Antivirus, EDR, XDR : qui protège quoi, réellement
82 % des intrusions détectées en 2025 n’utilisaient aucun logiciel malveillant — rien que votre antivirus puisse scanner. Ce guide démonte la pile de protection couche par couche : ce que chaque outil voit, ce qu’il rate, ce qu’il exige de vos équipes, et les chiffres 2026 qui devraient orienter la décision.
De l’antivirus au MDR : cinq réponses à cinq questions différentes
Ces sigles ne désignent pas des générations d’un même produit, mais des couches qui répondent chacune à une question distincte : bloquer, détecter, corréler, ou opérer.
L’antivirus est la serrure de la porte. L’EDREndpoint Detection and Response — detection et reponse sur le posteEnregistre en continu ce qui se passe sur chaque machine (processus, connexions, modifications) pour detecter les comportements suspects que l'antivirus laisse passer, investiguer, et repondre : isoler le poste, tuer un processus, revenir en arriere. Suppose que quelqu'un regarde les alertes. ajoute les caméras et le vigile qui les regarde. Le XDRExtended Detection and Response — detection et reponse etenduesL'EDR elargi au-dela du poste : il correle les signaux des postes, de la messagerie, du reseau, des identites et du cloud pour reconstituer une attaque complete. Une connexion suspecte + un mail de phishing + un compte anormal = une seule alerte d'incident, pas trois. est le poste de sécurité qui recoupe les caméras de tout le quartier — la porte, la boîte aux lettres, le parking. Et le MDRManaged Detection and Response — detection et reponse manageesLe service : une equipe de securite externe surveille votre EDR/XDR 24 h/24 et intervient a votre place. C'est la reponse au vrai probleme des PME — avoir l'outil sans avoir personne pour le regarder a 3 h du matin., c’est la société de gardiennage à qui vous confiez le tout, jour et nuit.
La distinction fondamentale : l’antivirus et l’EPPEndpoint Protection Platform — plateforme de protection du posteL'antivirus moderne : signatures, analyse comportementale, controle des peripheriques et du web, le tout administre depuis une console centrale. Son role est de BLOQUER ce qui est connu ou manifestement malveillant — avant execution. cherchent à empêcher l’exécution du connu et du manifestement malveillant. L’EDR part du principe inverse — quelque chose finira par passer — et enregistre tout pour le voir, l’investiguer et y répondre.
L’antivirus classique compare les fichiers à une base de signatures, enrichie d’heuristiques. Il excelle sur le connu et l’automatisable : quarantaine, suppression, personne à mobiliser. Sa limite structurelle : il ne voit que des fichiers — une attaque qui n’en dépose aucun lui est invisible.
L’EPP est l’antivirus d’entreprise moderne : analyse comportementale et apprentissage automatique (le NGAVNext-Generation AntivirusTerme marketing designant les antivirus a analyse comportementale et apprentissage automatique, capables de bloquer des menaces jamais vues. Aujourd'hui integre dans tout EPP serieux — le sigle impressionne plus qu'il ne distingue. des plaquettes), anti-exploitation, pare-feu, contrôle des périphériques et du web, le tout piloté d’une console centrale. Toujours de la prévention — automatique, avant exécution — administrable par un informaticien généraliste.
L’EDR change de métier : il enregistre en continu l’activité de chaque machine — processus lancés, connexions, modifications du registre, commandes exécutées — comme une boîte noire d’avion. Cette télémétrie permet de détecter les comportements suspects (un outil légitime utilisé anormalement), d’investiguer (d’où est-ce venu, où est-ce allé), et de répondre : isoler le poste du réseau en un clic, tuer un processus, restaurer. Sa condition d’efficacité, souvent tue : quelqu’un doit regarder les alertes — chaque jour.
Le XDR étend la télémétrie au-delà du poste : messagerie, identités, réseau, cloud. Sa valeur est la corrélation : trois signaux faibles isolés — un mail de phishing, une connexion inhabituelle, un compte qui énumère l’annuaire — deviennent un seul incident reconstitué. Il suppose une équipe capable d’exploiter cette profondeur, et sa qualité réelle dépend des couches effectivement intégrées — pas du sigle sur la brochure.
