EDR / Concepts et principales fonctionnalités

L’EDR (Endpoint Detection and Response, détection et réponse sur les terminaux) collecte et analyse l’activité des PC et serveurs pour repérer des menaces et faciliter l’investigation et des actions comme l’isolement d’un appareil. Au-delà du caractère malveillant d’un fichier, il relie processus, communications et modifications pour comprendre les événements et leur portée.

Rôle de l’EDR et différence avec l’antivirus

Un terminal est un appareil sur lequel des données et applications sont utilisées : PC d’un salarié, ordinateur portable ou serveur métier. L’EDR associe généralement un capteur ou agent local à une gestion et une analyse centralisées. Vérifiez les systèmes compatibles et la couverture des serveurs et environnements virtuels dans le produit et le contrat.

L’antivirus privilégie la prévention et le blocage des logiciels malveillants ; l’EDR apporte de la visibilité et des moyens d’investigation et de réponse. Toutefois, les antivirus modernes utilisent aussi l’analyse comportementale et le cloud : les opposer comme « signatures uniquement » et « comportements uniquement » est inexact. Ces fonctions peuvent être intégrées au même produit. La présentation des fonctions de sécurité des terminaux de Microsoft distingue ainsi antivirus de nouvelle génération et EDR, tout en les associant.

PowerShell est par exemple un outil d’administration légitime. Son lancement inattendu par une application de documents, suivi d’une communication vers une adresse inhabituelle, justifie une investigation. Examinez ensemble chemin d’exécution, ligne de commande, compte et activité ultérieure. Le nom du programme, même avec ce contexte, ne suffit pas à confirmer une compromission.

Quelles informations sont collectées et corrélées ?

Les données d’activité collectées à des fins d’analyse de sécurité constituent la télémétrie. Les exemples suivants ne garantissent pas une collecte identique par tous les produits et sur tous les appareils.

• Processus : chemin du fichier exécutable, heure de lancement, ligne de commande et relations parent-enfant. L’arbre des processus montre quel programme en a lancé un autre.
• Fichiers : création, modification, exécution et empreintes permettent de suivre les fichiers suspects et les chemins touchés. Une empreinte sert à identifier ou comparer un fichier, sans prouver à elle seule sa malveillance.
• Réseau : relier processus, adresses et ports de destination aide à analyser les communications. Les traces de connexion ne révèlent pas nécessairement tout le contenu échangé ou toutes les données exfiltrées.
• Modifications système : le registre Windows et les paramètres de démarrage peuvent révéler des changements liés à la persistance. Les informations disponibles dépendent du système d’exploitation.
• Comptes : les connexions et comptes d’exécution sont rapprochés des autres activités. Les journaux d’authentification ou de messagerie de toute l’organisation peuvent nécessiter des sources ou intégrations supplémentaires.

La chronologie et l’arbre des processus aident à distinguer l’exécution initiale des modifications ultérieures. La présentation de l’EDR de Microsoft précise cependant qu’il ne s’agit pas d’un journal d’audit exhaustif. Une preuve absente ne signifie pas que tout est normal : contrôlez la collecte, l’état du capteur, la conservation et les autres journaux.

Principales fonctions de détection, d’investigation et de réponse

Les noms varient, mais les produits combinent généralement les fonctions ci-dessous. L’automatisation, les validations et les actions disponibles dépendent du système, de la licence et des politiques.

• Détection et priorisation : l’analyse des comportements et les renseignements sur les menaces produisent des alertes. Les regrouper en incidents facilite l’investigation sur plusieurs appareils. Une gravité élevée ne dispense pas de vérifier les éléments.
• Investigation et recherche : chronologies, arbres et recherches servent à établir la cause et le périmètre. Ils permettent aussi de rechercher la même empreinte ou destination sur d’autres appareils dans une démarche de chasse aux menaces.
• Confinement : les actions possibles comprennent l’isolement réseau, l’arrêt d’un processus et la quarantaine d’un fichier. La quarantaine empêche l’exécution du fichier ; l’isolement de l’appareil limite ses communications. Les cibles et les effets métier diffèrent.
• Traçabilité : consignez qui a demandé quelle action et si elle a réussi, échoué ou reste en attente. Un clic ou le déclenchement d’une politique automatique ne prouve pas son exécution complète.

