« Antivirus », « EDR », « XDR »… le vocabulaire de la protection des postes a explosé, et les éditeurs entretiennent le flou. Pourtant, la différence est simple à comprendre, et elle détermine si vous détecterez, ou non, une attaque moderne. Décryptage, puis recommandation par taille d’entreprise.
L’antivirus classique ne fait plus le poids
L’antivirus traditionnel fonctionne par signatures : il compare chaque fichier à une base de menaces connues. Efficace contre les virus répertoriés, il est aveugle face à tout ce qui est nouveau : or les attaquants génèrent des variantes uniques par milliers, et beaucoup d’attaques modernes n’utilisent aucun fichier (code exécuté en mémoire, détournement d’outils légitimes de Windows). Contre ces techniques, la signature ne voit rien.
Cette page vous a aidé ? C’est notre métier.
- Support 8h-20h · 7j/7
- SOC 24/7
- < 10 min
- Équipe dédiée
Un ingénieur décroche · prise en charge moyenne < 10 min · 7j/7 de 8h à 20h · devis sans frais de mise en service. Standard fermé pour le moment (ouvert 7j/7 de 8h à 20h) : choisissez votre créneau, un ingénieur vous rappelle · devis sans frais de mise en service. Simuler mon devis en ligne : prix publics dès 55 € HT par poste, résultat immédiat, aucun formulaire →
NGAV : l’antivirus nouvelle génération
L’antivirus nouvelle génération (NGAV) ne se fie plus aux seules signatures : il analyse le comportement des programmes (analyse comportementale, apprentissage automatique) pour repérer une action suspecte (un processus qui chiffre massivement des fichiers, par exemple) même sans signature connue. C’est le minimum vital aujourd’hui, mais le NGAV reste centré sur le poste et sur le blocage à l’instant T.
EDR : détecter ET répondre
L’EDR (Endpoint Detection and Response) ajoute la mémoire et la réaction : il enregistre en continu l’activité des postes et serveurs, permet d’investiguer après coup (qu’a fait l’attaquant, par où est-il entré ?) et de répondre, isoler automatiquement une machine compromise du réseau. Là où le NGAV bloque, l’EDR raconte l’histoire de l’attaque et permet de l’endiguer. C’est aujourd’hui le standard attendu, y compris par les assureurs cyber et le régulateur.
XDR : la vision étendue
Le XDR (Extended Detection and Response) élargit l’EDR au-delà des terminaux : il corrèle les signaux des postes, de la messagerie, du réseau, du cloud et de l’identité pour détecter les attaques qui se déplacent d’un domaine à l’autre. Un e-mail piégé → un poste compromis → une connexion cloud anormale : isolément, trois événements anodins ; corrélés, une intrusion évidente.
Et le SOC dans tout ça ?
EDR et XDR sont des outils ; ils produisent des alertes qu’il faut analyser et sur lesquelles il faut agir : 24/7, y compris la nuit et le week-end où frappent souvent les attaquants. C’est le rôle du SOC (centre opérationnel de sécurité) : des analystes qui exploitent ces outils. Un EDR sans personne pour lire ses alertes protège à moitié.
De quoi votre entreprise a-t-elle besoin ?
- Toute entreprise : NGAV au minimum, sur 100 % des postes et serveurs, un seul poste non protégé suffit ;
- PME avec données sensibles : EDR managé, pour détecter et répondre, pas seulement bloquer ;
- Entreprises exigeantes, régulées (DORA), ou déjà ciblées : EDR/XDR opéré par un SOC 24/7, avec conservation des journaux pour la preuve : le niveau que nous recommandons par défaut à nos clients de la finance régulée.
Ces briques font partie de la défense en profondeur ITAIA et de nos offres. Pour situer votre niveau actuel : le guide des bonnes pratiques et le pré-diagnostic gratuit.
Questions fréquentes sur les antivirus et EDR
Quelle différence entre un antivirus et un EDR ?
L’antivirus bloque ce qu’il reconnaît, à l’instant T. L’EDR enregistre en continu l’activité des machines, détecte les comportements suspects même inédits, permet d’investiguer après coup et de répondre, jusqu’à isoler automatiquement un poste compromis du réseau. Le premier est un videur ; le second est un videur doublé d’une caméra et d’un bouton d’arrêt d’urgence.
Un EDR remplace-t-il l’antivirus ?
Oui, les EDR modernes intègrent les capacités de blocage d’un antivirus nouvelle génération : on ne cumule pas deux agents sur le même poste, on remplace. La vraie question n’est pas l’outil mais son exploitation : un EDR dont personne ne lit les alertes protège à moitié, et ses détections les plus utiles arrivent la nuit.
L’antivirus intégré à Windows suffit-il pour une entreprise ?
C’est un bon moteur de détection, et il a fait taire les débats d’éditeurs. Ce qui manque à une entreprise n’est pas le moteur : c’est l’administration centralisée (100 % des postes couverts, alertes qui remontent quelque part), la réponse organisée quand une détection tombe, et la conservation des journaux qui permet de comprendre et de prouver. C’est l’écart entre un produit installé et une protection opérée.
Qu’est-ce qu’un EDR managé ?
Un EDR déployé, configuré et surtout exploité par une équipe : réglage des politiques, tri des alertes, réponse aux incidents, mises à jour de l’agent. Pour une PME sans équipe sécurité, c’est la seule façon de tirer d’un EDR autre chose qu’un tableau de bord que personne ne regarde. Opéré par un SOC 24/7, il devient le niveau attendu des assureurs et des régulateurs.
