EDR ou antivirus : quelle différence, et lequel vous faut-il ?
Trois lettres sont apparues dans les devis informatiques ces dernières années : EDR. Souvent présentées comme « l’antivirus nouvelle génération », parfois facturées trois fois le prix. Le raccourci est commode, mais il n’explique rien.
Qu’est-ce qui distingue réellement les deux ? Et une structure de cinq personnes a-t-elle besoin du second ?
L’antivirus : reconnaître ce qu’on connaît déjà
Un antivirus classique fonctionne par signature. Chaque logiciel malveillant connu possède une empreinte, et l’antivirus compare les fichiers de votre poste à sa liste. S’il y a correspondance, il bloque.
Le mécanisme est efficace, rapide, et il couvre l’immense majorité des menaces en circulation. Il a une limite unique, mais structurelle : il ne reconnaît que ce qui figure déjà dans sa liste.
Face à un code jamais observé, ou simplement modifié pour changer son empreinte, il ne voit rien d’anormal.
L’EDR : observer ce qui se passe
L’EDR — *Endpoint Detection and Response* — ne cherche pas à identifier un fichier. Il surveille les comportements sur le poste.
Un programme qui ouvre soudainement des milliers de fichiers et les réécrit un par un, c’est le comportement d’un ransomware, même si le programme lui-même est inconnu. Un processus bureautique qui tente de désactiver une protection, c’est anormal, quel que soit son nom.
Deuxième différence, contenue dans le mot *response* : l’EDR ne se contente pas d’alerter. Il isole le poste, arrête le processus, et sur les solutions les plus abouties, annule les modifications déjà faites.
Alors, lequel vous faut-il ?
La réponse honnête : les deux
Ce ne sont pas deux options concurrentes mais deux couches complémentaires. L’antivirus élimine le volume — l’essentiel des menaces, à faible coût de traitement. L’EDR traite ce qui passe au travers.
Le vrai critère : qui regarde les alertes ?
C’est là que se joue la décision. Un EDR produit des signaux qu’il faut interpréter. Dans une grande entreprise, une équipe s’en charge en continu.
Dans une TPE, personne ne regarde. Un EDR livré sans supervision devient une console de plus, consultée le jour de l’incident. La question n’est donc pas « EDR ou antivirus », mais « qui traite ce que l’outil remonte ».
Ce qu’il faut retenir
- L’antivirus compare à une liste de menaces connues ; l’EDR analyse les comportements, y compris inconnus.
- L’EDR réagit seul : isolement du poste, arrêt du processus, parfois annulation des modifications.
- Les deux se complètent, ils ne se remplacent pas.
- Sans quelqu’un pour traiter les alertes, un EDR ne vous protège pas davantage qu’un antivirus.
Symplissime combine les deux couches et — c’est le point important — assure la supervision. Les alertes sont traitées par notre agent, puis par nos experts si nécessaire. Vous n’avez aucune console à surveiller.