L’isolement peut limiter la propagation, mais aussi couper les accès distants et les services métier. Vérifiez le maintien des communications de gestion, les limites liées aux réseaux privés virtuels (VPN) ou aux proxys, et la procédure de levée d’isolement. Consultez la documentation du produit, par exemple le guide Microsoft des actions sur les appareils.

Exemple d’investigation d’une alerte liée à un document

Ce scénario fictif concerne une application de documents qui lance un outil de script et contacte une adresse externe. Ce n’est ni un incident réel ni un test produit ; adaptez cette démarche à vos procédures de réponse approuvées.

1. Vérifier la cible et l’heure. Relevez appareil, utilisateur, heure et fuseau de l’alerte. Vérifiez que le capteur envoie des données récentes et comparez les identifiants pour éviter de confondre deux appareils de même nom.
2. Relier le contexte d’exécution. Examinez application, processus enfants, ligne de commande et destinations dans la chronologie. Comparez avec les activités utilisateur et changements administratifs pour reconnaître une automatisation légitime. N’exécutez pas le fichier suspect sur un PC de travail.
3. Confiner selon le risque. Si l’activité malveillante continue ou menace de se propager, les responsables évaluent l’impact métier et choisissent une mesure comme l’isolement. Préservez les preuves nécessaires et contrôlez les résultats et motifs d’échec.
4. Élargir l’investigation. Recherchez les mêmes fichiers, destinations et comportements sur les autres appareils, puis corrélez les journaux d’authentification et de messagerie. L’absence d’alerte sur un appareil ne garantit pas la sécurité des comptes et autres systèmes.
5. Vérifier la restauration et une éventuelle récidive. Après suppression de la cause, correctifs et mesures sur les comptes, validez la restauration puis levez l’isolement selon la procédure approuvée. Vérifiez les services et nouvelles alertes, et documentez les décisions.

Le résultat attendu dépasse la simple fermeture d’une alerte. Les preuves, appareils et comptes touchés, actions réalisées et incertitudes restantes doivent permettre à un autre intervenant de reprendre le dossier.

Limites et problèmes que l’EDR ne résout pas

Un capteur absent ou arrêté, une perte de connexion et une conservation trop courte créent des lacunes. Une administration légitime peut générer une alerte et une attaque peut passer inaperçue. Trop d’exclusions réduisent la visibilité : définissez leur périmètre, justification et date de révision.

Isoler un appareil ou supprimer un fichier ne récupère pas les données volées et ne restaure pas automatiquement les fichiers chiffrés. L’EDR ne remplace ni correctifs, ni moindre privilège, ni authentification multifacteur (MFA), ni sauvegardes. Le guide sur les rançongiciels de la CISA, du FBI et de leurs partenaires (PDF) recommande aussi des sauvegardes isolées, des tests de restauration et un plan de réponse.

Des personnes doivent analyser les alertes et décider. Si les ressources internes manquent, évaluez un service de détection et réponse managées (MDR, Managed Detection and Response). Le contrat doit préciser horaires de surveillance, pouvoirs d’action, transfert des incidents et responsabilités de restauration. Acheter un EDR n’inclut pas automatiquement ces services.

Critères à vérifier avant le déploiement

Au-delà des listes de produits et taux de détection annoncés, vérifiez la capacité réelle d’exploitation. Un petit environnement de test autorisé permet de contrôler les éléments suivants avant généralisation.

• Couverture : confrontez l’inventaire des PC et serveurs aux systèmes et versions compatibles. Vérifiez la santé du capteur et sa dernière communication, pas seulement son installation.
• Impact métier : contrôlez processeur, mémoire, disque, latence et conflits avec les applications réelles. Examinez les conditions de coexistence avec les autres produits de sécurité.
• Données d’investigation : vérifiez champs collectés, recherche, conservation, export et intégrations. Comme des lignes de commande et informations utilisateur peuvent être incluses, examinez droits d’accès et lieux de stockage.
• Autorité et restauration : définissez qui approuve isolement ou arrêt, et le traitement des serveurs critiques. Utilisez les tests sûrs de l’éditeur pour vérifier génération d’alertes, notification, état des actions et levée d’isolement.
• Coût d’exploitation : ajoutez personnel d’analyse, formation, stockage des journaux et services externes aux licences. Des responsables identifiés et des procédures de relais transforment la détection en réponse effective.