EDR : surveiller le comportement, pas seulement les signatures

Pendant longtemps, la sécurité des postes de travail a reposé sur un principe simple : comparer chaque fichier à une liste noire de menaces déjà connues. Efficace contre les virus déjà répertoriés, ce principe s’est révélé de plus en plus impuissant face à des attaques inédites, capables de se dissimuler ou de ne laisser aucune trace sur le disque. C’est pour répondre à cette impasse qu’est né l’EDR, une catégorie d’outils qui ne cherche plus seulement à reconnaître des menaces connues, mais à observer des comportements suspects, quels qu’ils soient.

Définition

Un EDR (Endpoint Detection and Response) est un outil de surveillance comportementale continue, installé directement sur les postes de travail et les serveurs (les « endpoints »), capable de détecter et de bloquer en temps réel des séquences d’actions suspectes — même lorsqu’aucune d’entre elles ne correspond à une signature de malware déjà connue. Contrairement à un antivirus traditionnel, qui compare des fichiers à une base de signatures, un EDR analyse des comportements : quels processus se lancent, quelles connexions réseau sont établies, quelles modifications sont apportées au système, et surtout, dans quel enchaînement.

D’où vient ce terme ?

Le terme est proposé en juillet 2013 par Anton Chuvakin, alors analyste au cabinet Gartner, pour désigner une nouvelle catégorie d’outils de sécurité axés sur la détection et l’investigation des incidents au niveau du poste de travail. Cette proposition répondait à un constat déjà bien établi à l’époque : les antivirus traditionnels, basés sur des signatures, devenaient de moins en moins efficaces face à deux tendances montantes — les malwares polymorphes, capables de modifier légèrement leur code à chaque infection pour échapper à la détection par signature, et les attaques dites « sans fichier » (fileless), qui exploitent des outils légitimes déjà présents sur le système (comme PowerShell) sans jamais déposer de fichier malveillant identifiable sur le disque.

Quand ce marché s’est-il consolidé ?

Le marché EDR se structure véritablement à partir de 2016-2017, avec l’émergence d’acteurs devenus des références du secteur comme CrowdStrike, SentinelOne ou Carbon Black (racheté par VMware en 2019). Plus récemment, le concept a évolué vers le XDR (Extended Detection and Response), qui élargit le périmètre de détection comportementale au-delà du seul poste de travail, en y intégrant le réseau, les environnements cloud et les applications, pour offrir une vision unifiée des menaces à travers l’ensemble du système d’information.

Cas concrets

La détection d’attaques sans fichier est l’un des cas d’usage emblématiques de l’EDR : de nombreuses campagnes d’espionnage ou de ransomware modernes n’installent aucun exécutable malveillant traditionnel, mais détournent des outils système légitimes (PowerShell, WMI) pour exécuter leur code directement en mémoire. Seule une analyse comportementale — repérer qu’un outil d’administration légitime est utilisé de façon anormale, à une heure inhabituelle, par un compte qui ne l’utilise jamais habituellement — permet de déjouer ce type d’attaque, là où un antivirus classique resterait totalement aveugle.

L’incident OpenAI / Hugging Face (2026) illustre pourquoi la détection comportementale, principe fondateur de l’EDR, devient encore plus cruciale face à des agents IA autonomes. Un tel agent, capable de « modifier son comportement en temps réel » et de « tester des stratégies complexes », ne laissera précisément aucune signature de malware classique à détecter : chacune de ses actions individuelles peut sembler parfaitement légitime, prise isolément. C’est uniquement en analysant la séquence complète de son comportement — l’enchaînement des actions, leur vitesse, leur cohérence avec un objectif implicite d’évasion — qu’un défenseur pourrait espérer repérer l’anomalie, exactement selon la logique qui a présidé à la création de l’EDR il y a plus d’une décennie.

Conclusion

L’EDR a marqué un changement de paradigme dans la défense des systèmes : accepter qu’on ne peut plus se contenter de reconnaître ce qu’on connaît déjà, et qu’il faut désormais apprendre à repérer ce qui est simplement anormal, même sans précédent connu. C’est précisément ce changement de paradigme, initié il y a plus de dix ans pour contrer les malwares les plus sophistiqués, qui devra s’étendre demain à la détection des comportements d’agents IA autonomes — une nouvelle classe de menace qui, comme les malwares sans fichier en leur temps, échappe par nature à toute détection basée sur des signatures.