# NDR, EDR, SIEM, XDR, MDR (FAQ)

> 40 questions sur NDR, EDR, SIEM, XDR, MDR, en langage clair : quoi vérifier, ce que montre NetSenX et ce qu'une sonde ne voit pas.

Source page: https://netsenx.com/fr/faq/tools

## Qu'est-ce que le NDR (Network Detection and Response) ?

Le NDR est un logiciel de sécurité qui observe le trafic réseau, signale les comportements qui ressemblent à une attaque et fournit les preuves nécessaires pour réagir. Pare-feu et agents EDR voient chacun leur propre équipement ; le NDR voit comment les hôtes communiquent entre eux — beaconing de commande et contrôle (C2), scans, mouvements latéraux et volumes sortants inhabituels. NetSenX est une plateforme de Network Detection and Response (NDR) pour les entreprises de taille intermédiaire de l'UE, qui détecte les attaques à partir du comportement réseau, explique chaque alerte en langage clair et conserve les données clients dans l'UE.

https://netsenx.com/fr/faq/what-is-ndr-network-detection-and-response

## Que signifie NDR ?

Network detection and response : des outils de sécurité qui analysent le trafic entre les équipements pour détecter le comportement d'un attaquant et soutenir la réponse. Les produits plus anciens de cette catégorie s'appelaient souvent network traffic analysis (NTA).

https://netsenx.com/fr/faq/what-does-ndr-stand-for

## Comment fonctionne la détection et réponse réseau (NDR) ?

Elle copie le trafic entre vos équipements vers un capteur, apprend ce qui est normal pour chacun et lève une alerte lorsque l'un d'eux se comporte comme un attaquant. La copie vient d'un port miroir sur un commutateur (SPAN), d'un petit TAP matériel posé sur un câble, ou d'un agent sur les hôtes de votre choix. Le capteur n'a pas besoin de lire le contenu : l'horaire, le volume, les destinations, les ports, les réponses DNS et les parties non chiffrées de la négociation TLS suffisent pour voir une machine qui appelle un serveur externe toutes les quelques minutes, frappe à de nombreux hôtes internes, se connecte à des serveurs qu'elle n'utilisait jamais ou envoie bien plus de données que d'habitude. La réponse, c'est ce que votre équipe fait de l'alerte : enquêter, isoler l'hôte, réinitialiser des comptes. NetSenX fonctionne ainsi : il ne déchiffre jamais le trafic, explique chaque alerte en langage clair dans toutes les offres et vous laisse décider de la réponse. Il ne voit pas les équipements silencieux ni les segments que vous ne copiez pas.

https://netsenx.com/fr/faq/how-does-network-detection-and-response-work

## Quelle différence entre NDR, EDR et SIEM ?

L'EDR s'exécute sur chaque poste et voit les processus et les fichiers de cette machine. Un SIEM collecte les journaux de nombreux systèmes et les corrèle. Le NDR observe le trafic entre les équipements : il couvre donc aussi ceux qui ne peuvent pas recevoir d'agent et l'activité qui ne laisse pas de journal. Les trois sont complémentaires.

https://netsenx.com/fr/faq/what-is-the-difference-between-ndr-edr-and-siem

## Que veulent dire EDR, NDR, XDR et MDR, en termes simples ?

L'EDR surveille chaque ordinateur de l'intérieur, le NDR surveille le trafic entre les équipements, le XDR réunit plusieurs sources dans une console, et le MDR est une équipe qui surveille les alertes pour vous. L'EDR (endpoint detection and response) est un logiciel installé sur les portables et les serveurs, qui voit les processus, les fichiers et la mémoire de la machine. Le NDR (network detection and response) est un capteur qui voit comment les équipements se parlent, y compris les imprimantes, caméras et machines sur lesquelles on ne peut rien installer. Le XDR (extended detection and response) est une plateforme qui combine des signaux des postes, de la messagerie, de l'identité, du cloud et parfois du réseau. Le MDR (managed detection and response) n'est pas un logiciel mais un service : des personnes qui lisent les alertes jour et nuit et agissent. Vous croiserez aussi le SIEM (security information and event management), qui collecte les journaux. NetSenX est un NDR ; il fonctionne à côté des autres et ne les remplace pas.

https://netsenx.com/fr/faq/edr-ndr-xdr-mdr-explained-in-plain-words

## NetSenX remplace-t-il mon EDR ou mon SIEM ?

Non. NetSenX ajoute la vue réseau qui manque aux outils de poste de travail et de journalisation ; il ne remplace ni la protection des terminaux (EDR), ni l'antivirus, ni l'agrégation de journaux (SIEM), ni un service de détection managé (MDR). À partir de l'offre Business, les alertes peuvent être exportées vers le SIEM que vous utilisez déjà.

https://netsenx.com/fr/faq/does-netsenx-replace-my-edr-or-siem

## Ai-je besoin d'un NDR si j'ai déjà un EDR ?

Souvent oui, car l'EDR et le NDR échouent à des endroits différents. L'EDR (endpoint detection and response) ne voit que les machines où son agent tourne et fonctionne bien. Il ne voit ni les imprimantes, ni les caméras, ni les téléphones en Wi-Fi, ni les systèmes du bâtiment, ni les machines, ni le portable d'un prestataire, et les attaquants le désactivent souvent en premier sur la machine qu'ils prennent. Le NDR (network detection and response) observe le trafic entre les équipements : il voit donc encore un hôte compromis qui appelle un serveur externe, scanne le réseau ou fait sortir des données, quoi qu'il arrive à son agent. Si votre entreprise se résume à quelques portables avec tout dans le cloud, un EDR et de bonnes sauvegardes peuvent suffire pour l'instant. Si vous avez un réseau local avec des serveurs et des équipements sur lesquels rien ne s'installe, le NDR comble ce manque. NetSenX signale beaconing, scans, mouvements latéraux et volumes sortants inhabituels dans toutes les offres, Free comprise : vous voyez ce qu'il apporte sur votre propre réseau avant de payer.

