s'exécutent en mémoire ou détournent des outils déjà présents et légitimes du système. L'antivirus, qui scanne des fichiers, ne voit presque rien.

Le vol d'identifiants. Quand un attaquant se connecte avec un mot de passe volé, il n'y a aucun logiciel malveillant à détecter. Seul un système qui analyse le comportement peut remarquer qu'un compte agit de façon anormale.

Le résultat est documenté par l'ensemble des acteurs de la cybersécurité : une part majoritaire des attaques réussies aujourd'hui n'aurait pas été arrêtée par un antivirus traditionnel seul. L'EDR ne remplace pas la prévention, il ajoute la couche qui manquait : la détection de ce qui passe quand même.

EDR, conformité et assurance cyber

La sécurité du poste n'est plus seulement une bonne pratique, elle devient une exigence. Les réglementations de cybersécurité qui montent en puissance attendent des entreprises qu'elles soient capables de détecter un incident, d'y répondre et d'en garder la trace. Un antivirus seul ne permet aucune des trois ; un EDR managé, oui.

Côté RGPD, en cas de violation de données, vous devez pouvoir établir ce qui s'est passé et notifier dans les délais. Sans la chronologie qu'un EDR conserve, cette obligation est presque impossible à honorer sérieusement.

Côté assurance cyber, les assureurs conditionnent de plus en plus la couverture, et son tarif, à la présence de mesures comme l'EDR, la sauvegarde testée et l'authentification renforcée. Ne pas en avoir peut signifier ne pas être indemnisé.

Comprendre une attaque moderne, étape par étape

Honnêtement, l'image du virus qui s'attrape en cliquant et qui casse tout en deux secondes n'a plus grand chose à voir avec la réalité. Une attaque sérieuse contre une PME, c'est une opération en plusieurs temps, parfois étalée sur des jours, et c'est précisément cette durée qui laisse une fenêtre pour détecter et stopper.

1. L'intrusion initiale. Le point d'entrée le plus courant reste le mail piégé (pièce jointe, fausse page de connexion, fausse facture), puis les accès volés (mot de passe réutilisé qui fuite ailleurs, compte sans double authentification) et un service exposé sur Internet mal mis à jour. À ce stade, il n'y a souvent aucun fichier malveillant, juste un identifiant valide utilisé par la mauvaise personne. Un antivirus n'a rien à se mettre sous la dent.

2. La persistance. Une fois entré, l'attaquant cherche à rester même après un redémarrage : tâche planifiée, service, clé de démarrage, compte discret. C'est là qu'un EDR repère l'anomalie, par exemple un processus bureautique qui lance un interpréteur de commandes juste après l'ouverture d'une pièce jointe.

3. La reconnaissance et le mouvement latéral. L'attaquant cartographie le réseau, repère serveurs de fichiers, annuaire et sauvegardes, et rebondit de machine en machine. C'est souvent la phase la plus longue et la plus visible pour qui surveille. Le vrai sujet ici, c'est que sans télémétrie centralisée, personne dans l'entreprise ne voit ces signaux faibles passer.

4. La neutralisation des défenses. Avant de frapper, un attaquant méthodique tente de désactiver l'antivirus, d'effacer les journaux et surtout de détruire les sauvegardes. C'est ce qui fait si mal : beaucoup d'entreprises découvrent le jour J que leurs sauvegardes ont été chiffrées en même temps que le reste. Un EDR qui voit la manipulation de ses propres protections, ou la suppression massive des points de restauration, alerte avant le passage à l'acte.

5. L'exfiltration puis le chiffrement. Le scénario le plus répandu est la double extorsion : les données sensibles sont d'abord copiées dehors, puis tout est chiffré sur place, la rançon portant sur le déblocage et la non-publication. Le chiffrement massif est un comportement très typé qu'un EDR bloque en quelques secondes, là où un antivirus à signatures réagit, au mieux, une fois les dégâts faits. Ce qu'on voit le plus souvent quand l'incident est arrêté à temps, c'est qu'il l'a été à l'étape 2, 3 ou 4, jamais à la 5.

EDR, NIS2, RGPD et assurance cyber : ce que la conformité attend vraiment

La directive NIS2. Elle élargit nettement le périmètre des entités soumises à des obligations de cybersécurité et touche désormais beaucoup d'entreprises de taille moyenne, directement ou comme sous-traitant d'un acteur régulé. Ce n'est pas une case à cocher : NIS2 attend une capacité réelle à détecter un incident, à y répondre, à le journaliser et à le notifier. Les sanctions sont lourdes et la responsabilité remonte à la direction. Or détecter, répondre, journaliser, c'est mot pour mot ce qu'apporte un EDR managé, là où un antivirus seul ne coche aucune des trois.

Le RGPD. En cas de violation de données personnelles, l'entreprise doit pouvoir établir ce qui s'est passé, quelles données étaient concernées, et notifier vite. Sans la chronologie détaillée qu'un EDR conserve (quel poste, quel compte, quels fichiers, à quelle heure), cette obligation se traite à l'aveugle, et une notification tardive aggrave la situation au lieu de la limiter.

L'assurance cyber. C'est le levier le plus tangible aujourd'hui. Les assureurs ne se contentent plus d'une déclaration de bonne foi : ils exigent de plus en plus EDR, authentification multifacteur et sauvegardes testées comme conditions de souscription, et font varier le tarif en fonction. Le point qui fâche, découvert au mauvais moment : si les mesures déclarées ne sont pas réellement en place le jour de l'attaque, l'indemnisation peut être réduite, voire refusée. Une protection sur le papier ne protège ni techniquement ni contractuellement.

Point pratique pour finir : choisir un éditeur d'EDR souverain européen, par exemple un acteur qualifié par l'ANSSI, simplifie nettement la conformité. Les données de télémétrie restent dans un cadre européen, ce qui allège la documentation RGPD et limite l'exposition juridique liée aux transferts hors Union. Ce n'est pas un argument marketing, c'est un critère que nous regardons sérieusement.

La lecture honnête de ce tableau : pour une PME sans équipe de sécurité dédiée, le débat « quel outil acheter » est secondaire. Le facteur décisif, c'est la dernière colonne. Un excellent EDR laissé sans pilotage protège souvent moins bien qu'une solution plus modeste réellement supervisée. L'outil compte, le service compte plus.