Un antivirus classique compare ce qui s’exécute sur un poste à une liste de menaces déjà connues. Ce mécanisme fonctionne toujours et reste utile : il élimine sans bruit l’immense majorité des saletés ordinaires. Il a simplement cessé de suffire, pour une raison mécanique : il ne reconnaît que ce qui a déjà été identifié ailleurs, et les attaques ciblées ne ressemblent à rien de connu.
Deux évolutions ont fini de déplacer le problème. D’abord, une partie des attaques n’utilise plus de fichier malveillant du tout : elles détournent des outils légitimes déjà présents sur la machine, que par définition aucun antivirus ne signalera. Ensuite, la compromission passe de plus en plus par un compte volé plutôt que par un logiciel, sujet traité sur notre page authentification multifacteur.
Ce qu’apporte un EDR
Un EDR, pour détection et réponse sur les postes, ne cherche pas à reconnaître un fichier : il observe les comportements. Quel programme a lancé quel autre, quelle application se met soudainement à chiffrer des centaines de fichiers, quel processus tente de lire la mémoire du gestionnaire d’identifiants, quelle machine se met à parler à toutes les autres.
Trois capacités le distinguent d’un antivirus :
- La détection sur le comportement, qui repère une attaque inédite parce qu’elle agit comme une attaque, non parce qu’elle est répertoriée.
- L’enregistrement de ce qui s’est passé, qui permet après coup de reconstituer la chaîne complète : par où c’est entré, ce qui a été touché, jusqu’où c’est allé. Sans cette trace, on ne sait pas si l’on a tout nettoyé.
- La réponse, qui isole la machine du réseau en quelques secondes, arrête le processus fautif et, selon les cas, annule ses modifications.
Antivirus, EDR, surveillance : qui fait quoi
| Antivirus | EDR | Surveillance gérée | |
|---|---|---|---|
| Détecte | Ce qui est déjà connu | Les comportements anormaux, y compris inédits | Les mêmes, plus ce qui touche aux comptes et aux données |
| Explique | Non | Oui, avec la chronologie complète | Oui, avec une analyse humaine |
| Réagit | Supprime le fichier | Isole la machine, arrête le processus | Décide, agit, et vous prévient |
| Fonctionne la nuit | Oui | Oui | Oui, avec quelqu’un derrière |
La dernière ligne est celle qui décide de tout. Un EDR déployé sans personne pour lire ses alertes produit exactement le même résultat qu’un antivirus : la détection a eu lieu, l’attaque s’est déroulée quand même. C’est pourquoi nous ne vendons pas l’outil séparément de la surveillance 24/7 qui l’exploite.
Les erreurs que nous trouvons le plus souvent
- Les exclusions devenues permanentes. Un dossier entier exclu de l’analyse en 2021 pour faire fonctionner une application métier, jamais réexaminé depuis. C’est l’endroit exact où un attaquant déposera son outil.
- Les serveurs oubliés. La protection est déployée sur les postes et pas sur les serveurs, alors que ce sont eux qui contiennent les données et qu’ils constituent la cible finale.
- Un produit gratuit ou grand public en entreprise. Le problème n’est pas la qualité de la détection, souvent correcte, mais l’absence de console centrale : personne ne sait quelles machines sont réellement protégées, ni lesquelles ont désactivé la protection.
- Les alertes envoyées à une adresse générique que plus personne ne consulte.
- Le poste en télétravail qui ne remonte plus rien depuis des mois, sans que cela déclenche quoi que ce soit. Cette anomalie relève de la supervision autant que de la sécurité.
Cette page vous a aidé ? C’est notre métier.
- Support 8h-20h · 7j/7
- SOC 24/7
- < 10 min
- Équipe dédiée
Un ingénieur décroche · prise en charge moyenne < 10 min · 7j/7 de 8h à 20h · devis sans frais de mise en service. Standard fermé pour le moment (ouvert 7j/7 de 8h à 20h) : choisissez votre créneau, un ingénieur vous rappelle · devis sans frais de mise en service. Simuler mon devis en ligne : prix publics dès 55 € HT par poste, résultat immédiat, aucun formulaire →
Ce que la protection du poste ne fait pas
Elle ne remplace ni la sauvegarde, ni le pare-feu, ni la sécurisation des comptes. Face à un rançongiciel, c’est la sauvegarde hors de portée qui détermine si l’entreprise redémarre en une journée ou en trois semaines. La protection du poste réduit la probabilité ; la sauvegarde décide des conséquences. Les deux sont nécessaires, et il ne faut pas confondre leurs rôles.
Questions fréquentes sur l’antivirus professionnel
Qu’est-ce qu’un EDR ?
EDR signifie détection et réponse sur les terminaux. C’est une protection installée sur les postes et les serveurs qui surveille en continu les comportements des programmes, conserve l’historique des actions pour permettre une analyse après coup, et peut isoler automatiquement une machine compromise du reste du réseau.
Quelle différence entre un antivirus et un EDR ?
L’antivirus reconnaît des menaces connues et supprime le fichier correspondant. L’EDR observe les comportements, détecte donc des attaques inédites, conserve la trace de ce qui s’est passé et permet d’agir à distance sur la machine. En pratique, les solutions professionnelles actuelles font les deux : l’antivirus est devenu une fonction de l’EDR, ce que le marché appelle aussi antivirus de nouvelle génération.
La protection intégrée à Windows suffit-elle ?
Sa capacité de détection est bonne, et il serait malhonnête de prétendre le contraire. Ce qui manque en entreprise n’est pas la détection mais l’encadrement : une console qui montre l’état réel de toutes les machines, des règles appliquées uniformément, la conservation des traces, et surtout quelqu’un qui traite les alertes. Selon les licences déjà détenues, ces fonctions peuvent parfois être activées sans outil supplémentaire : c’est un point que nous vérifions avant de proposer quoi que ce soit.
Un antivirus gratuit convient-il à une entreprise ?
Non, pour une raison d’administration plus que de détection. Sans console centrale, personne ne peut affirmer que les vingt-cinq postes sont protégés et à jour : il suffit qu’un utilisateur ait désactivé la protection pour installer un logiciel, et l’information n’existe nulle part. En sécurité, ce qu’on ne peut pas vérifier n’existe pas.
Faut-il protéger les Mac et les mobiles ?
Oui. L’idée que ces plateformes ne sont pas concernées date d’une époque où elles étaient trop peu répandues pour intéresser les attaquants, ce qui n’est plus le cas. Le hameçonnage et le vol d’identifiants, qui constituent l’essentiel du risque réel, fonctionnent d’ailleurs indépendamment du système d’exploitation.
Un EDR ralentit-il les postes ?
Marginalement, et sans commune mesure avec les anciens antivirus qui lançaient des analyses complètes en pleine journée. Les ralentissements attribués à la protection viennent presque toujours d’un empilement : deux solutions installées en parallèle qui s’analysent mutuellement. C’est la première chose que nous vérifions lors d’une reprise de parc.
Savoir ce qui est réellement protégé
Le plus utile n’est pas de comparer des produits mais de mesurer votre couverture réelle : combien de machines remontent des informations, quelles exclusions existent, et qui lit les alertes. Notre prédiagnostic cybersécurité établit ce constat, ou prenez 30 minutes avec un ingénieur.