https://netsenx.com/fr/faq/do-i-need-ndr-if-i-already-have-edr

## EDR ou NDR : que doit acheter en premier une petite entreprise ?

En général l'EDR d'abord, car protéger chaque ordinateur contre les logiciels malveillants est le besoin le plus fondamental. Un EDR (endpoint detection and response) ou un bon antivirus moderne arrête une grande partie des logiciels malveillants courants sur les portables et les serveurs, et avec l'authentification multifacteur, des mises à jour rapides et des sauvegardes hors ligne testées, il couvre les attaques que les petites entreprises subissent le plus. Le NDR (network detection and response) vient ensuite, et il remonte dans la liste si vous avez un réseau local avec des serveurs, imprimantes, caméras ou machines de production sans agent, si un contrat client ou NIS2 vous demande de détecter et de signaler les incidents, ou si vous voulez vérifier de façon indépendante que l'outil des postes n'est pas le seul témoin. Inutile de choisir à l'aveugle : l'offre Free de NetSenX couvre 3 équipements sans limite de durée, vous pouvez donc placer un agent sur un port miroir et voir ce que montre le réseau avant de dépenser.

https://netsenx.com/fr/faq/edr-or-ndr-which-should-a-small-company-buy-first

## Un antivirus suffit-il pour une petite entreprise ?

Non, pas à lui seul, même s'il est un point de départ indispensable. L'antivirus et la protection des postes arrêtent les logiciels malveillants connus sur les ordinateurs où ils tournent. Ils ne couvrent pas un mot de passe volé utilisé pour se connecter de l'extérieur, un e-mail qui pousse la comptabilité à payer une fausse facture, un équipement sur lequel aucun antivirus ne peut tourner, ni un intrus qui utilise vos propres outils d'administration, que l'antivirus considère comme légitimes. Un socle raisonnable pour une petite entreprise : authentification multifacteur sur la messagerie et l'accès à distance, mises à jour appliquées vite, protection sur chaque ordinateur, sauvegardes hors ligne ou immuables et testées, et un court plan écrit indiquant qui appeler. Ensuite, la surveillance du réseau montre ce que l'antivirus ne voit pas : un équipement qui se met soudain à parler à beaucoup d'autres, appelle un serveur externe toutes les quelques minutes ou envoie beaucoup de données la nuit. NetSenX le fait dans toutes les offres ; il ne remplace pas votre antivirus.

https://netsenx.com/fr/faq/is-antivirus-enough-for-a-small-business

## Que détecte la surveillance réseau qui échappe à l'antivirus ?

Les comportements entre machines, qu'un antivirus installé sur un seul ordinateur ne peut pas voir. Quatre schémas comptent le plus. Le beaconing : un hôte qui appelle le même serveur externe à intervalles réguliers, c'est ainsi que le logiciel d'un attaquant reçoit ses ordres (command and control, C2). Le scan : un équipement qui frappe à de nombreuses adresses ou ports pour cartographier votre réseau. Le mouvement latéral : un poste de travail qui ouvre soudain des sessions d'administration vers des serveurs qu'il n'utilisait jamais, souvent avec des outils légitimes que l'antivirus laisse passer. Le volume sortant inhabituel : beaucoup plus de données qui quittent un hôte que d'habitude, par exemple la nuit. La détection réseau couvre aussi les équipements où aucun antivirus ne peut être installé, comme les imprimantes, les caméras et les machines. NetSenX signale ces quatre schémas dans toutes les offres, Free comprise, et explique chaque alerte en langage clair. Il ne voit pas ce qui se passe dans un ordinateur sans toucher le réseau, comme l'ouverture d'un fichier malveillant : cela reste le travail de l'antivirus ou de l'EDR.

https://netsenx.com/fr/faq/what-does-network-detection-catch-that-antivirus-misses

## Quelles lacunes laisse l'EDR que seul le réseau révèle ?

Les équipements sans agent, les agents désactivés et la trace d'une attaque répartie sur plusieurs machines. L'EDR (endpoint detection and response) rend compte depuis l'intérieur de chaque ordinateur où il tourne. Il ne rend pas compte d'une imprimante, d'un enregistreur de caméras, d'un NAS, d'un automate du bâtiment, du téléphone d'un visiteur ni d'un portable non géré que quelqu'un a branché. Il ne rend pas compte d'un serveur où on l'a désinstallé ou trafiqué. Et chaque agent voit un seul hôte, si bien qu'un schéma lent qui n'a de sens qu'à l'échelle de nombreux hôtes, comme une machine qui touche des dizaines de partages de fichiers ou qui appelle discrètement l'extérieur toutes les cinq minutes, passe facilement inaperçu. Le réseau voit tout cela, parce que tout équipement doit communiquer pour nuire. NetSenX observe ce trafic et tient une carte réseau des équipements qu'il voit. Il ne voit pas l'intérieur d'un hôte : les deux outils se complètent.

