EDR · Détection et réponse
Famille de services: CybersécuritéLa détection et la réponse sur les terminaux, limites clairement énoncées
L’EDR enregistre ce qui se passe sur un appareil afin qu’un comportement suspect puisse être repéré, analysé et contenu. Nous le configurons, examinons ses détections pendant les heures convenues et utilisons ses actions de réponse, tout en étant clairs sur ce qu’il ne peut pas voir.
En bref
- Service
- Configuration et exploitation des capacités de détection et de réponse sur les terminaux des appareils couverts
- Idéal pour
- Organisations d’environ 5 à 200 employés qui détiennent des données sensibles ou dont l’assureur exige l’EDR
- Principaux éléments inclus
- Intégration à l’EDR, vérification de l’état des capteurs, tri des détections pendant les heures convenues, isolement des appareils, sommaires d’analyse et ajustements
- Non inclus par défaut
- Intervention continue en dehors des heures convenues, chasse proactive aux menaces, imagerie criminalistique et couverture des appareils non gérés ou des équipements réseau
- Licence préalable
- Une licence comprenant l’EDR, comme Microsoft Defender for Business, Defender for Endpoint Plan 2 ou une plateforme comparable
- Base de tarification
- Par appareil couvert, par mois, confirmée dans une soumission écrite ; licences soumissionnées séparément
- Pour commencer
- Réservez une consultation pour confirmer les licences et le nombre d’appareils, ou commencez par une Évaluation de sécurité des terminaux
Ce que l’EDR fait et que l’antivirus ne fait pas
L’antivirus traditionnel compare les fichiers à des menaces connues et bloque les correspondances. La détection et la réponse sur les terminaux ajoute un capteur qui enregistre en continu, sur chaque appareil, les lancements de processus, les lignes de commande, les connexions réseau, les modifications de fichiers et l’activité de connexion. Des analyses infonuagiques recherchent ensuite des schémas qui laissent croire à une attaque en cours, comme un document Office qui lance PowerShell, des outils d’extraction d’identifiants ou un chiffrement massif de fichiers.
Lorsque l’EDR signale une détection, un analyste peut consulter la chronologie des événements qui y ont mené, voir quels autres appareils présentent les mêmes indicateurs et prendre des mesures : isoler l’appareil du réseau, arrêter un processus, mettre un fichier en quarantaine ou recueillir un dossier d’analyse.
L’EDR est une capacité, et non un service complet. Sa valeur dépend d’un déploiement correct, de capteurs qui restent fonctionnels, de détections examinées par quelqu’un qui les comprend et d’actions de réponse prises rapidement. C’est cette couche opérationnelle que fournit notre service.
Pourquoi les organisations s’intéressent à l’EDR
Des attaques qui utilisent des outils légitimes
Bien des intrusions reposent sur des outils intégrés comme PowerShell, le Bureau à distance et les tâches planifiées, que l’antivirus fondé sur les signatures n’est pas conçu pour évaluer.
Aucune visibilité après une alerte
Lorsque quelque chose est bloqué, personne ne peut dire comment c’est arrivé, ce qui a été touché ni si d’autres machines sont atteintes.
Questionnaires d’assureurs et de clients
Les cyberassureurs et les grands clients demandent de plus en plus si l’EDR est déployé sur tous les terminaux et qui examine ses alertes.
Un EDR sous licence, mais inutilisé
Microsoft 365 Business Premium comprend Defender for Business et ses fonctions EDR, mais bien des locataires n’y intègrent jamais leurs appareils et ne consultent jamais la file des incidents.
Ce que nous exploitons
Intégration des capteurs
Appareils inscrits à la plateforme EDR au moyen d’Intune ou de paquets de déploiement, avec un rapprochement de l’état d’intégration et de votre inventaire.
Tri des détections
Incidents et alertes examinés pendant les heures convenues, classés comme vrais positifs, bénins ou faux positifs, et consignés avec le raisonnement.
Actions de confinement
Isolement d’un appareil, arrêt d’un processus, mise en quarantaine d’un fichier et désactivation d’un compte utilisateur dans Microsoft Entra ID lorsque les preuves le justifient.
Sommaires d’analyse
Des comptes rendus en langage clair des détections importantes : ce qui s’est passé, les appareils et comptes en cause, ce que nous avons fait et ce qui reste à faire.
Ajustements
Suppression des activités bénignes connues de vos logiciels métier, de façon ciblée pour que les vraies menaces ne soient pas masquées.
Paramètres d’analyse automatisée
Lorsque la plateforme le permet, les niveaux d’analyse et de correction automatisées sont réglés de façon délibérée et documentés.
Ce que l’EDR ne peut pas faire
L’EDR ne voit que les appareils dotés d’un capteur fonctionnel. Il ne voit pas les téléphones personnels, les portables non gérés, les imprimantes, les pare-feu ni la plupart des activités des applications infonuagiques, à moins que d’autres outils ne l’alimentent. Il ne peut pas arrêter un attaquant qui se connecte à Microsoft 365 avec des identifiants volés à partir d’un appareil que vous ne gérez pas. Les détections survenues en dehors des heures de revue convenues déclenchent quand même les protections automatiques, mais l’examen par une personne attend la prochaine période de revue, sauf si une couverture prolongée est prévue dans votre plan.
