Un ordinateur qui lance soudainement PowerShell, contacte une adresse inhabituelle ou chiffre des fichiers ne doit pas être traité comme une simple alerte antivirus. Je présente ici le fonctionnement de l’EDR de Microsoft, ses capacités de détection et de réponse, les différences entre les plans disponibles, les coûts indicatifs en France et les précautions à prendre avant le déploiement.
Une protection qui observe, comprend et contient les attaques
- L’EDR analyse les comportements des terminaux et reconstitue le scénario d’une attaque.
- Le Plan 1 renforce surtout la prévention et les actions manuelles.
- Le Plan 2 ajoute la chasse avancée, les investigations automatisées et une réponse plus complète.
- Defender for Business cible les organisations jusqu’à 300 utilisateurs, avec un tarif public de 2,60 € HT par utilisateur et par mois en paiement annuel.
- Une licence ne remplace pas un processus de supervision, de gestion des accès et de réponse aux incidents.
Ce que recouvre l’EDR de Microsoft
L’EDR, pour Endpoint Detection and Response, désigne une technologie de détection et de réponse sur les terminaux. Elle ne se contente pas de comparer un fichier avec une base de signatures. Elle observe les processus, les connexions réseau, les scripts, les ouvertures de session et les changements de configuration afin de repérer une séquence suspecte.
La différence avec un antivirus classique est importante. Un antivirus cherche principalement à bloquer une menace connue ou manifestement dangereuse. Un EDR conserve davantage de contexte, ce qui aide à comprendre comment l’attaque a commencé, quels appareils sont concernés et quelles actions ont été menées.
Dans l’environnement Microsoft, cette protection s’intègre au portail Defender. Les alertes provenant des postes Windows, des serveurs et, selon les capacités disponibles, des appareils macOS, Linux, Android et iOS peuvent être regroupées pour former une vision plus cohérente de l’incident.
Je considère cette corrélation comme l’un des vrais atouts de la solution. Une alerte isolée est parfois ambiguë. En revanche, la succession d’un courriel piégé, d’une connexion inhabituelle, de l’exécution d’un script et d’un mouvement latéral raconte souvent une histoire beaucoup plus claire.
Comment la détection et la réponse fonctionnent sur le terrain
Des signaux transformés en incident
La plateforme collecte des données issues des terminaux et applique des règles comportementales, de l’analyse cloud et des modèles de détection. Elle peut ainsi signaler une utilisation anormale de PowerShell, une tentative de désactivation des protections, l’exploitation d’une vulnérabilité ou un comportement typique d’un rançongiciel.
Les alertes liées sont regroupées dans un incident. L’analyste dispose alors d’une chronologie, d’un graphe d’attaque, des appareils touchés, des utilisateurs impliqués et des éléments de preuve. Cette présentation réduit le temps passé à assembler manuellement des informations dispersées.
Lire aussi : Audit organisationnel de sécurité - Comment piloter vos risques SI ?
Des actions de confinement rapides
Lorsqu’un terminal est compromis, l’équipe peut notamment lancer une analyse antivirus, isoler l’appareil du réseau, restreindre l’exécution d’une application, collecter un dossier d’investigation ou ouvrir une session de réponse à distance. L’isolation ne signifie pas forcément couper toute communication. Elle vise généralement à empêcher les échanges dangereux tout en maintenant le canal nécessaire à l’administration.
Le Plan 2 permet d’aller plus loin avec la réponse en direct. Un analyste autorisé peut examiner certains éléments, exécuter des commandes, récupérer des fichiers suspects ou appliquer une correction. Cette fonction est puissante, mais elle doit être encadrée par des rôles RBAC, des journaux d’audit et des procédures d’escalade.
Le fonctionnement des investigations automatisées évolue aussi en 2026. Microsoft intègre davantage ces flux au traitement global des incidents, plutôt que de les présenter comme une expérience totalement séparée. Je recommande donc de documenter les objectifs et les autorisations, sans figer une procédure autour du nom exact d’un bouton dans le portail.
Quel plan choisir selon votre organisation
Le choix ne se résume pas à prendre l’offre qui contient le plus de fonctionnalités. Il dépend du nombre d’utilisateurs, du type de terminaux, du niveau de supervision disponible et de la présence éventuelle d’une licence Microsoft 365 existante.