https://netsenx.com/fr/faq/what-does-the-network-show-that-edr-misses

## Que se passe-t-il si des attaquants désactivent notre EDR ?

Le poste devient muet, et l'outil des postes ne peut pas signaler son propre silence : il vous faut un second témoin. Désactiver ou désinstaller la protection des postes est une étape précoce fréquente des intrus et des opérateurs de rançongiciels, grâce à des droits d'administrateur volés ou à un pilote vulnérable. À partir de là, la console peut afficher la machine hors ligne ou simplement ne plus en recevoir d'événements. Deux choses aident. D'abord, traitez un agent muet comme un incident : configurez dans la console EDR une alerte pour les agents qui ne remontent plus rien et vérifiez qui a le droit de les désinstaller. Ensuite, observez le réseau, que l'attaquant ne peut pas couper depuis cette seule machine. NetSenX continue de voir le comportement de l'hôte quoi qu'il arrive à son EDR : beaconing, scans, mouvements latéraux et envois inhabituels. Il ne voit pas l'état de l'EDR lui-même : il ne vous dira pas que l'agent s'est arrêté, mais ce que fait ensuite la machine.

https://netsenx.com/fr/faq/what-happens-if-attackers-disable-our-edr

## Comment remarquer que la protection d'un serveur est devenue muette ?

Faites du silence lui-même une alerte dans votre console de protection des postes, et gardez une vue indépendante depuis le réseau. La plupart des consoles EDR et antivirus peuvent signaler les agents qui ne se sont pas manifestés depuis un certain temps ; activez cette option, envoyez-la vers une boîte que quelqu'un lit, et décidez à l'avance de ce que vous faites quand un serveur se tait : appeler son responsable, vérifier s'il s'agit d'une réinstallation prévue et regarder ce que la machine a fait sur le réseau. Comparez chaque mois la liste des machines qui devraient avoir un agent avec celles qui en ont un. Réservez le droit de désinstaller ou de suspendre l'agent à quelques comptes nominatifs protégés par authentification multifacteur. La vue réseau est le second témoin : NetSenX ne lit pas l'état de votre EDR, mais il continue de signaler le serveur s'il se met au beaconing, aux scans, aux mouvements latéraux ou à des envois inhabituels ; un agent muet ne signifie donc pas une attaque silencieuse.

https://netsenx.com/fr/faq/how-to-notice-when-endpoint-protection-goes-silent

## Qu'est-ce que le XDR, et est-ce la même chose que le NDR ?

Non. Le XDR (extended detection and response) est une plateforme qui réunit les signaux de plusieurs sources dans une seule console, tandis que le NDR (network detection and response) est l'une de ces sources possibles. La plupart des produits XDR sont construits autour d'un agent sur les postes et ajoutent les journaux de messagerie, d'identité et du cloud ; certains intègrent des données réseau, d'autres non. Cela compte pour les équipements qui ne peuvent pas recevoir d'agent, comme les imprimantes, les caméras, les systèmes du bâtiment, les machines et les appliances : un XDR fondé uniquement sur les postes ne les voit pas tant qu'aucune donnée réseau ne l'alimente. Avant d'acheter, demandez quelles sources le XDR ingère réellement dans votre licence, pas dans la brochure. NetSenX est un NDR : il observe le trafic entre les équipements et signale le beaconing, les scans, les mouvements latéraux et les volumes sortants inhabituels dans toutes les offres, Free comprise. Il ne remplace ni un EDR ni une plateforme XDR, et dès l'offre Business ses alertes peuvent être exportées vers le SIEM ou le XDR que vous utilisez déjà.

https://netsenx.com/fr/faq/what-is-xdr-and-is-it-the-same-as-ndr

## Qu'est-ce que le MDR, et en avons-nous besoin ?

Le MDR (managed detection and response) est un service dans lequel une équipe externe surveille vos alertes de sécurité jour et nuit et réagit à votre place ; il vous faut un tel service si personne dans votre entreprise ne peut réagir à une alerte la nuit ou le week-end. C'est un service, pas un outil : le prestataire s'appuie toujours sur des capteurs comme l'EDR (endpoint detection and response) installé sur vos postes, et parfois sur des données réseau. Avant de signer, vérifiez ce que le prestataire fait vraiment à 3 heures du matin. Isole-t-il une machine ou envoie-t-il seulement un e-mail ? Quels capteurs sont inclus, et à qui appartiennent les données si vous partez ? Quel délai de réaction s'engage-t-il à tenir, par écrit ? Beaucoup de petites entreprises combinent plutôt une détection automatique avec une astreinte de leur prestataire informatique. NetSenX est un logiciel, pas un MDR : il détecte et explique les alertes à toute heure, et ces alertes vont à votre équipe ou à votre prestataire, qui décident de la suite.

