« Antivirus », « EDR », « XDR »… le vocabulaire de la protection des postes a explosé, et les éditeurs entretiennent le flou. Pourtant, la différence est simple à comprendre — et elle détermine si vous détecterez, ou non, une attaque moderne. Décryptage, puis recommandation par taille d’entreprise.
L’antivirus classique ne fait plus le poids
L’antivirus traditionnel fonctionne par signatures : il compare chaque fichier à une base de menaces connues. Efficace contre les virus répertoriés, il est aveugle face à tout ce qui est nouveau — or les attaquants génèrent des variantes uniques par milliers, et beaucoup d’attaques modernes n’utilisent aucun fichier (code exécuté en mémoire, détournement d’outils légitimes de Windows). Contre ces techniques, la signature ne voit rien.
NGAV : l’antivirus nouvelle génération
L’antivirus nouvelle génération (NGAV) ne se fie plus aux seules signatures : il analyse le comportement des programmes (analyse comportementale, apprentissage automatique) pour repérer une action suspecte — un processus qui chiffre massivement des fichiers, par exemple — même sans signature connue. C’est le minimum vital aujourd’hui, mais le NGAV reste centré sur le poste et sur le blocage à l’instant T.
EDR : détecter ET répondre
L’EDR (Endpoint Detection and Response) ajoute la mémoire et la réaction : il enregistre en continu l’activité des postes et serveurs, permet d’investiguer après coup (qu’a fait l’attaquant, par où est-il entré ?) et de répondre — isoler automatiquement une machine compromise du réseau. Là où le NGAV bloque, l’EDR raconte l’histoire de l’attaque et permet de l’endiguer. C’est aujourd’hui le standard attendu, y compris par les assureurs cyber et le régulateur.
XDR : la vision étendue
Le XDR (Extended Detection and Response) élargit l’EDR au-delà des terminaux : il corrèle les signaux des postes, de la messagerie, du réseau, du cloud et de l’identité pour détecter les attaques qui se déplacent d’un domaine à l’autre. Un e-mail piégé → un poste compromis → une connexion cloud anormale : isolément, trois événements anodins ; corrélés, une intrusion évidente.
Et le SOC dans tout ça ?
EDR et XDR sont des outils ; ils produisent des alertes qu’il faut analyser et sur lesquelles il faut agir — 24/7, y compris la nuit et le week-end où frappent souvent les attaquants. C’est le rôle du SOC (centre opérationnel de sécurité) : des analystes qui exploitent ces outils. Un EDR sans personne pour lire ses alertes protège à moitié.
De quoi votre entreprise a-t-elle besoin ?
- Toute entreprise : NGAV au minimum, sur 100 % des postes et serveurs — un seul poste non protégé suffit ;
- PME avec données sensibles : EDR managé, pour détecter et répondre, pas seulement bloquer ;
- Entreprises exigeantes, régulées (DORA), ou déjà ciblées : EDR/XDR opéré par un SOC 24/7, avec conservation des journaux pour la preuve — le niveau que nous recommandons par défaut à nos clients de la finance régulée.
Ces briques font partie de la défense en profondeur ITAIA et de nos offres. Pour situer votre niveau actuel : le guide des bonnes pratiques et le pré-diagnostic gratuit.