# NDR, EDR, SIEM, XDR, MDR : les différences

> En quoi NDR, EDR et SIEM diffèrent : ce que chacun voit et manque, où se placent XDR et MDR, et par quoi commencer sans SOC.

Source page: https://netsenx.com/fr/blog/2026-09-24_ndr-vs-edr-vs-siem · NetSenX Team · 2026-11-12

L'EDR protège les appareils sur lesquels on peut installer un agent, le SIEM collecte et corrèle les journaux de tout ce qui en produit, et le NDR observe le trafic réseau entre tous les appareils — y compris ceux qui n'exécutent aucun agent. Pour une équipe IT sans centre opérationnel de sécurité (SOC), l'ordre pratique est généralement : d'abord l'EDR sur chaque poste géré, ensuite le NDR pour le trafic et les appareils que l'EDR ne voit pas, et un SIEM lorsque quelqu'un a le temps d'écrire des règles et de lire des journaux chaque jour.

## Ce que chaque outil observe

| | EDR | SIEM | NDR |
|---|---|---|---|
| **Observe** | Processus, fichiers et mémoire des postes gérés | Journaux des serveurs, pare-feu, services cloud et applications | Trafic réseau entre hôtes, en interne et vers l'extérieur |
| **Repère bien** | Un malware qui s'exécute sur un portable ou un serveur ; le comportement d'un ransomware sur l'hôte | Les corrélations entre de nombreux systèmes ; la conservation longue ; les rapports d'audit | Le beaconing C2, les scans, les mouvements latéraux, les données sortantes inhabituelles |
| **Angles morts** | Les appareils sans agent : imprimantes, caméras, IoT, automates OT, portables non gérés | Tout ce qui n'écrit pas de journal, ou en écrit un que personne ne collecte | Ce qui se passe dans un hôte sans toucher au réseau ; le contenu chiffré |
| **Effort d'exploitation** | Faible à moyen | Élevé : l'analyse, les règles et le réglage ne s'arrêtent jamais | Faible à moyen |
| **Base de prix habituelle** | Par poste | Par volume de données ingérées | Par appareil surveillé, capteur ou bande passante |

Les trois se recoupent moins qu'il n'y paraît. Un attaquant qui arrive sur un appareil non géré est invisible pour l'EDR, et un SIEM ne le voit que si quelque chose journalise son activité. Ce même attaquant doit pourtant communiquer par le réseau — avec un serveur de command-and-control, avec d'autres hôtes, avec la destination de ses données — et c'est ce que voit le NDR. Le référentiel MITRE ATT&CK range les [mouvements latéraux](https://attack.mitre.org/tactics/TA0008/) et le [command and control](https://attack.mitre.org/tactics/TA0011/) parmi des tactiques distinctes pour cette raison précise : ils se produisent entre les machines.

## Par quoi commencer sans SOC

1. **Un EDR sur chaque poste géré.** Il bloque et enregistre l'activité malveillante sur l'hôte et demande peu d'attention au quotidien une fois déployé.
2. **Un NDR pour le réseau.** Il couvre les appareils que l'EDR ne peut pas couvrir, montre les mouvements latéraux entre hôtes et fournit la chronologie d'incident dont les notifications NIS2 ont besoin. Choisissez-en un dont les alertes s'expliquent d'elles-mêmes : sans analystes, une alerte sans raison est une alerte dont personne ne s'occupe.
3. **Un SIEM quand vous pouvez lui affecter quelqu'un.** Un SIEM est rentable quand quelqu'un en a la charge — écrit les règles de corrélation, maintient les analyseurs et relit les journaux chaque jour. D'ici là, les journaux exigés par votre régulateur peuvent souvent être conservés sans déploiement complet d'un SIEM.
4. **Pensez au MDR s'il vous faut une surveillance 24/7.** Un service de managed detection and response, ce sont des personnes, pas un outil : un prestataire surveille vos alertes EDR, NDR ou SIEM jour et nuit.

## Questions à poser avant d'acheter un NDR

- Chaque alerte dit-elle, en langage clair, pourquoi elle s'est déclenchée ?
- Existe-t-il une borne de faux positifs déclarée, et pouvez-vous la vérifier sur vos propres données ?
- La grille tarifaire est-elle publiée, ou chaque déploiement fait-il l'objet d'un devis ?
- Où sont stockées les données de surveillance, et sous quel accord de traitement des données ?
- Lit-il les protocoles OT de façon passive, sans sonder les automates ?

Nos [comparatifs de fournisseurs NDR](/fr/compare) appliquent ces questions à Darktrace, Vectra AI, ExtraHop et Nozomi Networks, avec une source pour chaque affirmation.

## La place de NetSenX

NetSenX est une plateforme de Network Detection and Response (NDR) pour les ETI et PME de l'UE, qui détecte les attaques à partir du comportement du réseau, explique chaque alerte en langage clair et conserve les données clients dans l'UE. Elle fonctionne aux côtés de l'EDR et du SIEM, pas à leur place : à partir de l'offre Business, les alertes peuvent être exportées vers le SIEM que vous utilisez déjà. L'offre Free couvre jusqu'à 3 appareils sans limite de durée, pour voir ce qu'elle trouve avant de décider. Les détails figurent sur la [page des tarifs](/fr/pricing) et dans la [FAQ](/fr#faq). Si NIS2 vous concerne, la [check-list de surveillance réseau NIS2](/fr/blog/2026-09-24_nis2-network-monitoring-checklist) est la lecture suivante.

## Sources

- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)
- [NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems](https://csrc.nist.gov/pubs/sp/800/94/final)

---

*Rédigé par l'équipe NetSenX chez TriStiX S.L. Questions : [info@netsenx.com](mailto:info@netsenx.com).*