https://netsenx.com/fr/faq/what-is-mdr-and-do-we-need-it

## Quelle est la différence entre MDR et EDR ?

L'EDR est un logiciel, le MDR est un service assuré par des personnes. L'EDR (endpoint detection and response) s'installe sur vos ordinateurs et serveurs ; il surveille les processus et les fichiers, lève des alertes et permet à un administrateur d'isoler une machine. Il faut toujours quelqu'un pour lire ces alertes et décider. Le MDR (managed detection and response) est un prestataire dont les analystes lisent les alertes à votre place, jour et nuit, et réagissent dans un délai convenu. La plupart des services MDR apportent ou exigent leur propre EDR, et certains prennent aussi des données réseau ou cloud. La vraie question n'est donc pas EDR ou MDR, mais qui lit les alertes la nuit. Si vous avez du personnel ou un prestataire d'astreinte, un EDR et une détection réseau peuvent suffire. Si personne ne peut réagir en dehors des heures de bureau, un service managé comble ce manque. NetSenX est un logiciel de détection, pas un MDR : il explique chaque alerte pour que votre équipe ou votre prestataire puisse agir.

https://netsenx.com/fr/faq/what-is-the-difference-between-mdr-and-edr

## Comment choisir un prestataire MDR pour une petite entreprise ?

Choisissez d'après ce qui se passe à 3 heures du matin, par écrit, et non d'après la brochure. Posez cinq questions à chaque prestataire. Que faites-vous exactement quand vous voyez une attaque : nous appeler, isoler la machine, réinitialiser des comptes, ou seulement ouvrir un ticket ? Quel délai de réaction le contrat engage-t-il, et comment est-il mesuré ? Quels capteurs sont inclus : uniquement les postes, ou aussi le réseau, la messagerie, l'identité et le cloud ? Où se trouvent nos données et vos analystes, et quels sous-traitants utilisez-vous ? Que gardons-nous si nous partons ? Demandez un exemple de rapport d'incident et un client de référence de votre taille. Vérifiez que le modèle de prix vous convient : par poste, par utilisateur ou par site. Un capteur réseau peut fonctionner à côté d'un service MDR : les alertes NetSenX partent par e-mail dans toutes les offres, par Slack ou webhook dès l'offre Pro et vers un SIEM dès l'offre Business, ce qui permet à un prestataire de les recevoir.

https://netsenx.com/fr/faq/how-to-choose-an-mdr-provider-for-a-small-company

## Faut-il externaliser le SOC ou en construire un ?

La plupart des entreprises de moins de quelques centaines de personnes l'externalisent ou se passent d'un SOC complet, car une couverture jour et nuit demande plusieurs personnes formées, pas une seule. Un SOC (security operations centre) est une équipe qui surveille les alertes et réagit, souvent en continu. En construire un, c'est recruter et garder des analystes pour les nuits et les week-ends, acheter et régler des outils, et écrire des procédures ; pour une entreprise de taille moyenne, c'est un coût fixe élevé. L'externaliser auprès d'un prestataire MDR ou MSSP le transforme en contrat, mais il vous faut toujours quelqu'un en interne qui connaît l'activité et décide. Une voie intermédiaire convient à beaucoup : une détection automatique qui tourne à toute heure, des alertes assez bien expliquées pour un généraliste, une astreinte avec votre prestataire informatique et un cabinet de réponse aux incidents sous contrat. NetSenX s'inscrit dans cette voie comme logiciel de détection ; ce n'est pas un SOC, et personne chez NetSenX ne surveille vos alertes à votre place.

https://netsenx.com/fr/faq/should-we-outsource-the-soc-or-build-one

## Avons-nous besoin d'un SOC avec un seul administrateur informatique ?

Non, mais il vous faut un plan pour les heures où cet administrateur n'est pas là. Un SOC (security operations centre) est une équipe qui surveille les alertes en continu ; une entreprise avec un seul administrateur ne peut pas en constituer un et n'en a généralement pas besoin. Ce qu'il lui faut est plus restreint : une détection qui tourne seule, des alertes assez courtes et claires pour agir, une deuxième personne qui les reçoit quand l'administrateur est absent, et le numéro d'un cabinet de réponse aux incidents. Écrivez qui décide de débrancher une machine ou la ligne internet en cas d'urgence. Gardez les bases : authentification multifacteur, mises à jour, protection des postes et sauvegardes hors ligne. NetSenX a été conçu pour cette situation : un agent sur un port miroir surveille tout un segment, chaque alerte est expliquée en langage clair, et les alertes partent par e-mail dans toutes les offres, donc aussi vers un suppléant ou votre prestataire informatique.

https://netsenx.com/fr/faq/do-we-need-a-soc-with-only-one-it-administrator

## Une petite équipe informatique peut-elle exploiter la détection réseau sans SOC ?

Oui, si l'outil demande quelques minutes par jour et non un analyste dédié. Ce qui fait la différence, ce sont des alertes moins nombreuses et plus claires, et une routine. Décidez qui lit les alertes chaque matin, qui remplace pendant les congés et ce qui est assez urgent pour appeler quelqu'un la nuit. Rédigez une note de réponse d'une page : comment isoler un ordinateur, qui peut réinitialiser les comptes, quel prestataire appeler. Revoyez une fois par mois les alertes clôturées pour repérer ce qui était normal et devrait être marqué comme tel. Choisissez un outil qui explique ses alertes, car un simple nom de règle ou un score renvoie le généraliste aux journaux bruts. NetSenX explique chaque alerte en langage clair dans toutes les offres et vous permet de marquer les faux positifs. Il ne supprime pas le besoin d'une personne : enquêter sur un incident et le contenir reste l'affaire de votre équipe, de votre prestataire ou d'un cabinet de réponse aux incidents.

https://netsenx.com/fr/faq/can-a-small-it-team-run-network-detection-without-a-soc

