Lexique · Sécurité des données
EDR et XDR
L'EDR (Endpoint Detection and Response) surveille les postes de travail et les serveurs, détecte les comportements malveillants sur la machine et permet d'y répondre, par exemple en l'isolant du réseau. Le XDR (Extended Detection and Response) étend cette détection et cette réponse à plusieurs couches du système d'information.
En pratique pour une organisation
Un EDR installe un agent sur chaque poste de travail et chaque serveur, enregistre l’activité de la machine et applique une analyse de comportement pour repérer ce qui ressemble à une attaque. Le NCCoE, centre de cybersécurité du NIST, décrit dans l’un de ses guides de déploiement un produit de ce type : il analyse le comportement des événements enregistrés sur les postes pour identifier des actions potentiellement malveillantes, peut placer un poste touché en bac à sable, hiérarchise les risques et propose des guides de remédiation. Le XDR reprend ce principe de détection et de réponse en l’étendant à plusieurs couches du système d’information, au-delà des seuls postes.
Le terme XDR relève surtout du vocabulaire des éditeurs : ni l’ANSSI, ni la CISA, ni le NIST n’en proposent de définition normative dans les documents consultés pour cette fiche, ce qui invite à demander à un fournisseur quelles sources il couvre réellement. Côté supervision, le guide des agences australienne et américaine sur les journaux à intégrer en priorité place en tête de son ordre indicatif les journaux des outils EDR, avant ceux des équipements réseau et des contrôleurs de domaine. Un EDR alimente donc un SIEM sans le remplacer, car celui-ci garde l’avantage d’accepter des journaux de toute provenance, applications métier comprises, ce qui reste indispensable pour des obligations de journalisation.
Exemple
Exemple générique : un EDR repère sur un poste un processus qui chiffre rapidement un grand nombre de fichiers. Il isole le poste du réseau pour empêcher la propagation, alerte le centre opérationnel de sécurité et conserve la trace de l’activité, que les analystes utilisent ensuite pour reconstituer l’intrusion.
À ne pas confondre avec
- L’antivirus : une plateforme de protection des postes assure l’antivirus et la prévention d’intrusion, alors que l’EDR s’appuie sur l’analyse de comportement pour repérer et contenir ce qui a franchi cette première barrière ; le guide du NIST déploie d’ailleurs les deux ensemble.
- Le SIEM : il centralise et met en corrélation les journaux de toutes les sources, alors que l’EDR surveille les machines elles-mêmes.
- Le SOAR : il orchestre des actions de réponse entre plusieurs outils, alors que l’EDR et le XDR agissent sur les terminaux et les couches qu’ils surveillent.
