Ce que fait principalement un antivirus
Un antivirus cherche à empêcher ou neutraliser des logiciels malveillants grâce à plusieurs techniques : signatures, réputation, analyse comportementale et protection en temps réel. Son efficacité dépend de sa configuration, de ses mises à jour et du traitement des détections.
Dans une petite organisation, l’antivirus reste une mesure de base. Il ne remplace ni les mises à jour, ni la limitation des privilèges, ni la sauvegarde, ni la sensibilisation. Une alerte ignorée ou un produit mal administré réduit fortement la protection attendue.
Ce qu’ajoute un EDR
La détection et réponse sur les postes collecte des événements techniques afin d’identifier des comportements suspects, de regrouper des alertes et d’aider à comprendre l’étendue d’un incident. Selon le produit et la licence, les actions peuvent inclure l’isolation d’un poste, la quarantaine d’un fichier ou l’investigation d’une chaîne d’événements.
Cette visibilité est utile lorsque l’attaque utilise des outils légitimes, des scripts ou des comptes compromis plutôt qu’un fichier malveillant évident. L’EDR ne garantit toutefois pas la détection de chaque activité et ne constitue pas, à lui seul, un système complet de journalisation.
Pourquoi antivirus et EDR ne s’opposent pas toujours
De nombreuses offres combinent protection préventive et fonctions EDR. Dans d’autres architectures, un EDR peut fonctionner avec un antivirus distinct, sous réserve de compatibilité et de configuration correcte. La question n’est donc pas uniquement « l’un ou l’autre », mais quelles fonctions sont actives et qui les exploite.
Avant un achat, l’entreprise doit demander une matrice claire : prévention, détection, conservation des données, réponse manuelle, automatisation, couverture des serveurs, systèmes pris en charge et dépendances à d’autres licences.
L’exploitation des alertes est le point décisif
Un EDR peut produire des alertes complexes. Sans personne chargée de les qualifier, l’outil risque de devenir un tableau de bord rarement consulté. Il faut définir les horaires de surveillance, les délais de prise en charge, les règles d’escalade et les actions autorisées.
Une PME peut exploiter la solution en interne, s’appuyer sur son prestataire ou souscrire un service managé. Le contrat doit préciser qui reçoit l’alerte, qui contacte l’entreprise, qui peut isoler un poste et quelles informations sont conservées.
Comparer les coûts au-delà de la licence
Le coût total comprend le déploiement, la configuration, la supervision, les investigations, la conservation des données, les postes hors ligne, les serveurs et la formation. Certaines fonctions peuvent dépendre d’une édition supérieure ou d’un autre produit de l’écosystème.
Une comparaison pertinente utilise le même périmètre et le même niveau de service. Une licence moins chère sans exploitation des alertes peut offrir moins de valeur qu’un service limité mais réellement surveillé.
Vérifier la couverture et la compatibilité
La liste des appareils doit inclure les postes nomades, serveurs, machines anciennes et systèmes non Windows. Les exclusions, les applications sensibles et les contraintes de performance doivent être testées avant un déploiement généralisé.
Il faut aussi prévoir le retrait de l’outil, l’export des alertes, la réversibilité et la suppression des agents. Les responsabilités liées aux données de télémétrie doivent apparaître dans les documents contractuels.
Choisir selon le risque et la capacité opérationnelle
Une petite structure avec peu de postes peut commencer par une protection correctement administrée, des mises à jour, le MFA et des sauvegardes testées. Un EDR devient particulièrement pertinent lorsque l’entreprise traite des données sensibles, possède plusieurs sites, utilise de nombreux accès distants ou doit démontrer une capacité de détection et de réponse.
Le choix final doit être relié à une organisation : inventaire, responsable, traitement des alertes, procédure d’incident et revue périodique de la couverture.
Présenter votre situation de manière factuelle
Décrivez votre environnement, vos priorités et les difficultés rencontrées sans transmettre de mots de passe ni de données sensibles. Avec votre accord, vos coordonnées peuvent être communiquées à un partenaire indépendant, seul responsable de son analyse, de ses tarifs et de ses prestations.
Accéder au formulaireQuestions fréquentes
Un EDR remplace-t-il automatiquement l’antivirus ?
Non. Les architectures varient : certaines solutions intègrent les deux fonctions, d’autres les combinent. Il faut vérifier les modes actifs, passifs et les protections réellement disponibles.
Une PME peut-elle exploiter un EDR seule ?
Oui si elle dispose des compétences, du temps et d’une procédure de traitement. Sinon, une supervision par un prestataire peut être nécessaire.
L’EDR enregistre-t-il tout ce qui se passe sur un poste ?
Non. La télémétrie et la conservation dépendent du produit et de la licence. Un EDR ne doit pas être assimilé à une journalisation exhaustive.
Quels postes faut-il couvrir en premier ?
Les administrateurs, dirigeants, fonctions financières, postes accédant aux données sensibles, serveurs et équipements exposés ou utilisés à distance sont généralement prioritaires.
Sources officielles consultées
- ANSSI — Référentiel de mesures MonServiceSécurisé
- ANSSI — 10 règles d’or de la sécurité numérique
- Microsoft Learn — Détection et réponse des points de terminaison
- Microsoft Learn — Compatibilité antivirus et EDR
Sources vérifiées le 28 juillet 2026. Les organismes et spécifications cités peuvent être actualisés.
Guides associés
Cette page ne remplace ni un audit, ni une analyse technique, ni un avis juridique. Les décisions et interventions éventuelles relèvent exclusivement des professionnels saisis.