## Pourquoi les entreprises utilisent-elles un SIEM ?

Pour garder les journaux de nombreux systèmes au même endroit, les interroger et relier les événements entre eux. Un SIEM (security information and event management) collecte les journaux des pare-feu, serveurs, annuaires, VPN et services cloud, les conserve pendant une durée définie et exécute des recherches de combinaisons suspectes, par exemple un échec de connexion au VPN suivi d'une connexion réussie depuis un autre pays. Les entreprises l'utilisent pour trois raisons : la détection, l'enquête après coup, et des preuves pour les auditeurs et régulateurs qui attendent une conservation centralisée des journaux. Sa faiblesse, c'est l'effort : quelqu'un doit choisir les sources, écrire et régler les recherches et lire les résultats, sinon le SIEM devient une archive coûteuse. Un SIEM ne voit que ce que les systèmes journalisent ; il ne voit pas le trafic qui ne laisse aucune trace. La détection réseau couvre cette partie, et NetSenX peut exporter ses alertes vers votre SIEM dès l'offre Business.

https://netsenx.com/fr/faq/why-do-companies-use-a-siem

## Une petite entreprise a-t-elle vraiment besoin d'un SIEM ?

En général pas en première étape, sauf si un client, un auditeur ou un régulateur exige explicitement une conservation centralisée des journaux. Un SIEM (security information and event management) rentabilise son coût quand quelqu'un a le temps de brancher les sources, d'écrire les recherches et de lire les résultats. Une petite entreprise obtient souvent plus de protection, plus vite, avec l'authentification multifacteur, la protection des postes, des sauvegardes hors ligne et une détection qui fonctionne sans ingénierie des journaux. Conservez dans tous les cas les journaux qui comptent le plus pour une enquête : connexions à la messagerie et à l'accès à distance, journaux du pare-feu et du VPN, journaux de sécurité des serveurs, stockés là où un attaquant ne peut pas facilement les effacer, avec l'heure exacte sur chaque équipement. Beaucoup de services cloud conservent les journaux de connexion pour vous si vous l'activez. NetSenX tient un journal d'audit dans toutes les offres et un historique d'alertes selon l'offre, et si vous ajoutez plus tard un SIEM, les alertes peuvent y être exportées dès l'offre Business.

https://netsenx.com/fr/faq/does-a-small-business-need-a-siem

## Ai-je besoin d'un SIEM si j'ai un NDR ?

Pas nécessairement : beaucoup de petites et moyennes entreprises tirent davantage d'un NDR et d'une bonne protection des postes que d'un SIEM que personne n'a le temps de régler. Un SIEM (security information and event management) collecte et corrèle les journaux de nombreux systèmes : pare-feu, serveurs, annuaires, services cloud. Il est puissant quand quelqu'un écrit et entretient ses recherches, et lourd quand personne ne le fait. Le NDR (network detection and response) fournit des détections issues du trafic réseau, sans ingénierie des journaux. Les deux répondent à des questions différentes : le SIEM dit qui s'est connecté où, le NDR dit ce que les équipements ont fait sur le réseau. Un SIEM peut malgré tout être nécessaire si un auditeur, un contrat client ou un régulateur attend une conservation centralisée des journaux, ou dès que vous avez du personnel pour l'exploiter. Si vous en avez déjà un, les alertes NDR peuvent l'alimenter : NetSenX propose l'export SIEM dès l'offre Business, si bien que les détections réseau arrivent dans le SIEM déjà expliquées.

https://netsenx.com/fr/faq/do-i-need-a-siem-if-i-have-ndr

## La détection réseau peut-elle alimenter notre SIEM en alertes ?

Oui, la plupart des outils de détection réseau le permettent, et c'est généralement mieux que d'envoyer des journaux réseau bruts. Un SIEM (security information and event management) qui reçoit des alertes réseau expliquées gagne une vue qui lui manque, sans le coût de stockage ni le bruit de chaque enregistrement de connexion. Avant de brancher, décidez quels niveaux d'alerte vont au SIEM, qui les lit là-bas et comment les deux outils partagent un nom d'hôte ou une adresse, pour pouvoir rapprocher les alertes des événements des journaux. Avec NetSenX, l'export SIEM est inclus dès l'offre Business. Dans l'offre Pro, les alertes peuvent aussi sortir par l'API, Slack ou un webhook, et dans toutes les offres elles sont envoyées par e-mail et conservées dans le tableau de bord pendant la durée d'historique de votre offre. L'export ne change rien à ce que voit NetSenX : cela reste du comportement réseau, jamais le contenu des sessions chiffrées.

https://netsenx.com/fr/faq/can-network-detection-feed-alerts-into-our-siem

## En quoi NetSenX diffère-t-il d'un IDS à signatures ?

Un IDS à signatures compare le trafic à des modèles d'attaque connus ; NetSenX évalue le comportement de chaque hôte, si bien qu'une nouvelle variante de logiciel malveillant sans signature laisse quand même une trace. Chaque alerte indique en langage clair les caractéristiques réseau qui ont déterminé son score (valeurs SHAP). NetSenX fonctionne aux côtés de votre IDS, EDR et SIEM — il ne les remplace pas.

