Antivirus, EDR ou SOC : qu'est-ce qui voit une attaque la nuit ?

L'antivirus bloque un fichier déjà connu sur le poste. L'EDR voit un comportement anormal et peut isoler la machine. Le SOC, c'est quelqu'un qui lit l'alerte à 3 h et appelle. Les trois ne se remplacent pas. Une PME qui n'a que l'antivirus découvre l'incident quand un fichier ne s'ouvre plus.

Host Technology branche son SOC 24/7 sur l'EDR du client et sur le SIEM/SOAR. Les équipes sont en France. Hors du périmètre EDR, le contrat prévoit une journée de réponse avec le CERT. Sans EDR, il n'y a pas de signal à qualifier. Ce texte dit ce que chaque brique voit. Qui est de garde entre Noël et le 1er janvier est un autre article, le 16 décembre.

L'antivirus

L'antivirus compare un fichier à des signatures et à quelques heuristiques. Il arrête une pièce jointe déjà répertoriée. Il ne raconte pas qu'un compte légitime chiffre les partages à 2 h, ni qu'un outil d'administration Windows est utilisé d'une façon qui ne ressemble pas au travail du lundi. Sur un parc de PME, il reste utile. Il n'est pas la détection.

Un poste sans antivirus à jour est un trou. Un parc qui s'arrête là n'a personne pour isoler ce poste si le fichier est inconnu. Le guide d'hygiène de l'ANSSI demande une protection contre les codes malveillants et une capacité à tracer ce qui s'est passé.

L'EDR

L'EDR enregistre ce que fait le poste ou le serveur : processus lancé, fichier chiffré en masse, connexion sortante inhabituelle. Il peut couper la machine du réseau avant que le partage entier soit illisible. Il produit une alerte. L'alerte sans lecteur reste une ligne dans une console que personne n'ouvre le week-end.

Host déploie l'EDR sur les postes et les serveurs du périmètre convenu. L'outil ne choisit pas la personne à appeler. Il n'administre pas le pare-feu et ne restaure pas une sauvegarde. Il donne un signal daté, que l'on peut montrer.

Le SOC

Le SOC qualifie ce signal, à toute heure. L'analyste écarte le faux positif ou escalade vers le contact nommé au contrat. Le rapport du mois dit ce qui a été qualifié et ce qui attend une action : un compte à révoquer, un poste à réinstaller, une règle à fermer. Host ne vend pas un écran. Il vend cette lecture, branchée sur l'EDR du client.

Le SOC ne remplace pas l'infogérance. L'infogérance tient les postes, les patchs et le déplacement. Le SOC ne remplace pas le pare-feu ni la copie immuable. Si l'incident n'est pas vu par l'EDR, la journée de réponse CERT prévue au contrat prend le relais. Le détail est sur la page SOC, pas dans une promesse générale.

Ce qu'une PME peut tenir

  1. Antivirus à jour sur chaque poste, comme socle, pas comme détection.
  2. EDR sur les postes et les serveurs qui comptent, avec une console que quelqu'un ouvre.
  3. Un nom et un numéro prévenus la nuit, testés, pas une boîte mail fermée le week-end.
  4. SOC le jour où plus personne en interne ne lit les alertes hors des heures de bureau.
  5. À côté : pare-feu, comptes d'administration nominatifs, sauvegarde testée. La détection ne restaure rien.

Une clinique, un hôtel ou un siège de PME se posent la même question à 3 h : qui voit l'alerte. Les conséquences ne sont pas les mêmes. La continuité des soins est traitée le 1er novembre. La garde des fêtes est traitée le 16 décembre. Ici, on sépare les outils.

Sources

Guide d'hygiène informatique de l'ANSSI, protection contre les codes malveillants, journalisation, supervision : https://cyber.gouv.fr/publications/guide-dhygiene-informatique. Le découpage antivirus, EDR et SOC 24/7 est celui du contrat Host Technology : EDR du client, SIEM/SOAR, équipes en France, journée CERT hors périmètre EDR.

FAQ

L'antivirus suffit-il contre un rançongiciel ?

Il bloque des fichiers connus. Un chiffrement lancé par un compte légitime ou un outil d'administration lui échappe souvent. L'EDR sert à voir ce comportement et à isoler le poste.

Faut-il un SOC si l'on a un EDR ?

L'EDR produit l'alerte et peut isoler le poste. Le SOC est la personne qui lit cette alerte à toute heure, écarte le faux positif et appelle le contact nommé. Sans lecteur, la console attend le lundi matin.

Le SOC remplace-t-il l'infogérance ?

Non. L'infogérance tient les postes, les mises à jour et le déplacement sur site. Le SOC qualifie les alertes de sécurité. Les deux contrats se complètent, ils ne se remplacent pas.

Peut-on prendre le SOC sans EDR ?

Non. Le premier chantier est de déployer l'EDR. La détection ne se branche pas sur une console vide.

Qui est appelé la nuit ?

L'analyste SOC, puis le contact nommé au contrat. Ce circuit se teste avant d'en avoir besoin. La garde entre Noël et le jour de l'an est détaillée le 16 décembre.