L'EDR protège les appareils sur lesquels on peut installer un agent, le SIEM collecte et corrèle les journaux de tout ce qui en produit, et le NDR observe le trafic réseau entre tous les appareils — y compris ceux qui n'exécutent aucun agent. Pour une équipe IT sans centre opérationnel de sécurité (SOC), l'ordre pratique est généralement : d'abord l'EDR sur chaque poste géré, ensuite le NDR pour le trafic et les appareils que l'EDR ne voit pas, et un SIEM lorsque quelqu'un a le temps d'écrire des règles et de lire des journaux chaque jour.
Ce que chaque outil observe
| EDR | SIEM | NDR | |
|---|---|---|---|
| Observe | Processus, fichiers et mémoire des postes gérés | Journaux des serveurs, pare-feu, services cloud et applications | Trafic réseau entre hôtes, en interne et vers l'extérieur |
| Repère bien | Un malware qui s'exécute sur un portable ou un serveur ; le comportement d'un ransomware sur l'hôte | Les corrélations entre de nombreux systèmes ; la conservation longue ; les rapports d'audit | Le beaconing C2, les scans, les mouvements latéraux, les données sortantes inhabituelles |
| Angles morts | Les appareils sans agent : imprimantes, caméras, IoT, automates OT, portables non gérés | Tout ce qui n'écrit pas de journal, ou en écrit un que personne ne collecte | Ce qui se passe dans un hôte sans toucher au réseau ; le contenu chiffré |
| Effort d'exploitation | Faible à moyen | Élevé : l'analyse, les règles et le réglage ne s'arrêtent jamais | Faible à moyen |
| Base de prix habituelle | Par poste | Par volume de données ingérées | Par appareil surveillé, capteur ou bande passante |
Les trois se recoupent moins qu'il n'y paraît. Un attaquant qui arrive sur un appareil non géré est invisible pour l'EDR, et un SIEM ne le voit que si quelque chose journalise son activité. Ce même attaquant doit pourtant communiquer par le réseau — avec un serveur de command-and-control, avec d'autres hôtes, avec la destination de ses données — et c'est ce que voit le NDR. Le référentiel MITRE ATT&CK range les mouvements latéraux et le command and control parmi des tactiques distinctes pour cette raison précise : ils se produisent entre les machines.
Par quoi commencer sans SOC
- Un EDR sur chaque poste géré. Il bloque et enregistre l'activité malveillante sur l'hôte et demande peu d'attention au quotidien une fois déployé.
- Un NDR pour le réseau. Il couvre les appareils que l'EDR ne peut pas couvrir, montre les mouvements latéraux entre hôtes et fournit la chronologie d'incident dont les notifications NIS2 ont besoin. Choisissez-en un dont les alertes s'expliquent d'elles-mêmes : sans analystes, une alerte sans raison est une alerte dont personne ne s'occupe.
- Un SIEM quand vous pouvez lui affecter quelqu'un. Un SIEM est rentable quand quelqu'un en a la charge — écrit les règles de corrélation, maintient les analyseurs et relit les journaux chaque jour. D'ici là, les journaux exigés par votre régulateur peuvent souvent être conservés sans déploiement complet d'un SIEM.
- Pensez au MDR s'il vous faut une surveillance 24/7. Un service de managed detection and response, ce sont des personnes, pas un outil : un prestataire surveille vos alertes EDR, NDR ou SIEM jour et nuit.
Questions à poser avant d'acheter un NDR
- Chaque alerte dit-elle, en langage clair, pourquoi elle s'est déclenchée ?
- Existe-t-il une borne de faux positifs déclarée, et pouvez-vous la vérifier sur vos propres données ?
- La grille tarifaire est-elle publiée, ou chaque déploiement fait-il l'objet d'un devis ?
- Où sont stockées les données de surveillance, et sous quel accord de traitement des données ?
- Lit-il les protocoles OT de façon passive, sans sonder les automates ?
Nos comparatifs de fournisseurs NDR appliquent ces questions à Darktrace, Vectra AI, ExtraHop et Nozomi Networks, avec une source pour chaque affirmation.