Portée du service EDR
Généralement inclus
- Intégration à la plateforme EDR des appareils Windows, macOS et Windows Server couverts
- Revue hebdomadaire de l’état des capteurs et correction des appareils qui cessent de se signaler
- Tri des incidents et des alertes pendant les heures d’ouverture convenues
- Actions de confinement prises selon votre guide d’intervention approuvé
- Sommaires écrits des détections importantes
- Revue trimestrielle des ajustements
Nécessite une portée ou une soumission distincte
- Surveillance continue 24/7 ou services de SOC
- Chasse proactive aux menaces dans la télémétrie historique
- Imagerie criminalistique des disques ou de la mémoire et gestion de la preuve en vue d’un litige
- Licences EDR, sauf si elles sont fournies dans un forfait soumissionné
- Appareils qui ne peuvent pas exécuter le capteur EDR
Plateformes EDR
- Microsoft Defender for Business (inclus dans Microsoft 365 Business Premium)
- Microsoft Defender for Endpoint Plan 2
- File des incidents et repérage avancé de Microsoft Defender XDR, selon les licences
- Plateformes EDR tierces comparables déjà déployées dans votre environnement
- Microsoft Intune pour le déploiement des capteurs et les signaux de conformité des appareils
À qui ce service profite le plus
Cabinets qui détiennent des données sensibles de clients
Organisations en comptabilité, en droit, en génie et en santé où une intrusion discrète pourrait exposer des dossiers confidentiels.
Locataires Business Premium
Organisations qui paient déjà les fonctions EDR par l’entremise de Microsoft 365 Business Premium sans encore les utiliser.
Équipes à l’approche d’un renouvellement d’assurance
Entreprises qui doivent répondre avec exactitude à la question de savoir si l’EDR est déployé et qui l’examine.
Ce que vous y gagnez
- Une visibilité sur la façon dont une menace a atteint un appareil et sur ce qu’elle y a fait
- La possibilité d’isoler à distance un portable compromis pendant les heures convenues
- Des détections examinées et consignées plutôt que laissées dans une file d’attente
- Une meilleure utilisation des fonctions de sécurité dont vous détenez peut-être déjà les licences
- Une documentation claire de la couverture et de ses limites pour les assureurs
Comment nous mettons en place l’EDR
Revue des licences et des appareils
Nous confirmons quelles licences comprennent l’EDR, quels appareils peuvent exécuter le capteur et si un autre produit entrera en conflit.
Guide d’intervention
Nous convenons par écrit des actions que nous pouvons prendre sans vous consulter, comme isoler un portable, et de celles qui exigent votre approbation.
Intégration pilote
Un petit groupe d’appareils est intégré en premier pour observer le bruit généré par vos applications avant le déploiement complet.
Déploiement complet et ajustements
Les autres appareils sont intégrés et les détections bénignes sont filtrées de façon ciblée.
Exploitation
Le tri, le confinement, les sommaires et les revues trimestrielles se poursuivent selon votre portée.
Façons d’acheter
Les prix sont proposés, puis confirmés dans une soumission écrite.
Ajouter l’exploitation de l’EDR à la sécurité des terminaux
Étendez un abonnement Sécurité gérée des terminaux avec le tri et la réponse EDR sur les mêmes appareils.
Commencer par l’Évaluation de sécurité des terminaux
Confirmez la couverture, les licences et la configuration actuelle avant de vous engager dans l’exploitation récurrente de l’EDR.
Dans un programme de cybersécurité gérée
Combinez l’EDR avec des mesures touchant les identités, le courriel et les sauvegardes dans une seule portée, sous une même responsabilité.
Questions fréquentes
L’EDR est-il la même chose qu’un service de détection et réponse gérées (MDR) ?
Pas tel que nous le fournissons. Le MDR suppose habituellement une surveillance continue par une équipe d’analystes dédiée. Nous exploitons l’EDR et examinons les détections pendant les heures convenues. Si vous avez besoin d’une couverture continue, nous en discuterons ouvertement pendant l’analyse initiale.
Avons-nous déjà l’EDR ?
Si vous avez des licences Microsoft 365 Business Premium, vous disposez de Defender for Business, qui comprend des fonctions EDR. Leur fonctionnement réel dépend de l’intégration des appareils et de la configuration, ce que nous pouvons vérifier.
L’EDR peut-il ralentir nos ordinateurs ?
Les capteurs EDR modernes sont légers, mais des conflits avec d’anciens antivirus ou des logiciels métier exigeants peuvent causer des problèmes. C’est pourquoi nous procédons d’abord à un projet pilote et retirons proprement les produits incompatibles.
Allez-vous isoler un appareil sans nous consulter ?
Seulement selon le guide d’intervention que vous approuvez. Un choix courant consiste à autoriser l’isolement immédiat en cas de menace à haut niveau de confiance, comme un rançongiciel actif, avec un avis transmis aussitôt après.
Services connexes
Produits et forfaits
Secteurs que nous soutenons
Régions desservies
Pour aller plus loin
Vérifiez si votre EDR est activé et surveillé
Nous passerons en revue vos licences, l’intégration de vos appareils et vos modalités d’intervention, puis vous proposerons une portée écrite.