Endpoint Detection and Response (EDR)

Questions fréquentes (FAQ)

• Qu'est-ce qu'un EDR (Endpoint Detection and Response) ?

  Un EDR (Endpoint Detection and Response) est une solution de sécurité des terminaux active qui effectue une surveillance continue et en temps réel. Elle corrèle les différents événements se produisant au niveau du terminal afin de détecter les activités malveillantes, les compromissions de processus et les comportements suspects sur les terminaux des utilisateurs finaux. L'objectif est d'identifier les attaques en cours, les incidents de sécurité potentiels, les compromissions ou les brèches, pour ensuite réagir de manière appropriée, en déclenchant les mesures de correction nécessaires.
  
  Les principales fonctionnalités EDR telles que définies par Gartner sont les suivantes :

  • Détection des incidents de sécurité
  • Isolement de l'incident au niveau du terminal
  • Investigation des incidents de sécurité
  • Conseils en matière de correction

• Qui a besoin d'un EDR ?

  Toute entreprise qui est une cible potentielle de cybermenaces et/ou qui possède des données de valeur sur ses terminaux doit mettre en œuvre une stratégie de protection des terminaux incluant des fonctionnalités de détection des menaces et des outils de réponse aux incidents.
  
  Les PME, notamment, sont plus exposées aux risques de cybermenaces avancées en raison de leurs capacités internes réduites et de leurs contraintes budgétaires limitant leur accès aux solutions avancées de sécurité des terminaux, traditionnellement conçues pour les grandes structures à cause de leur coût et de leur complexité.
  
  De plus, pour les entreprises de toutes tailles actives dans des secteurs fortement réglementés et exposés à des cyberrisques accrus, comme la finance, la santé, les services juridiques, la vente au détail ou le secteur public, l'EDR est un élément incontournable de la stratégie de cybersécurité, afin de garantir la conformité et la protection des données sensibles des endpoints contre les cybermenaces.
  
  Avec Security + EDR, vous pouvez protéger tous les types d'entreprises, indépendamment de leur taille ou de la complexité de leur environnement, à l'aide de services à forte valeur ajoutée pouvant s'appliquer à de nombreux clients.

• Comment la solution Security + EDR peut-elle réduire vos dépenses d'exploitation (OPEX) comparée à d'autres solutions EDR ?

  Les outils et solutions EDR existants sont destinés aux grandes entreprises pour des raisons de coûts et de complexité, et doivent être gérés par des équipes de sécurité de grande envergure. De plus, les analystes en sécurité doivent réaliser manuellement les activités de traque des menaces par l'analyse de centaines de lignes de journaux, monopolisant des heures d'investigation sur les activités suspectes. Mais même dans ce cas de figure, une protection couvrant tous les aspects du cadre NIST, et donc la continuité des activités, nécessite des solutions et agents logiciels supplémentaires, ce qui augmente la complexité et accentue encore la prolifération des solutions.
  
  Security + EDR effectue une collecte de données continue sur la base d'événements liés à la sécurité, à l'instar d'autres outils EDR, mais la solution optimise vos capacités d'analyse en générant des alertes sur les incidents potentiels et en agrégeant les données sous la forme d'interprétations guidées des attaques, mises en correspondance avec le cadre MITRE ATT&CK®. Cette approche aide les analystes en sécurité à enquêter rapidement sur les activités suspectes pour plusieurs clients, réduisant le délai d'investigation à quelques minutes (plutôt que quelques heures) pour une meilleure évolutivité.
  
  De plus, Security + EDR est une solution de sécurité des terminaux intégrée dans Acronis Cyber Protect Cloud, un modèle qui procure d'importants avantages aux administrateurs, tels que la réponse en un clic couvrant tous les aspects du cadre NIST, dont la restauration. Vous réduisez ainsi le nombre de solutions de l'environnement et pouvez assurer une protection complète des terminaux au moyen d'un seul agent et d'une seule console Acronis.

• Quels sont les différents types de menaces contre lesquelles un EDR vous protège ?

  Il existe de nombreux types de cybermenaces avancées, à même de contourner d'autres couches de protection des terminaux telles que les antivirus. Citons quelques-unes des cybermenaces les plus courantes :

  • Malware zero-day et ransomware – Malware et/ou ransomware qui infiltre le système par le biais d'une vulnérabilité zero-day (une vulnérabilité exploitable, pour laquelle l'éditeur de logiciels n'a pas encore publié de correctif ; la vulnérabilité peut être connue ou non). Peut contourner certaines détections basées sur les comportements.
  • Menace persistante avancée (APT) – Attaque ayant recours à des techniques de piratage très furtives, continues et sophistiquées pour accéder au système et éviter toute détection pendant une période prolongée, avec des conséquences potentiellement destructrices. Elle s'articule généralement en plusieurs phases, telles que l'infiltration du système, l'escalade des privilèges et le déplacement latéral, ainsi que l'exfiltration de données sensibles. Les menaces APT reposent souvent sur des techniques exploitant les ressources internes, selon lesquelles les cybercriminels emploient des outils déjà présents dans l'environnement ciblé, ce qui rend leurs actions plus difficiles à détecter, mais aussi moins onéreuses à exécuter.
  • Attaque sans fichier – Malware sans fichier qui utilise des programmes légitimes pour infecter un ordinateur. Il n'utilise pas de fichier et ne laisse aucune empreinte, ce qui complique la détection et la neutralisation des attaques.
  • Piratage – Le piratage consiste à identifier et à exploiter des vulnérabilités dans un système informatique ou un réseau, généralement pour obtenir un accès non autorisé à des données personnelles ou d'entreprise. Le piratage peut être particulièrement difficile à détecter, par exemple lorsqu'il emploie des identifiants volés ou imite des processus normaux jusqu'à l'étape d'exfiltration, stade auquel il est déjà trop tard pour trouver une parade.

  
  La détection et la réponse à ces menaces et à d'autres attaques sophistiquées exigent des contrôles de sécurité avancés tels que l'EDR.