https://netsenx.com/fr/faq/how-is-netsenx-different-from-a-signature-based-ids

## Quelle est la différence entre un NDR et un IDS ou un IPS ?

Un IDS ou un IPS compare le trafic à des schémas d'attaque connus ; le NDR regarde comment chaque équipement se comporte dans le temps. Un IDS (intrusion detection system) lève une alerte quand le trafic correspond à une signature, par exemple un exploit ou un logiciel malveillant connu. Un IPS (intrusion prevention system) fait de même et peut rejeter le trafic correspondant, le plus souvent au sein d'un pare-feu. Tous deux sont bons face aux menaces connues et plus faibles quand un attaquant utilise des outils légitimes ou une nouvelle variante sans signature. Le NDR (network detection and response) apprend ce qui est normal pour chaque hôte et signale les écarts : nouveaux interlocuteurs, appels réguliers vers l'extérieur, scans, volumes inhabituels. Beaucoup d'entreprises utilisent les deux. NetSenX est un NDR : il évalue le comportement des hôtes, explique chaque alerte en langage clair et ne rejette ni ne bloque le trafic, si bien qu'il peut fonctionner à côté de l'IPS de votre pare-feu sans modifier le chemin réseau.

https://netsenx.com/fr/faq/what-is-the-difference-between-ndr-and-an-ids-or-ips

## Quelle est la différence entre un NDR et un pare-feu ?

Un pare-feu décide quelles connexions sont autorisées ; le NDR observe ce qui se passe dans les connexions qui ont été autorisées. Un pare-feu se trouve en bordure du réseau, ou entre des segments, et applique des règles : telle adresse peut joindre tel serveur sur tel port, tout le reste est refusé. Il est indispensable, mais un attaquant qui entre par un e-mail d'hameçonnage ou un mot de passe volé utilise des connexions que le pare-feu autorise, et la plupart des pare-feu ne voient même pas le trafic entre équipements d'un même segment. Le NDR (network detection and response) reçoit une copie du trafic et cherche des comportements : un poste qui parle soudain à de nombreux serveurs, un hôte qui appelle une adresse externe toutes les quelques minutes, des données qui sortent la nuit. Il vous faut les deux. NetSenX ne filtre ni ne bloque rien ; il alerte et explique, et c'est vous ou votre pare-feu qui agissez.

https://netsenx.com/fr/faq/what-is-the-difference-between-ndr-and-a-firewall

## Quelle différence entre NDR, analyse du trafic réseau et supervision NetFlow ?

La supervision NetFlow enregistre qui a parlé à qui, l'analyse du trafic étudie ces enregistrements, et le NDR ajoute la détection et la réponse par-dessus. NetFlow et les formats proches sont des résumés que routeurs et commutateurs exportent pour chaque connexion : adresses, ports, heure de début, octets et paquets. Les outils de supervision en tirent des graphiques de bande passante et des listes des plus gros émetteurs, utiles pour la capacité et le dépannage, mais le jugement de sécurité vous reste. L'analyse du trafic réseau (network traffic analysis, NTA) était l'ancien nom des outils qui examinaient le trafic sous l'angle de la sécurité. Le NDR (network detection and response) est le nom actuel : il apprend ce qui est normal pour chaque hôte, lève des alertes sur les comportements d'attaquant et appuie la réponse avec des éléments de preuve. Les seuls résumés de flux manquent des détails comme les réponses DNS ou la négociation TLS. NetSenX lit sa propre copie du trafic depuis un agent ou un port miroir, plutôt que de dépendre uniquement d'enregistrements de flux exportés.

https://netsenx.com/fr/faq/ndr-vs-network-traffic-analysis-vs-netflow-monitoring

## La détection fondée sur l'IA est-elle meilleure que les signatures ?

Aucune n'est meilleure seule : les signatures sont précises face aux menaces connues, les méthodes comportementales repèrent ce qui n'a pas encore de signature, et les bons outils combinent les deux. Une signature reconnaît quelque chose de déjà connu, comme l'empreinte d'un logiciel malveillant ou une chaîne d'exploit ; elle déclenche donc rarement de fausse alerte mais rate les nouvelles variantes et les attaquants qui utilisent vos propres outils d'administration. La détection comportementale ou par apprentissage automatique compare l'activité à ce qui est normal et peut voir un nouvel outil qui appelle son serveur, mais elle a besoin de temps pour apprendre votre réseau et doit s'expliquer, sinon chaque alerte devient une énigme. Méfiez-vous de l'étiquette : demandez au fournisseur ce que le modèle regarde vraiment, comment il réduit les faux positifs sur vos données et si chaque alerte dit pourquoi elle s'est déclenchée. NetSenX évalue le comportement des hôtes et explique chaque alerte en langage clair. Il n'annonce pas de taux de faux positifs qu'il ne peut pas étayer avec vos propres données.

https://netsenx.com/fr/faq/is-ai-based-detection-better-than-signatures

## Surveillance réseau par agent ou par SPAN/TAP : laquelle choisir ?

Un port miroir ou un TAP convient généralement mieux pour tout un segment de bureau, et les agents pour des serveurs précis ou des endroits où l'on ne peut pas copier le trafic. Avec le SPAN (un réglage du commutateur qui copie le trafic vers un port) ou un TAP (un petit boîtier qui copie le trafic d'un câble), un seul capteur voit chaque équipement du segment, y compris imprimantes, caméras et machines, sans rien y installer. Il faut un commutateur administrable ou un TAP, et seuls les segments copiés sont visibles. Un agent sur un hôte voit le trafic propre à cet hôte, où qu'il se trouve, y compris des serveurs dans un centre de données ou dans le cloud où rien ne peut être copié. Beaucoup d'entreprises combinent les deux. NetSenX prend en charge les deux : un agent sur un port SPAN ou TAP compte comme un seul équipement pour tout le segment, et les agents tournent sous Linux et macOS. L'empreinte TLS nécessite la capture de paquets, que le mode de base sous macOS n'effectue pas.