La place de NetSenX
NetSenX est une plateforme de Network Detection and Response (NDR) pour les ETI et PME de l'UE, qui détecte les attaques à partir du comportement du réseau, explique chaque alerte en langage clair et conserve les données clients dans l'UE. Elle fonctionne aux côtés de l'EDR et du SIEM, pas à leur place : à partir de l'offre Business, les alertes peuvent être exportées vers le SIEM que vous utilisez déjà. L'offre Free couvre jusqu'à 3 appareils sans limite de durée, pour voir ce qu'elle trouve avant de décider. Les détails figurent sur la page des tarifs et dans la FAQ. Si NIS2 vous concerne, la check-list de surveillance réseau NIS2 est la lecture suivante.
Sources
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
- NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems
Rédigé par l'équipe NetSenX chez TriStiX S.L. Questions : info@netsenx.com.
Questions traitées dans ce guide
Quelle différence entre NDR, EDR et SIEM ?
L'EDR s'exécute sur chaque poste et voit les processus et les fichiers de cette machine. Un SIEM collecte les journaux de nombreux systèmes et les corrèle. Le NDR observe le trafic entre les équipements : il couvre donc aussi ceux qui ne peuvent pas recevoir d'agent et l'activité qui ne laisse pas de journal. Les trois sont complémentaires.
Que veulent dire EDR, NDR, XDR et MDR, en termes simples ?
L'EDR surveille chaque ordinateur de l'intérieur, le NDR surveille le trafic entre les équipements, le XDR réunit plusieurs sources dans une console, et le MDR est une équipe qui surveille les alertes pour vous. L'EDR (endpoint detection and response) est un logiciel installé sur les portables et les serveurs, qui voit les processus, les fichiers et la mémoire de la machine. Le NDR (network detection and response) est un capteur qui voit comment les équipements se parlent, y compris les imprimantes, caméras et machines sur lesquelles on ne peut rien installer. Le XDR (extended detection and response) est une plateforme qui combine des signaux des postes, de la messagerie, de l'identité, du cloud et parfois du réseau. Le MDR (managed detection and response) n'est pas un logiciel mais un service : des personnes qui lisent les alertes jour et nuit et agissent. Vous croiserez aussi le SIEM (security information and event management), qui collecte les journaux. NetSenX est un NDR ; il fonctionne à côté des autres et ne les remplace pas.
Qu'est-ce que le XDR, et est-ce la même chose que le NDR ?
Non. Le XDR (extended detection and response) est une plateforme qui réunit les signaux de plusieurs sources dans une seule console, tandis que le NDR (network detection and response) est l'une de ces sources possibles. La plupart des produits XDR sont construits autour d'un agent sur les postes et ajoutent les journaux de messagerie, d'identité et du cloud ; certains intègrent des données réseau, d'autres non. Cela compte pour les équipements qui ne peuvent pas recevoir d'agent, comme les imprimantes, les caméras, les systèmes du bâtiment, les machines et les appliances : un XDR fondé uniquement sur les postes ne les voit pas tant qu'aucune donnée réseau ne l'alimente. Avant d'acheter, demandez quelles sources le XDR ingère réellement dans votre licence, pas dans la brochure. NetSenX est un NDR : il observe le trafic entre les équipements et signale le beaconing, les scans, les mouvements latéraux et les volumes sortants inhabituels dans toutes les offres, Free comprise. Il ne remplace ni un EDR ni une plateforme XDR, et dès l'offre Business ses alertes peuvent être exportées vers le SIEM ou le XDR que vous utilisez déjà.
Quelle est la différence entre MDR et EDR ?