Le MDR n’est pas un logiciel mais un service : des analystes externes opèrent votre EDR/XDR 24 h/24, trient, investiguent et confinent sous engagement de délai. C’est la réponse au problème que les brochures évitent : la technologie sans les humains ne détecte rien la nuit. Pour une PME sans équipe sécurité dédiée, c’est souvent le premier choix rationnel.
Lire la suiteRéduire
| Outil | Sa question | Couches couvertes | Réponse possible | Équipe requise |
|---|---|---|---|---|
| Antivirus | « Ce fichier est-il connu comme malveillant ? » | Fichiers du poste | Quarantaine automatique | Aucune |
| EPP / NGAV | « Faut-il empêcher cette exécution ? » | Poste et serveur | Blocage avant exécution | 1 administrateur généraliste |
| EDR | « Que s’est-il passé, et comment répondre ? » | Poste et serveur — boîte noire continue | Isolement, arrêt de processus, remédiation | Un analyste qui regarde chaque jour |
| XDR | « Ces signaux racontent-ils une même attaque ? » | Postes + mail + identité + réseau + cloud | Réponse orchestrée multi-couches | Équipe sécurité / SOC |
| MDR | « Qui s’en occupe à 3 h du matin ? » | Celles des outils au contrat | Confinement par le prestataire, sous SLA | Un référent interne suffit |
Face aux attaques réelles : qui voit quoi, qui rate quoi
La question n’est pas « quel outil est le meilleur », mais « quelle attaque redoutez-vous » — car chaque couche a ses angles morts, documentés par les incidents réels.
Le chiffre qui structure tout : selon le rapport annuel de CrowdStrike, 82 % des intrusions détectées en 2025 n’employaient aucun logiciel malveillant — contre 51 % en 2020. Les attaquants se connectent avec des identifiants volés et n’utilisent que les outils déjà présents sur vos machines : PowerShell, WMI, l’administration à distance. Rien à scanner : le cambrioleur entre avec une clé, et ne se déplace qu’avec vos propres outils de ménage. C’est le LOTLLiving Off The Land — vivre sur le paysAttaquer sans malware, uniquement avec les outils deja presents sur la machine : PowerShell, WMI, planificateur de taches, outils d'administration. Rien de « malveillant » a scanner — c'est le comportement, pas le fichier, qui trahit l'attaque., et c’est l’angle mort structurel de l’antivirus.
Le cas d’école, chiffres définitifs : Change Healthcare (février 2024). Des identifiants volés utilisés sur un portail d’accès distant sans MFAMulti-Factor Authentication — authentification multifacteurUn second facteur (application, cle physique) en plus du mot de passe. La mesure au meilleur rapport protection/cout qui existe : elle bloque l'immense majorite des compromissions de comptes — aucun EDR ne remplace son absence., neuf jours de progression discrète dans le réseau, puis le déclenchement du ransomware. Bilan final officiel : 192,7 millions de personnes touchées, 22 millions de dollars de rançon payée, environ 3,1 milliards de dollars de coûts cumulés. Aucun « virus » à détecter pendant les neuf jours décisifs — mais des comportements anormaux qu’une télémétrie EDR/XDR surveillée pouvait voir, et qu’une simple MFA aurait probablement empêchés en amont.
L’autre extrême : Volt Typhoon. L’avis conjoint CISA/NSA/FBI documente ce groupe étatique maintenu au moins cinq ans dans des infrastructures critiques américaines, exclusivement en techniques LOTL — cinq ans sans déposer un seul malware. La persistance sans fichier n’est pas un scénario de conférence : c’est une pratique installée.
La vitesse a changé de camp. Le temps de « breakout » — le délai entre la compromission du premier poste et le début du déplacement latéral — est tombé à 29 minutes en moyenne, avec un record observé à 27 secondes. En face, le délai moyen mondial pour identifier puis confiner une violation est de 247 jours (IBM, édition 2026 — en dégradation pour la première fois en cinq ans). Ce contraste — l’attaquant en minutes, la défense en mois — est l’argument central de la détection managée 24/7.