https://netsenx.com/fr/faq/agent-based-or-span-tap-based-network-monitoring

## Le NDR fonctionne-t-il sur le trafic chiffré ?

Oui, dans certaines limites. Le rythme, le volume, les destinations et la poignée de main TLS restent visibles sans déchiffrement, et ils suffisent à repérer un beaconing, un balayage ou des envois inhabituels. Sans déchiffrement, aucun NDR ne peut lire le contenu d'une session. NetSenX ne déchiffre jamais.

https://netsenx.com/fr/faq/does-ndr-work-on-encrypted-traffic

## Le NDR voit-il le trafic vers le cloud et les services SaaS ?

En partie : il voit les connexions de vos équipements vers les services cloud et SaaS, pas ce qui se passe à l'intérieur de ces services. Depuis le réseau du bureau, le NDR (network detection and response) voit quels hôtes se connectent à quels fournisseurs cloud, à quelle fréquence et avec quel volume ; un serveur qui envoie de nuit une grosse archive vers un compte de stockage inconnu ressort donc. Il ne voit pas l'activité au sein de l'application SaaS elle-même : une règle de boîte aux lettres créée dans votre messagerie, un fichier partagé publiquement depuis un espace cloud ou une connexion avec un mot de passe volé depuis un autre pays. Tout cela figure dans les journaux d'audit et de connexion du fournisseur, à activer et à consulter. Le trafic des portables à domicile qui ne passe jamais par votre réseau reste aussi hors de vue, sauf si un agent y tourne. NetSenX affiche dans toutes les offres les destinations cloud dans une file de revue sur la carte réseau, et les volumes sortants inhabituels sous forme d'alerte.

https://netsenx.com/fr/faq/can-ndr-see-cloud-and-saas-traffic

## Un NDR peut-il bloquer les attaques ou seulement alerter ?

Cela dépend du produit ; NetSenX alerte et recommande, et ne bloque pas le trafic de lui-même. Certains produits NDR se placent sur le chemin du trafic ou s'intègrent aux pare-feu pour couper automatiquement des connexions. Cela peut arrêter une attaque, mais aussi votre chaîne de production sur une fausse alerte, c'est pourquoi le blocage automatique est souvent réservé à des cas étroits et bien testés. Un capteur sur un port miroir, mode de déploiement de la plupart des NDR, ne reçoit qu'une copie du trafic et ne peut rien bloquer lui-même ; la réponse passe par votre pare-feu, votre commutateur, votre outil des postes ou une personne. NetSenX explique chaque alerte, propose des actions de réponse manuelles dès l'offre Starter et des recommandations de réponse automatiques dès l'offre Pro, et ne bloque jamais le trafic de lui-même. Décider d'isoler une machine, de bloquer une adresse ou de réinitialiser des comptes reste à votre équipe, et c'est aussi pourquoi chaque action est conservée dans le journal d'audit.

https://netsenx.com/fr/faq/can-ndr-block-attacks-or-only-alert

## Comment établir un inventaire des équipements à partir du trafic réseau ?

Observez le réseau pendant un certain temps et notez chaque équipement qui émet du trafic, avec le nom qu'il annonce, son adresse et ses interlocuteurs. Les équipements se révèlent quand ils demandent une adresse (DHCP), résolvent des noms (DNS), s'annoncent sur le réseau local ou se connectent à des serveurs. Un capteur sur un port miroir collecte cela passivement, sans rien scanner, ce qui compte pour des équipements fragiles comme les imprimantes, les caméras et les machines. Comparez le résultat à la liste que vous pensez avoir : équipements inconnus, serveurs oubliés et matériel personnel apparaissent en général dès les premiers jours. Attribuez ensuite un responsable à chaque équipement et décidez s'il a sa place. NetSenX tient une carte réseau dans toutes les offres, Free comprise : les équipements vus sur le LAN, les noms qu'ils annoncent, leur première et dernière apparition, et qui parle à qui. Il ne voit que les segments surveillés, et un équipement qui n'émet jamais de trafic n'apparaît pas.

https://netsenx.com/fr/faq/how-to-build-an-asset-inventory-from-network-traffic

## Une carte réseau montre-t-elle les équipements qui n'émettent jamais de trafic ?

Non. Une carte réseau passive ne connaît que les équipements qui émettent quelque chose sur un segment surveillé ; un équipement totalement silencieux reste invisible. En pratique, très peu d'équipements sont entièrement muets : la plupart demandent une adresse, résolvent des noms, cherchent des mises à jour ou répondent de temps en temps sur le réseau, et apparaissent donc en quelques heures ou quelques jours. Ceux qui n'apparaissent pas sont en général éteints, débranchés, sur un segment que vous ne copiez pas ou délibérément discrets. Pour combler ce manque, comparez la carte avec d'autres sources : la table des ports du commutateur, les baux du serveur DHCP, vos achats et une visite des locaux. Un scan actif trouve les équipements silencieux qui répondent quand on les interroge, mais utilisez-le avec prudence sur les imprimantes et le matériel industriel. NetSenX construit sa carte réseau de façon passive dans toutes les offres et n'interroge jamais les équipements : c'est sans risque pour le matériel fragile, et cela signifie qu'un équipement silencieux n'est pas sur la carte.