L'EDR est un logiciel, le MDR est un service assuré par des personnes. L'EDR (endpoint detection and response) s'installe sur vos ordinateurs et serveurs ; il surveille les processus et les fichiers, lève des alertes et permet à un administrateur d'isoler une machine. Il faut toujours quelqu'un pour lire ces alertes et décider. Le MDR (managed detection and response) est un prestataire dont les analystes lisent les alertes à votre place, jour et nuit, et réagissent dans un délai convenu. La plupart des services MDR apportent ou exigent leur propre EDR, et certains prennent aussi des données réseau ou cloud. La vraie question n'est donc pas EDR ou MDR, mais qui lit les alertes la nuit. Si vous avez du personnel ou un prestataire d'astreinte, un EDR et une détection réseau peuvent suffire. Si personne ne peut réagir en dehors des heures de bureau, un service managé comble ce manque. NetSenX est un logiciel de détection, pas un MDR : il explique chaque alerte pour que votre équipe ou votre prestataire puisse agir.
Ai-je besoin d'un NDR si j'ai déjà un EDR ?
Souvent oui, car l'EDR et le NDR échouent à des endroits différents. L'EDR (endpoint detection and response) ne voit que les machines où son agent tourne et fonctionne bien. Il ne voit ni les imprimantes, ni les caméras, ni les téléphones en Wi-Fi, ni les systèmes du bâtiment, ni les machines, ni le portable d'un prestataire, et les attaquants le désactivent souvent en premier sur la machine qu'ils prennent. Le NDR (network detection and response) observe le trafic entre les équipements : il voit donc encore un hôte compromis qui appelle un serveur externe, scanne le réseau ou fait sortir des données, quoi qu'il arrive à son agent. Si votre entreprise se résume à quelques portables avec tout dans le cloud, un EDR et de bonnes sauvegardes peuvent suffire pour l'instant. Si vous avez un réseau local avec des serveurs et des équipements sur lesquels rien ne s'installe, le NDR comble ce manque. NetSenX signale beaconing, scans, mouvements latéraux et volumes sortants inhabituels dans toutes les offres, Free comprise : vous voyez ce qu'il apporte sur votre propre réseau avant de payer.
Quelles lacunes laisse l'EDR que seul le réseau révèle ?
Les équipements sans agent, les agents désactivés et la trace d'une attaque répartie sur plusieurs machines. L'EDR (endpoint detection and response) rend compte depuis l'intérieur de chaque ordinateur où il tourne. Il ne rend pas compte d'une imprimante, d'un enregistreur de caméras, d'un NAS, d'un automate du bâtiment, du téléphone d'un visiteur ni d'un portable non géré que quelqu'un a branché. Il ne rend pas compte d'un serveur où on l'a désinstallé ou trafiqué. Et chaque agent voit un seul hôte, si bien qu'un schéma lent qui n'a de sens qu'à l'échelle de nombreux hôtes, comme une machine qui touche des dizaines de partages de fichiers ou qui appelle discrètement l'extérieur toutes les cinq minutes, passe facilement inaperçu. Le réseau voit tout cela, parce que tout équipement doit communiquer pour nuire. NetSenX observe ce trafic et tient une carte réseau des équipements qu'il voit. Il ne voit pas l'intérieur d'un hôte : les deux outils se complètent.
Ai-je besoin d'un SIEM si j'ai un NDR ?
Pas nécessairement : beaucoup de petites et moyennes entreprises tirent davantage d'un NDR et d'une bonne protection des postes que d'un SIEM que personne n'a le temps de régler. Un SIEM (security information and event management) collecte et corrèle les journaux de nombreux systèmes : pare-feu, serveurs, annuaires, services cloud. Il est puissant quand quelqu'un écrit et entretient ses recherches, et lourd quand personne ne le fait. Le NDR (network detection and response) fournit des détections issues du trafic réseau, sans ingénierie des journaux. Les deux répondent à des questions différentes : le SIEM dit qui s'est connecté où, le NDR dit ce que les équipements ont fait sur le réseau. Un SIEM peut malgré tout être nécessaire si un auditeur, un contrat client ou un régulateur attend une conservation centralisée des journaux, ou dès que vous avez du personnel pour l'exploiter. Si vous en avez déjà un, les alertes NDR peuvent l'alimenter : NetSenX propose l'export SIEM dès l'offre Business, si bien que les détections réseau arrivent dans le SIEM déjà expliquées.