Et le ransomware vise d’abord les petits. L’édition 2026 du rapport Verizon le trouve dans 48 % de l’ensemble des violations étudiées, mais la répartition est brutale : il est présent dans 88 % des violations touchant les PME, contre 39 % dans les grandes organisations — et 96 % des victimes de ransomware sont des PME. « Trop petit pour être ciblé » est exactement l’inverse de la réalité statistique : les attaquants automatisent, et les petits sont les moins défendus.
Lire la suiteRéduire
| Scénario d’attaque | Antivirus | EPP / NGAV | EDR | XDR | MDR |
|---|---|---|---|---|---|
| Malware connu | Oui | Oui | Oui | Oui | Oui |
| Malware inédit ou polymorphe | Souvent non | Oui (comportement) | Oui | Oui | Oui |
| Attaque sans fichier (PowerShell, LOTL) | Non | Partiel | Oui — sa raison d’être | Oui | Oui |
| Identifiants volés, connexion « légitime » | Non | Non | Partiel | Oui (corrélation identité) | Oui |
| Phishing / compromission de messagerie | Non | Non | Hors périmètre | Oui (si couche mail intégrée) | Oui (si au contrat) |
| Mouvement latéral (RDP, Active Directory) | Non | Non | Poste par poste | Oui (vision réseau) | Oui, nuit et week-end inclus |
| Ransomware à double extorsion | Souche connue seulement | Chiffrement oui, exfiltration non | Détection + isolement | Exfiltration visible | Oui — souvent déclenché hors heures |
| Exfiltration de données | Non | Non | Partiel | Oui | Oui |
Les chiffres 2026 qui devraient orienter la décision
Tous issus des rapports de référence dans leur édition la plus récente — pas des brochures.
Sources : CrowdStrike Global Threat Report 2026 · IBM Cost of a Data Breach 2026 · Verizon DBIR 2025-2026 · Sophos State of Ransomware 2026 · Mandiant M-Trends 2026 (délai médian de présence avant détection : 14 jours) · Microsoft (données Entra).
Un EDR que personne ne regarde est une caméra sans écran
L’outil ne fait que la moitié du travail. L’autre moitié — trier, investiguer, décider — est humaine, quotidienne, et c’est elle qui manque dans la plupart des PME.
L’étude de référence sur la question (Vectra AI) chiffre le problème : les équipes de sécurité reçoivent en moyenne 4 484 alertes par jour, et 67 % ne sont jamais examinées. La fatigue d’alerte n’est pas une anecdote : c’est le mode d’échec principal des déploiements EDR sans équipe dimensionnée.
Installer un EDR sans analyste, c’est équiper le magasin de vingt caméras et ne mettre personne derrière les écrans : le cambriolage est parfaitement enregistré — on le découvre au matin.
Ce qu’exige réellement un EDR exploité en interne : au minimum une personne formée qui consacre du temps chaque jour aux alertes, une procédure de réponse écrite (qui isole quoi, qui prévient qui), et une astreinte pour les heures creuses — car les rançongiciels se déclenchent majoritairement la nuit et le week-end, précisément quand personne ne regarde. C’est un engagement de fonctionnement, pas un achat.
D’où l’arbitrage MDRManaged Detection and Response — detection et reponse manageesLe service : une equipe de securite externe surveille votre EDR/XDR 24 h/24 et intervient a votre place. C'est la reponse au vrai probleme des PME — avoir l'outil sans avoir personne pour le regarder a 3 h du matin. pour les PME. Confier la surveillance à un service managé transforme un coût de recrutement introuvable (les analystes sécurité sont rares et chers partout, Algérie comprise) en abonnement : détection et confinement 24/7 sous engagement de délai, par des analystes qui voient des centaines d’incidents par an là où une équipe interne en voit trois. Le critère de choix d’un MDR n’est pas la console : c’est le délai de réponse contractuel, la capacité à confiner à distance, et la langue/fuseau du support.
