EDR vs antivirus classique : quelle protection pour les postes de votre PME en 2026 ?

« On a un antivirus, on est protégés. » C'est probablement la phrase que j'entends le plus souvent en audit dans les PME. Et c'est aussi l'une des plus dangereuses. En 2026, la majorité des intrusions que je constate sur le terrain passent au travers d'un antivirus classique sans déclencher la moindre alerte : vol d'identifiants, connexion avec un compte légitime, outils Windows détournés. Rien de tout cela ne ressemble à un « virus ». Voici, concrètement, ce qu'un antivirus voit encore, ce qu'il ne voit plus, ce qu'un EDR change vraiment, et comment choisir sans exploser votre budget.

Pourquoi l'antivirus classique ne suffit plus en 2026

Un antivirus traditionnel fonctionne surtout par reconnaissance de fichiers malveillants connus (signatures) complétée par un peu d'analyse heuristique. C'était adapté à l'époque où l'attaque consistait à déposer un exécutable vérolé sur le disque. Le problème : les attaquants ont changé de méthode. Aujourd'hui, une grande partie des compromissions n'installe aucun fichier malveillant classique.

Concrètement, un attaquant moderne se connecte avec un mot de passe volé (via un infostealer ou du phishing), puis utilise des outils déjà présents sur la machine : PowerShell, WMI, PsExec, les tâches planifiées, le RDP. C'est ce qu'on appelle le « living off the land » : vivre sur le terrain, avec les outils du système. Pour un antivirus, PowerShell lancé par un utilisateur légitime, c'est normal. Pour un œil averti, PowerShell qui télécharge un script encodé à 3 h du matin depuis le poste de la comptable, c'est une alerte rouge. Toute la différence est là.

Un EDR, c'est quoi concrètement ?

Ce que fait un EDR que l'antivirus ne fait pas

EDR signifie Endpoint Detection and Response : détection et réponse sur les postes et serveurs. Au lieu de se demander « ce fichier est-il connu comme malveillant ? », l'EDR observe les comportements : quels processus se lancent, qui lance quoi, quelles connexions réseau sortent, quelles clés de registre sont modifiées, quels accès aux identifiants sont tentés. Il enregistre cette télémétrie en continu et la corrèle pour repérer des chaînes d'attaque plutôt que des fichiers isolés.

La partie « réponse » : le vrai game changer

L'autre différence majeure, c'est le R de Response. Un bon EDR permet d'isoler un poste du réseau en un clic (la machine ne parle plus qu'à la console de sécurité), de tuer un processus à distance, de récupérer un fichier suspect pour analyse, et de remonter l'historique : par où l'attaquant est entré, ce qu'il a touché, où il a tenté d'aller. Lors d'un début de ransomware, isoler le poste patient zéro en quelques minutes au lieu de quelques heures, c'est souvent la différence entre un incident maîtrisé et une PME à l'arrêt.

EDR, XDR, MDR : décoder le jargon commercial

Les éditeurs adorent les acronymes, alors clarifions. EDR : la protection comportementale sur les postes et serveurs. XDR (eXtended Detection and Response) : la même logique étendue à d'autres sources — messagerie, identités Microsoft 365 ou Google Workspace, réseau, cloud — pour corréler les signaux entre eux. MDR (Managed Detection and Response) : un EDR ou XDR opéré par une équipe humaine externe qui surveille les alertes, trie les faux positifs et intervient, y compris la nuit et le week-end. Retenez ceci : EDR et XDR sont des outils, le MDR est un service. Et un outil sans personne derrière ne protège pas grand-chose.

Combien ça coûte pour une PME ?

Les prix varient selon l'éditeur, le nombre de postes et les options, mais les ordres de grandeur sont accessibles : un EDR de qualité se facture généralement quelques euros par poste et par mois, souvent moins cher qu'un abonnement de téléphonie mobile par salarié. Un service MDR complet, avec surveillance humaine 24/7, représente un budget supérieur, mais qui reste sans commune mesure avec le coût moyen d'un incident : arrêt d'activité, reconstruction du SI, perte de clients, voire rançon. Mon conseil de terrain : comparez le coût annuel de la protection au coût d'une seule semaine d'arrêt total de votre entreprise. Le calcul est vite fait.

L'erreur fréquente : un EDR que personne ne regarde

C'est le piège numéro un que je rencontre en audit : la PME a acheté un excellent EDR… dont personne ne consulte les alertes. L'outil détecte, notifie, et les notifications s'accumulent dans une console que le prestataire informatique ouvre une fois par mois. Or un EDR non surveillé, en mode détection seule, revient à installer une alarme sans jamais brancher la sirène. Les attaquants le savent : beaucoup d'intrusions réussies ont été détectées par les outils, mais ignorées par les humains. Trois options réalistes pour une PME : configurer des réponses automatiques agressives (isolation automatique en cas de détection critique), confier la surveillance à un SOC externalisé / service MDR, ou former une personne en interne avec une astreinte claire — cette dernière option étant rarement tenable en dessous de 50 salariés.

Checklist : bien choisir sa protection des postes en 2026

Avant de signer, vérifiez ces points : 1) L'EDR couvre-t-il tous vos systèmes (Windows, macOS, serveurs, et idéalement Linux) ? 2) L'isolation réseau à distance est-elle possible en un clic ? 3) Qui regarde les alertes, avec quel engagement de délai, la nuit et le week-end ? 4) Les réponses automatiques sont-elles configurées, et testées ? 5) L'outil remonte-t-il aussi les signaux de votre messagerie et de vos comptes cloud (logique XDR) ? 6) Avez-vous un déploiement à 100 % du parc ? Un EDR déployé sur 80 % des machines laisse exactement les portes qu'un attaquant cherchera. 7) Enfin, gardez en tête que l'EDR complète mais ne remplace pas les fondamentaux : MFA, sauvegardes testées, mises à jour, sensibilisation des équipes.