Faut-il un EDR pour avoir un SOC managé ?

En pratique, oui. L’EDR (Endpoint Detection and Response) est la principale source d’information d’un SOC managé sur les postes et serveurs, et son principal moyen d’action : il permet par exemple d’isoler une machine compromise à distance. Un SOC sans EDR voit beaucoup moins et agit beaucoup plus lentement. À l’inverse, un EDR sans SOC génère des alertes que personne ne traite la nuit.

Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.

Ce que l’EDR apporte au SOC

De la visibilité. L’EDR enregistre ce qui se passe sur chaque machine : programmes lancés, connexions réseau, fichiers modifiés. C’est ce qui permet au SOC de reconstituer une attaque, de comprendre si un poste a été compromis et ce que l’attaquant y a fait.

Des moyens d’action. L’EDR permet d’agir à distance : isoler un poste du réseau, arrêter un processus, mettre un fichier en quarantaine. Pour un SOC, c’est ce qui permet de passer rapidement de la détection au confinement.

Des détections. L’EDR détecte lui-même de nombreux comportements malveillants. Le SOC exploite ces détections, les recoupe avec d’autres sources et écarte les faux positifs.

Ce que le SOC apporte à l’EDR

Un EDR n’est qu’un outil. Ses alertes doivent être lues, comprises et traitées, à toute heure. Sans SOC :

• les alertes de nuit et de week-end attendent le lundi matin ;
• les signaux faibles, peu sévères pris isolément, passent inaperçus ;
• les faux positifs fatiguent les équipes, qui finissent par ignorer certaines alertes.

Nous avons détaillé ces angles morts dans Les 3 signaux faibles qu’un EDR ne voit pas sans SOC et Pourquoi vos clients sont-ils (encore) vulnérables malgré votre EDR ?.

Un SOC peut-il fonctionner sans EDR ?

Techniquement, un SOC peut surveiller d’autres sources : Microsoft 365, pare-feux, Active Directory. Il détectera certaines attaques, notamment celles qui passent par la messagerie. Mais il restera aveugle sur ce qui se passe sur les postes et serveurs, là où un rançongiciel s’exécute, et il ne pourra pas isoler une machine. Pour une surveillance sérieuse, l’EDR est le socle.

Quel EDR pour un SOC managé ?

Le bon EDR est celui que le SOC sait exploiter en profondeur : collecte des événements, lecture des détections et, surtout, actions de réponse à distance. Cela suppose une intégration native, pas seulement la réception d’alertes par e-mail.

Chez Cyna, l’intégration native se fait avec deux EDR : SentinelOne et Microsoft Defender.

• Si vos postes en sont déjà équipés, Cyna se raccorde à l’EDR en place.
• Si vous n’avez pas d’EDR, ou si vous utilisez un autre EDR, un déploiement ou une migration vers SentinelOne ou Microsoft Defender est à prévoir.

Les modalités (périmètre, licences, accompagnement) sont précisées dans le contrat conclu avec votre infogérant partenaire.

Pour comparer les familles d’outils, voir EDR, MDR, XDR : quelles sont leurs différences ?.

Préparer le raccordement : les points à vérifier

Avant de raccorder un EDR à un SOC, quelques vérifications évitent les mauvaises surprises :

• La couverture du parc. Comparez la liste des machines remontées dans la console EDR avec l’inventaire réel. Un poste oublié, un serveur ancien ou une machine virtuelle créée récemment sans agent sont autant d’angles morts.
• Le mode de fonctionnement. Un EDR peut se contenter de détecter ou bloquer certains comportements. Il est utile de savoir quelle politique est appliquée, et sur quelles machines.
• Les exclusions existantes. Des exclusions trop larges, ajoutées pour régler un problème de performance, peuvent masquer une activité malveillante. Elles méritent d’être revues avec le SOC.
• Les accès à la console. Qui administre l’EDR, avec quels comptes, et ces comptes sont-ils protégés par une authentification forte ? Un attaquant qui prend la main sur la console peut désactiver la protection.
• Les actions de réponse autorisées. Isoler un poste est rarement un problème ; isoler un serveur de production demande souvent un accord préalable. Il vaut mieux décider en amont quelles actions le SOC peut lancer et lesquelles nécessitent une validation.

Les autres sources à ajouter ensuite

L’EDR couvre les postes et serveurs. Pour une vision complète, on y ajoute en général :

• Microsoft 365 ou Google Workspace, pour les identités et la messagerie ;
• les pare-feux et VPN, pour les accès réseau.

Voir Que surveille un SOC managé ?.

Faire le point avec un expert

Vous voulez savoir si votre parc est prêt à être raccordé ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un antivirus suffit-il pour un SOC managé ?

Non. Un antivirus bloque des menaces connues mais donne peu de visibilité et peu de moyens d'action à distance. Voir Antivirus vs. EDR : lequel choisir ?.

Mon EDR n'est ni SentinelOne ni Microsoft Defender : que faire ?

Cyna s'intègre nativement à ces deux EDR uniquement. Si vous en utilisez un autre, une migration vers l'un des deux peut être accompagnée ; les modalités sont précisées dans le contrat conclu avec votre infogérant partenaire.

Faut-il un EDR sur les serveurs aussi ?

Oui. Les serveurs sont des cibles prioritaires lors d'une attaque, notamment les contrôleurs de domaine et les serveurs de fichiers. Les laisser sans EDR crée un angle mort.

Combien de temps faut-il pour déployer un EDR ?

Le déploiement de l'agent sur un parc de taille moyenne se fait en général en quelques jours, souvent via les outils de gestion déjà utilisés par l'infogérant. Le raccordement au SOC est ensuite rapide.

L'EDR ralentit-il les postes ?

Les EDR modernes sont conçus pour avoir un impact limité. En cas de lenteur sur un logiciel métier, des exclusions ciblées peuvent être définies avec le SOC.