La voie médiane qui monte : les EDR à investigation guidée — l’outil reconstitue l’attaque, explique, propose la remédiation en un clic — conçus pour un service informatique généraliste sans analyste dédié. C’est le positionnement des paliers intermédiaires du marché, dont celui décrit dans la section suivante ; honnête à condition d’accepter sa limite : la nuit reste sans surveillance.
Lire la suiteRéduire
Le paysage 2026, sans brochure
Deux repères publics valent mieux que tous les argumentaires : le Magic Quadrant de Gartner pour la lecture du marché, les évaluations MITRE ATT&CK pour l’efficacité technique mesurée.
L’édition 2026 du Magic Quadrant « protection des postes de travail » (mai 2026) place en leaders CrowdStrike, Microsoft, SentinelOne, Palo Alto Networks, Sophos et Trend Micro. Les évaluations ATT&CKMITRE ATT&CKLe referentiel public qui catalogue les techniques reelles des attaquants, etape par etape. Sert de langage commun aux outils de securite et de grille aux evaluations independantes MITRE — un repere plus objectif que les brochures. du MITRE — Round 7, décembre 2025, émulation du groupe Scattered Spider avec scénarios cloud — mesurent, elles, la couverture technique réelle, sans classement ni gagnant.
Lire ces repères avec leurs limites. Le Magic Quadrant note la vision et l’exécution commerciales — pas la qualité de détection ; un produit absent n’est pas un produit faible. Les évaluations MITRE mesurent la détection sur un scénario donné — pas la facilité d’exploitation au quotidien, ni le taux de faux positifs en conditions réelles (mesuré seulement depuis le Round 6). Croiser les deux, puis tester sur son propre parc, reste la seule méthode sérieuse.
Le positionnement de chacun, en une phrase et sans favoritisme : Microsoft Defender for Endpoint s’impose par l’intégration native à l’écosystème Windows/365 ; CrowdStrike fait référence sur la chasse aux menaces et le renseignement ; SentinelOne sur l’automatisation de la réponse ; Sophos et ESET sur le rapport capacités/simplicité pour les structures moyennes ; Bitdefender sur la densité technologique au prix contenu ; Kaspersky sur la profondeur d’analyse issue de sa recherche.
Le cas Kaspersky, factuellement. L’éditeur ne figure plus dans le Magic Quadrant depuis 2022 — Gartner ayant suspendu la couverture des éditeurs russes — et la vente de ses logiciels est interdite aux États-Unis depuis 2024, par décision gouvernementale de nature géopolitique et non technique. Ses capacités continuent d’être évaluées par les laboratoires indépendants (AV-TEST, AV-Comparatives) où il reste régulièrement en tête ; il demeure largement déployé en Afrique, au Moyen-Orient et en Asie. Un acheteur algérien pèsera ces deux faits — l’écart géopolitique et la constance technique — selon son propre contexte.
Notre position de distributeur : YouShop DZ distribue la gamme Kaspersky en Algérie via le canal officiel — ce guide reste volontairement multi-éditeurs, et la structure par paliers décrite ci-dessous se retrouve chez tous les acteurs du marché.
Lire la suiteRéduire
Les offres se structurent par paliers : l’exemple Kaspersky Next
Tous les éditeurs organisent désormais leur gamme en trois marches — protection, EDR guidé, XDR — alignées sur la maturité de l’équipe plus que sur la taille de l’entreprise.
La bonne question n’est pas « combien de postes avons-nous » mais « qui regardera les alertes ». Acheter le palier XDR sans équipe pour l’exploiter, c’est acheter un piano à queue pour apprendre le solfège.
Palier 1 — protection administrée (Next EDR Foundations chez Kaspersky) : l’EPP complet — fichiers, web, messagerie, pare-feu, contrôle des périphériques — avec une visibilité de base sur les menaces détectées. Pour la PME dont l’informatique est gérée par un généraliste : la marche indispensable, sans charge d’analyse.
Palier 2 — EDR guidé (Next EDR Optimum) : la télémétrie, l’investigation visuelle de la chaîne d’attaque, la réponse en un clic (isolement, suppression, interdiction), plus l’analyse des causes racines — le tout guidé pour rester exploitable par une petite équipe qui traite la sécurité quelques heures par semaine. C’est le palier qui correspond au plus grand nombre de PME structurées.
