Antivirus, EDR, XDR, MDR : les sigles se multiplient et les offres commerciales entretiennent la confusion. Pourtant la question d’une PME, d’une association ou d’une collectivité est simple : qu’est-ce qui arrêtera un rançongiciel avant qu’il ne chiffre tout, et qui réagira si une alerte sonne un samedi à 3 heures du matin ? Voici ce que fait réellement chaque catégorie, ce que les attaquants savent contourner en 2026 et comment choisir sans surpayer.
L’essentiel en 30 secondes
- L’antivirus bloque des fichiers malveillants connus ou suspects. Il ne voit pas une attaque menée avec des outils légitimes.
- L’EDR enregistre le comportement des postes et serveurs, détecte les enchaînements suspects et permet d’isoler une machine à distance.
- L’XDR corrèle les signaux de plusieurs sources : postes, messagerie, identités, cloud, réseau.
- Le MDR n’est pas un logiciel mais un service : des analystes surveillent et réagissent 24 h/24 pour vous.
- Pour la plupart des PME, la bonne réponse est un EDR avec surveillance humaine (MDR), pas un XDR sans personne pour le piloter.
Pourquoi l’antivirus seul ne suffit plus
Les attaquants utilisent de moins en moins de « virus ». Selon le rapport Active Adversary 2026 de Sophos, publié en février 2026 et portant sur 661 incidents, 67 % des incidents trouvaient leur origine dans une attaque visant les identités (identifiants volés, force brute, jetons détournés), l’absence d’authentification multifacteur était relevée dans 59 % des cas, et les attaquants atteignaient l’Active Directory en 3,4 heures en médiane. Une fois connectés avec un compte valide, ils utilisent PowerShell, des outils d’administration à distance ou des logiciels de sauvegarde : rien qu’un antivirus classique considère comme malveillant.
Autre statistique parlante : 88 % des charges de rançongiciel ont été déployées en dehors des heures de bureau. Un outil qui alerte sans personne pour lire l’alerte ne protège pas.
Ce que fait chaque catégorie
| Catégorie | Ce qu’elle voit | Ce qu’elle fait | Limite principale |
|---|---|---|---|
| Antivirus (EPP) | Fichiers, signatures, comportements simples | Bloque et met en quarantaine | Aveugle aux attaques « sans fichier » et aux outils légitimes détournés |
| EDR | Processus, connexions réseau, modifications système, historique détaillé | Détecte des enchaînements suspects, isole une machine, permet l’investigation | Produit des alertes qu’il faut savoir qualifier |
| XDR | EDR + messagerie + identités + cloud + parfois réseau | Corrèle les signaux en un seul incident | Complexe et coûteux sans équipe dédiée |
| MDR (service) | Ce que voit l’outil sous-jacent (EDR ou XDR) | Analystes qui trient, enquêtent et isolent 24 h/24 | Dépend de la qualité du prestataire et du périmètre contractuel |
Les « EDR killers » : l’attaque contre la défense
Les groupes de rançongiciel ont bien compris que l’EDR est leur principal obstacle. En mars 2026, ESET a recensé près de 90 outils conçus pour désactiver les solutions de sécurité, dont 54 utilisent la technique du pilote vulnérable (BYOVD, « bring your own vulnerable driver ») : l’attaquant installe un pilote légitime mais vulnérable, puis s’en sert pour arrêter l’EDR au niveau du noyau, juste avant de lancer le chiffrement.
Les parades :
- activer la liste de blocage des pilotes vulnérables de Microsoft (et l’intégrité de la mémoire, HVCI, sur les postes compatibles) ;
- activer la protection contre la falsification (tamper protection) de votre solution ;
- surveiller l’installation de nouveaux services et pilotes (événement 7045, voir les journaux Windows à surveiller) ;
- et surtout ne pas dépendre d’une seule couche : la perte de la télémétrie d’un poste doit elle-même déclencher une alerte chez la personne qui surveille.
Comment choisir pour une PME
| Profil | Recommandation |
|---|---|
| TPE de moins de 10 postes, sans serveur | Protection intégrée bien configurée (Microsoft Defender avec les règles de réduction de surface d’attaque) + MFA partout + sauvegardes hors ligne |
| PME de 10 à 250 postes avec serveurs | EDR sur tous les postes et serveurs, avec service MDR 24/7 |
| Structure avec Microsoft 365 ou Google Workspace au cœur de l’activité | Ajouter la surveillance des identités et de la messagerie (approche XDR, idéalement opérée par le même MDR) |
| Collectivité, établissement de santé, structure régulée | EDR + MDR, journaux centralisés et conservés, procédure d’escalade formalisée |
Les questions à poser au fournisseur
- Qui regarde les alertes la nuit et le week-end, et en combien de temps ?
- L’analyste peut-il isoler une machine sans attendre votre accord ? (Il le faut.)
- Les serveurs Linux et les machines virtuelles sont-ils couverts ?
- Combien de temps la télémétrie est-elle conservée ? Où sont hébergées les données ?
- Que se passe-t-il si un agent cesse de remonter des informations ?
- Un rapport mensuel compréhensible par la direction est-il fourni ?
Pour une alternative open source orientée détection, voir Wazuh pour les PME. Les assureurs examinent aussi ces points : voir les contrôles à réaliser avant de souscrire une cyberassurance.
Ce qu’aucun outil ne remplace
Un EDR ne compense ni l’absence d’authentification multifacteur, ni des comptes administrateurs partagés, ni des sauvegardes accessibles depuis le réseau. Il s’inscrit dans un socle : les 12 mesures prioritaires pour une TPE ou une PME, et un plan de réponse aux incidents qui dit qui fait quoi quand l’alerte tombe.
Questions fréquentes
Microsoft Defender suffit-il ?
L’antivirus intégré à Windows est de bon niveau s’il est correctement configuré. Les fonctions EDR nécessitent une licence adaptée (par exemple Defender for Business ou Microsoft 365 Business Premium). La question clé reste : qui exploite les alertes ?
Peut-on cumuler deux antivirus ou deux EDR ?
Non, c’est une source de conflits et de lenteurs. Choisissez une solution principale et passez l’autre en mode passif si l’éditeur le prévoit.
Un EDR ralentit-il les postes ?
Les solutions actuelles ont un impact modeste. Des lenteurs marquées signalent souvent un conflit avec un autre logiciel de sécurité ou des exclusions mal réglées.
Faut-il un EDR sur les serveurs ?
Oui, en priorité : ce sont eux que les attaquants visent pour chiffrer les données et détruire les sauvegardes.
Sources
- Sophos, Active Adversary Report 2026, février 2026.
- The Hacker News, analyse d’ESET sur les EDR killers et le BYOVD, mars 2026.
- Microsoft Learn, règles recommandées de blocage des pilotes vulnérables.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous aidons à choisir et déployer la bonne protection lors d’un audit de votre parc. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
