La différence tient en une phrase. Un antivirus compare ce qui s'exécute à une liste de menaces déjà connues. Un EDR observe le comportement des programmes et signale ce qui sort de l'ordinaire, même s'il n'a jamais vu cette menace auparavant. Le premier reconnaît un visage sur une liste de recherche, le second remarque quelqu'un qui force une serrure.
En résumé
- L'antivirus détecte le connu, l'EDR détecte l'anormal.
- Les attaques actuelles sont conçues pour ne ressembler à rien de répertorié.
- Un EDR génère des alertes : sans personne pour les traiter, il ne sert presque à rien.
- Le vrai choix ne porte pas sur l'outil mais sur la supervision qui l'accompagne.
- Pour une TPE sans supervision, un bon antivirus bien configuré reste défendable.
Pourquoi les signatures ne suffisent plus
Un antivirus fonctionne largement par signature : il possède l'empreinte de menaces identifiées et la compare aux fichiers présents. Le modèle a fonctionné tant que les attaquants réutilisaient les mêmes outils. Aujourd'hui, un rançongiciel est souvent recompilé pour chaque campagne, ce qui change son empreinte et le rend invisible aux listes.
Pire, beaucoup d'attaques n'installent aucun fichier suspect. Elles détournent des outils légitimes déjà présents sur le système, ceux-là mêmes que l'administrateur utilise. Un antivirus n'a aucune raison de bloquer un outil d'administration standard.
Ce que l'EDR apporte concrètement
| Situation | Antivirus classique | EDR |
|---|---|---|
| Menace connue et répertoriée | Détecte et bloque | Détecte et bloque |
| Rançongiciel recompilé, inédit | Passe souvent au travers | Repère le chiffrement massif |
| Détournement d'un outil légitime | Ne voit rien d'anormal | Signale l'usage inhabituel |
| Reconstitution après incident | Aucune trace exploitable | Historique détaillé des actions |
| Isolement d'un poste compromis | Manuel | À distance, en un clic |
La capacité d'isoler, souvent sous-estimée
C'est une fonction qui change tout en situation réelle. Quand un poste part en vrille à 22 heures, pouvoir le couper du réseau à distance sans se déplacer évite que l'incident se propage aux serveurs pendant la nuit. Cette seule capacité justifie parfois l'investissement.
Le piège du produit sans service
Un EDR produit des alertes, parfois plusieurs par jour, dont une bonne partie sans gravité. Si personne ne les lit, elles s'accumulent dans une console que plus personne n'ouvre. L'entreprise paie alors un outil sophistiqué pour un résultat comparable à celui d'un antivirus, avec en prime un faux sentiment de sécurité.
La question à poser à un prestataire qui propose un EDR est donc simple et directe : qui regarde les alertes, dans quel délai, et que se passe-t-il la nuit et le week-end ? La réponse distingue immédiatement une vente de licence d'un vrai service. C'est un point que nous développons dans nos guides sur l'infogérance.
Et le pare-feu dans tout ça
Il joue un autre rôle. Le pare-feu filtre ce qui entre et sort du réseau, l'antivirus et l'EDR surveillent ce qui se passe sur les postes. Les trois sont complémentaires, mais la protection du poste est devenue prioritaire depuis que le travail à distance a fait sortir les ordinateurs des locaux. Nos guides réseau traitent du volet infrastructure.
Comment trancher sans être technicien
Posez la question en termes de conséquences, pas de technologie. Si vos serveurs sont chiffrés un vendredi soir, quand le découvrirez-vous et qui interviendra ? Si la réponse est « lundi matin, et on appellera », un EDR non supervisé ne changera rien à votre situation. Si vous disposez d'une astreinte, il devient l'outil qui la rend efficace.
Notre annuaire des prestataires informatiques par ville vous permet d'identifier des interlocuteurs et de comparer leurs avis clients avant d'engager la discussion.