Palier 3 — XDR (Next XDR Expert) : corrélation multi-sources en incidents uniques, playbooks d’automatisation, chasse aux menaces — l’outillage d’une équipe sécurité constituée ou d’un SOC. Sans cette équipe, le palier 2 plus un service MDR protège mieux que le palier 3 seul.
La règle transverse, valable chez tous les éditeurs : monter d’un palier n’augmente la protection que si la capacité humaine suit. Dans le doute, palier inférieur + service managé bat palier supérieur sans personne.
Lire la suiteRéduire
| Palier | Ce qu’il ajoute | Pour qui |
|---|---|---|
| 1 — Protection (EPP) | Prévention complète administrée : fichiers, web, mail, pare-feu, périphériques | PME avec informatique généraliste, sans analyste |
| 2 — EDR guidé | Télémétrie, chaîne d’attaque visualisée, réponse en un clic, causes racines | PME structurée — le meilleur rapport protection/charge |
| 3 — XDR | Corrélation multi-couches, playbooks, chasse aux menaces | Équipe sécurité constituée ou SOC — sinon préférer 2 + MDR |
Les paliers correspondants dans notre catalogue :
Kaspersky Next EDR Foundations — palier protection
Voir la fiche →
Kaspersky Next EDR Optimum — palier EDR guidé
Voir la fiche →
Kaspersky Next XDR Expert — palier XDR
Voir la fiche →YouShop DZ est revendeur Kaspersky en Algérie via le distributeur officiel — gamme complète détaillée dans notre guide Kaspersky.
Ce qu’aucun EDR ne remplacera jamais
Quatre mesures moins spectaculaires qu’un XDR — et statistiquement plus rentables que n’importe quel outil de détection.
L’EDR est l’airbag ; ces quatre mesures sont les freins. On ne compense pas des freins usés en ajoutant des airbags.
Dans l’ordre de rentabilité : les correctifs, la MFAMulti-Factor Authentication — authentification multifacteurUn second facteur (application, cle physique) en plus du mot de passe. La mesure au meilleur rapport protection/cout qui existe : elle bloque l'immense majorite des compromissions de comptes — aucun EDR ne remplace son absence., les sauvegardes, le moindre privilège.
1. Les correctifs, devenus l’urgence numéro un. Le rapport Verizon 2026 marque un basculement historique : l’exploitation de vulnérabilités représente 31 % des accès initiaux et devient le premier vecteur d’intrusion pour la première fois en dix-neuf ans — devant le vol d’identifiants. Un système non corrigé annule tout le reste : c’est précisément l’enjeu de notre guide sur la fin de Windows 10 et la gestion du parc.
2. La MFA, le meilleur rapport protection/effort de toute la sécurité. Environ 99 % des compromissions de comptes bloquées selon les données Microsoft. L’affaire Change Healthcare — 3,1 milliards de dollars de dégâts partis d’un portail sans MFA — en est la démonstration par l’absurde.
3. Les sauvegardes 3-2-1 — trois copies, deux supports, une hors site et hors ligne : la seule assurance qui fonctionne le jour où tout le reste a échoué. Un EDR peut stopper un chiffrement en cours ; seule la sauvegarde restaure ce qui a été chiffré avant l’arrêt. Notre guide stockage et NAS couvre le volet matériel.
4. Le moindre privilège : aucun utilisateur administrateur de sa machine au quotidien, des comptes d’administration séparés et surveillés. La télémétrie EDR le confirme incident après incident : l’attaquant n’élève ses privilèges que si on lui en laisse à élever. S’y ajoute la sensibilisation — non pas « le maillon faible », mais le premier capteur : un utilisateur qui signale un mail douteux en cinq minutes vaut une alerte de plus, gratuite.
Lire la suiteRéduire
Cinq idées reçues qui coûtent cher
Les phrases entendues en rendez-vous — et ce que les chiffres en font.
Les sigles de ce guide, expliqués
De quoi lire n’importe quelle fiche technique sans rien laisser passer.