https://netsenx.com/fr/faq/does-a-network-map-show-devices-that-never-send-traffic

## Le NDR vaut-il la peine pour une PME ou une ETI ?

Les petites équipes ont rarement le temps de lire chaque jour les journaux du pare-feu et du DNS, et les attaquants qui utilisent des outils d'administration légitimes laissent peu de traces ailleurs. Le NDR observe le trafic en continu et signale ce qui s'écarte de la normale. NetSenX propose une offre Free : une équipe peut l'essayer sur son propre réseau avant de payer.

https://netsenx.com/fr/faq/is-ndr-worth-it-for-a-small-or-mid-sized-company

## Quelles questions poser pour évaluer un produit NDR ?

Demandez comment il est facturé, ce qu'il exige de vous, ce qu'il ne voit pas et comment il justifie une alerte, puis testez-le sur votre propre réseau. Prix : est-il publié, et quelle est l'unité, un équipement, un capteur ou un gigabit ? Déploiement : faut-il du matériel sur chaque site, ou un capteur sur un port miroir couvre-t-il un segment ? Visibilité : quels segments, le trafic chiffré, le cloud et les portables à distance ; demandez au fournisseur de dire clairement ce qui reste hors de vue. Alertes : chacune explique-t-elle pourquoi elle s'est déclenchée, avec des mots que votre équipe comprend ? Faux positifs : comment le taux est-il mesuré, et sur quelles données ? Données : où sont-elles stockées, qui sont les sous-traitants, que récupérez-vous en partant ? Réponse : bloque-t-il, ou alerte-t-il seulement ? Faites-le ensuite tourner quelques semaines sur du trafic réel. NetSenX publie ses prix et propose une offre Free sans limite de durée pour ce test.

https://netsenx.com/fr/faq/what-to-ask-when-evaluating-an-ndr-product

## Comment vérifier que notre détection réseau fonctionne vraiment ?

Produisez, sur un hôte de test qui vous appartient, des versions inoffensives des comportements qu'elle doit repérer, et regardez quelles alertes apparaissent et en combien de temps. Commencez simplement et prévenez toute personne susceptible de réagir. Un scan de ports lancé depuis un portable de réserve contre votre propre sous-réseau devrait être signalé. Un script qui appelle le même serveur de test externe toutes les quelques minutes pendant une heure imite le beaconing. Copier de nuit une grosse archive d'un serveur de test vers un compte de stockage externe imite un vol de données. Notez ce que vous avez fait, quand, et ce que l'outil a remonté, puis relisez le texte de l'alerte : un collègue saurait-il quoi faire ? Recommencez après chaque changement important du réseau ou de l'outil. La simulation de brèche et d'attaque (breach and attack simulation, BAS) automatise ces tests. NetSenX inclut la BAS dès l'offre Business ; dans toutes les offres, vous pouvez mener ces tests à la main face aux détections qu'il remonte.

https://netsenx.com/fr/faq/how-to-test-that-network-detection-actually-works

## Qu'est-ce que la simulation de brèche et d'attaque, et une entreprise moyenne en a-t-elle besoin ?

La simulation de brèche et d'attaque (breach and attack simulation, BAS) est un logiciel qui imite sans danger le comportement d'un attaquant sur votre réseau, pour vérifier si vos outils de sécurité le remarquent. Au lieu d'attendre une vraie attaque ou le test d'intrusion annuel, elle déroule des scénarios contrôlés, comme un scan, un appel vers un serveur de test ou un transfert de données simulé, et note ceux que vos outils ont détectés. Une entreprise de taille moyenne en tire le plus de bénéfices quand elle doit montrer à des auditeurs ou à des clients que la détection fonctionne, et pas seulement qu'elle est installée, ou après avoir modifié son réseau ou ses outils. Si vous n'avez encore aucun outil de détection, achetez d'abord la détection : une simulation que personne ne détecte ne prouve que cela. Un test d'intrusion mené par des personnes trouve toujours des choses que la BAS ne voit pas, comme des mots de passe faibles ou des erreurs de configuration. NetSenX inclut la simulation de brèche et d'attaque dès l'offre Business, pour tester ses propres détections.

https://netsenx.com/fr/faq/what-is-breach-and-attack-simulation

## À quelle fréquence tester notre détection avec des attaques simulées ?

Faites un petit test après chaque changement important, un test plus complet au moins une fois par trimestre, et un autre avant un audit. La détection se casse sans bruit : on remplace un commutateur sans reconfigurer le port miroir, un agent s'arrête après une mise à jour, un nouveau segment apparaît que personne ne surveille. Un court test après chaque changement le révèle. Une série trimestrielle des principaux scénarios, comme le scan, le beaconing, le mouvement latéral et un gros transfert sortant, montre si quelque chose a dérivé, et vous donne des preuves datées pour les auditeurs, les assureurs et les clients. Tenez un registre simple : date, scénario, alerte attendue, alerte obtenue, délai, suites données. Prévenez votre équipe et vos prestataires avant le test, pour que personne n'isole une machine par erreur. NetSenX inclut la simulation de brèche et d'attaque dès l'offre Business ; dans les autres offres, vous pouvez dérouler les mêmes scénarios à la main.

https://netsenx.com/fr/faq/how-often-should-we-test-detection-with-simulated-attacks

FAQ: https://netsenx.com/fr/faq