EDR, les cybergardiens

Les EDR analysent une quantité considérable de données.

Introduction

Supervisant les antivirus et autres pare-feux, les logiciels Endpoint Detection and Response (EDR) sont devenu un élément essentiel de la cybersécurité moderne.

Ils permettent aux entreprises de détecter, analyser et répondre aux menaces ciblant les postes de travail, les serveurs et autres terminaux de leur réseau, et ce de façon globale.

Un peu d’histoire (récente !)

Pendant plusieurs décennies, la cybersécurité s’est bâtie essentiellement sur la reconnaissance de signatures numériques malveillantes, mâtinée d’un peu de détection comportementale, dite

« heuristique », à l'efficacité toute relative.

Les antivirus classiques et les systèmes de prévention d’intrusion (IPS) dominaient le marché, s’appuyant sur des bases de données renouvelées régulièrement pour identifier et bloquer les logiciels malveillants.

À noter que cette technique est encore majoritairement utilisée par les petites entreprises et les particuliers du monde entier...

Et si cette approche basique a permis de contrer les cyberattaques connues, elle montrait rapidement ses limites face aux menaces émergentes, telles que les attaques zero-day, et les campagnes de ransomware sophistiquées, notamment.

Le renouveau

Au début des années 2010, avec l’essor des attaques ciblées et des cybercriminels utilisant des techniques complexes d’obfuscation et de persistance, la sécurité traditionnelle basée sur les signatures perdait de son efficacité, sans devenir inutile pour autant.

Cependant, un constat s’imposa dans l’industrie : il fallait des solutions capables non seulement d’identifier des comportements informatiques anormaux, de les enregistrer, mais aussi d’analyser le contexte et d’intervenir rapidement en cas d’incident.

C’est avec ces prérequis que naquit le concept d’Endpoint Detection and Response (EDR).

Et techniquement ?

Les premières solutions EDR ont fait leur apparition séparément, au coup par coup, pour pallier aux insuffisances des outils traditionnels.

Ces technologies innovantes se focalisaient sur la surveillance continue des endpoints, en français, des terminaux finaux.

Rappelons que cette appellation concerne les ordinateurs, les tablettes, les commutateurs, les IoT (internet des objets) les imprimantes, les points d’accès Wi-Fi, mais aussi tout type de terminal qui se connecterait au réseau depuis l’extérieur de ses limites internes (celles qui sont protégées par le pare-feu).

Contrairement aux solutions antivirus classiques, l’EDR collecte et analyse en temps réel de vastes volumes de données relatives aux activités système, permettant ainsi de détecter des comportements suspects avant même qu’un malware ne soit identifié par sa signature.

De nouvelles fonctions sont proposées :

• La surveillance continue des activités sur les terminaux.

• L'enregistrement des événements pour une analyse rétroactive, notamment lors d’un rapport « post mortem ».

• L'automatisation (dans une certaine mesure) des processus de réponse aux incidents.

L'évolution des EDR

L’EDR a évolué vers le concept de Extended Detection and Response (XDR), qui étend la protection au-delà des endpoints en intégrant la surveillance des réseaux, des serveurs et des applications cloud, notamment.

Cela permet une vision plus globale et une meilleure coordination dans la réponse aux incidents, mais cela introduit un volume de données très conséquent à gérer.

Ce qui pourrait être compensé par l'IA, plus particulièrement le machine learning, qui permet aux systèmes de reconnaître des schémas malveillants sans dépendre exclusivement des bases de signatures.

Perspectives

• Une automatisation accrue : l’intégration de l’IA pourrait permettre des réponses entièrement automatisées, réduisant ainsi le temps de réaction en cas d’incident...

... Mais l’IA est aussi disponible pour les cyberattaquants, ce qui laisse présager l’apparition d’attaques tout aussi automatisées…

• Une convergence vers une cybersécurité unifiée : la fusion des outils EDR (XDR) avec ceux de SIEM (système de gestion des informations et des événements de sécurité) permettra une surveillance plus fine et une cyberdéfense multicouche.

• L’adaptation aux nouvelles architectures IT : avec l’essor du cloud, de l’IoT et des environnements de travail hybrides, les EDR devront s’adapter pour protéger des endpoints de plus en plus variés et éloignés du réseau central.

Défis

Ils sont nombreux, car malgré leur efficacité, les solutions EDR ne sont pas exemptes de défauts.

En effet, de par leur sensibilité, couplée à la quantité très élevée des paramètres surveillés, ces solutions peuvent générer de nombreux faux positifs, nécessitant une gestion et une expertise indispensable, ce qui entraîne des frais en personnel spécialisé, souvent externalisé.

Enfin, pour l’instant, leur intégration avec d'autres outils de cybersécurité plus classiques reste complexe à mettre en œuvre, ce qui exclut quasiment la gestion « en interne » par un employé non qualifié d’une petite entreprise.

Conclusion

Les logiciels Endpoint Detection and Response représentent une avancée majeure pour la cybersécurité.

Partant d’un constat d’obsolescence partielle des outils traditionnels, ils ont su évoluer et intégrer des technologies de pointe, telles que l’IA et le machine learning, pour offrir une protection plus dynamique, plus globale aussi.

Malheureusement, ce type de protection est, pour l’heure, hors de portée des particuliers et des petites entreprises qui devront se contenter des solutions classiques, antivirus, et firewalls, dont les limites sont connues…

.... Connues aussi des pirates de tous poils qui ont tendance à se rabattre sur les cibles les moins protégées.

Alors que faire ?

En attendant que les solutions End Point se démocratisent, sans doute grâce à lA, mettre l’accent sur la protection des données sensibles, les sauvegardes et la formation régulière pour obtenir une résilience correcte face aux cyberattaques est toujours d’actualité, plus que jamais !