- EPP
- Endpoint Protection Platform — plateforme de protection du posteL'antivirus moderne : signatures, analyse comportementale, controle des peripheriques et du web, le tout administre depuis une console centrale. Son role est de BLOQUER ce qui est connu ou manifestement malveillant — avant execution.
- EDR
- Endpoint Detection and Response — detection et reponse sur le posteEnregistre en continu ce qui se passe sur chaque machine (processus, connexions, modifications) pour detecter les comportements suspects que l'antivirus laisse passer, investiguer, et repondre : isoler le poste, tuer un processus, revenir en arriere. Suppose que quelqu'un regarde les alertes.
- XDR
- Extended Detection and Response — detection et reponse etenduesL'EDR elargi au-dela du poste : il correle les signaux des postes, de la messagerie, du reseau, des identites et du cloud pour reconstituer une attaque complete. Une connexion suspecte + un mail de phishing + un compte anormal = une seule alerte d'incident, pas trois.
- MDR
- Managed Detection and Response — detection et reponse manageesLe service : une equipe de securite externe surveille votre EDR/XDR 24 h/24 et intervient a votre place. C'est la reponse au vrai probleme des PME — avoir l'outil sans avoir personne pour le regarder a 3 h du matin.
- SOC
- Security Operations Center — centre d'operations de securiteL'equipe (interne ou externe) qui surveille les alertes de securite, trie le bruit et declenche la reponse. Un EDR sans SOC, c'est une alarme dont personne n'ecoute la sirene.
- NGAV
- Next-Generation AntivirusTerme marketing designant les antivirus a analyse comportementale et apprentissage automatique, capables de bloquer des menaces jamais vues. Aujourd'hui integre dans tout EPP serieux — le sigle impressionne plus qu'il ne distingue.
- SIEM
- Security Information and Event ManagementLe collecteur central des journaux de toute l'infrastructure, avec regles de correlation et archivage. Complementaire du XDR : le SIEM garde la trace de tout, le XDR raconte l'attaque.
- MFA
- Multi-Factor Authentication — authentification multifacteurUn second facteur (application, cle physique) en plus du mot de passe. La mesure au meilleur rapport protection/cout qui existe : elle bloque l'immense majorite des compromissions de comptes — aucun EDR ne remplace son absence.
- IOC
- Indicator Of Compromise — indicateur de compromissionUne trace connue d'attaque : empreinte de fichier, adresse, nom de domaine. Chercher des IOC revient a chercher des visages deja fiches — utile, mais aveugle face a un attaquant qui n'utilise que des outils legitimes.
- LOTL
- Living Off The Land — vivre sur le paysAttaquer sans malware, uniquement avec les outils deja presents sur la machine : PowerShell, WMI, planificateur de taches, outils d'administration. Rien de « malveillant » a scanner — c'est le comportement, pas le fichier, qui trahit l'attaque.
- ATT&CK
- MITRE ATT&CKLe referentiel public qui catalogue les techniques reelles des attaquants, etape par etape. Sert de langage commun aux outils de securite et de grille aux evaluations independantes MITRE — un repere plus objectif que les brochures.
Questions fréquentes sur l’EDR et le XDR
Les questions que nous posent le plus souvent les entreprises.
Quelle est la différence entre un antivirus et un EDR ?
Un antivirus seul suffit-il pour une petite entreprise ?
Qu’est-ce qu’une attaque « sans fichier » ?
Le XDR est-il « mieux » que l’EDR ?
Qu’est-ce que le MDR et pourquoi en parle-t-on autant ?
Combien d’alertes une équipe reçoit-elle vraiment ?
Que signifient les paliers Foundations, Optimum, Expert chez Kaspersky ?
Kaspersky est-il un choix sûr en 2026 ?
L’EDR remplace-t-il les sauvegardes ou la MFA ?
Par où commencer pour sécuriser une PME algérienne ?
YouShop DZ accompagne-t-il le choix et le déploiement ?
Quel palier de protection pour votre structure ?
Qualification du besoin, choix du palier selon votre équipe, licences et déploiement : notre équipe vous accompagne du premier antivirus administré au XDR. Devis gratuit, livraison nationale dans les 69 wilayas.