| Offre | Ce qu’elle apporte | Pour quel usage | Repère tarifaire |
|---|---|---|---|
| Defender for Endpoint Plan 1 | Protection nouvelle génération, réduction de la surface d’attaque, gestion centralisée et actions manuelles. | Organisations qui veulent renforcer la prévention sans mettre en place un dispositif EDR avancé. | Souvent inclus dans certaines licences Microsoft 365 E3. |
| Defender for Endpoint Plan 2 | EDR avancé, investigations automatisées, chasse aux menaces, gestion des vulnérabilités et réponse enrichie. | Entreprises disposant d’une équipe informatique structurée ou d’un SOC. | Tarif dépendant de l’abonnement et du contrat Microsoft. |
| Defender for Business | Protection endpoint, EDR, correction automatisée, gestion des vulnérabilités et administration simplifiée. | PME jusqu’à 300 utilisateurs, avec une équipe IT réduite. | 2,60 € HT par utilisateur et par mois, paiement annuel, selon le tarif public consulté en France en 2026. |
| Microsoft 365 Business Premium | Defender for Business, Intune, Entra ID, protection des données et outils Microsoft 365. | PME qui souhaitent réunir productivité, gestion des appareils et sécurité. | 19,06 € HT par utilisateur et par mois, paiement annuel, selon le tarif public 2026. |
| Microsoft 365 E5 | Inclut notamment Defender for Endpoint Plan 2 avec des fonctions avancées de sécurité et de détection étendue. | Organisations ayant des exigences élevées de supervision, de conformité et de corrélation. | 58,13 € HT par utilisateur et par mois, paiement annuel, selon le tarif public 2026. |
Une licence utilisateur peut couvrir jusqu’à 5 appareils, tandis que les serveurs nécessitent une licence distincte. C’est un point souvent oublié dans les estimations budgétaires. Pour une PME, Defender for Business est généralement le point de départ le plus lisible. Pour une entreprise déjà équipée de Microsoft 365 E3, il faut comparer le coût réel d’une extension de sécurité avec celui d’une migration vers une suite plus complète.
Les prix peuvent changer selon le canal d’achat, le pays, le contrat en cours et les remises négociées. Je conseille de calculer le coût sur trois ans en incluant les serveurs, les appareils partagés, l’accompagnement et le temps consacré au traitement des alertes.
Déployer la solution sans créer une usine à alertes
Un déploiement réussi commence par un périmètre clair. Avant d’installer l’agent, il faut recenser les postes, les serveurs, les systèmes d’exploitation, les appareils personnels autorisés et les équipements qui contiennent des données sensibles.
- Lancer un pilote sur 10 à 20 appareils représentatifs, avec des profils administratifs, nomades et bureautiques.
- Vérifier les licences utilisateur par utilisateur et traiter séparément les serveurs.
- Définir les rôles afin que seuls les profils habilités puissent isoler un appareil ou exécuter une commande à distance.
- Configurer les règles de réduction de la surface d’attaque progressivement, en mode audit avant le blocage lorsque l’impact métier est incertain.
- Tester les scénarios de réponse avec un faux fichier malveillant, une isolation contrôlée et une procédure de retour à la normale.
- Former les personnes concernées à la lecture d’un incident, à la qualification d’une fausse alerte et à l’escalade vers un prestataire ou un SOC.
Les exclusions méritent une attention particulière. Ajouter trop de chemins ou de processus aux exclusions peut réduire fortement la visibilité de l’EDR. Je préfère une exclusion temporaire, documentée et réévaluée après test plutôt qu’une liste permanente héritée d’une ancienne configuration antivirus.
La gestion par Intune peut simplifier l’intégration des appareils et l’application des politiques. Les entreprises qui utilisent déjà un autre outil de gestion doivent toutefois tester la coexistence des stratégies afin d’éviter deux règles contradictoires sur le pare-feu, l’antivirus ou le contrôle des applications.
Les limites à connaître avant de prendre une décision
Un EDR n’est pas un SOC. Il fournit de la visibilité et des moyens d’action, mais quelqu’un doit encore examiner les alertes, décider du niveau de gravité et vérifier la remédiation. Une petite structure sans permanence informatique peut avoir intérêt à associer la solution à un service MDR ou à un prestataire spécialisé.
La couverture n’est pas identique sur toutes les plateformes. Les fonctions les plus riches sont généralement disponibles sur Windows, tandis que certaines règles ou actions peuvent différer sur macOS, Linux, Android et iOS. Les appareils non gérés restent aussi un angle mort potentiel, d’où l’intérêt de l’inventaire et de la découverte réseau.
Il faut également distinguer EDR et SIEM. L’EDR se concentre sur les terminaux et leurs signaux de sécurité. Un SIEM comme Microsoft Sentinel sert plutôt à centraliser et corréler des données provenant de nombreuses sources, avec des règles de détection et de conservation adaptées aux besoins de l’organisation.
Enfin, l’isolation automatique peut interrompre une activité légitime. Sur un serveur critique, une station de production ou un poste utilisé pour une opération urgente, la réponse doit tenir compte de l’impact métier. Une politique efficace prévoit donc des groupes d’appareils, des niveaux de criticité et des actions nécessitant une validation humaine.
Le bon réflexe avant de généraliser la protection
Pour une PME française, je commencerais par vérifier si Defender for Business couvre réellement le parc, puis je mettrais en place un pilote avec une procédure d’incident très simple. Pour une organisation plus grande, le Plan 2 devient pertinent lorsque l’équipe peut exploiter la chasse avancée, la chronologie des appareils et les réponses automatisées.
Le meilleur indicateur de réussite n’est pas le nombre d’alertes bloquées. C’est le temps nécessaire pour passer d’un signal suspect à une décision fiable, documentée et réversible. Une solution bien configurée, des comptes protégés par l’authentification multifacteur et une équipe formée feront davantage de différence qu’une licence premium laissée avec ses paramètres par défaut.
