EDR ou antivirus classique : quelle différence ?

Un antivirus classique fonctionne un peu comme une liste de personnes recherchées : il compare chaque fichier à une base de virus déjà identifiés (une « signature »). Si le fichier correspond à un virus connu, il est bloqué.

C'est efficace contre les menaces déjà répertoriées, mais cela laisse une faille : un virus nouveau, modifié, ou une attaque qui n'utilise pas de fichier malveillant classique (par exemple, un pirate qui se connecte avec un mot de passe volé et utilise des outils déjà présents sur l'ordinateur) peut passer inaperçu, puisqu'il ne « ressemble » à rien de connu.

Un EDR ne se contente pas de comparer des fichiers à une liste. Il observe en continu le comportement de chaque poste : quels programmes se lancent, quelles actions ils font, quelles connexions ils établissent — et cela vaut aussi pour les outils légitimes du système (PowerShell, scripts, WMI…) qu'un attaquant peut détourner sans installer aucun fichier malveillant.

Si un comportement inhabituel apparaît — un logiciel ou un script qui tente soudainement de chiffrer massivement des fichiers, qui essaie de désactiver la protection, ou qui établit une connexion suspecte vers l'extérieur — l'EDR peut le détecter et le bloquer, même si cette menace précise n'a jamais été vue auparavant.

Autre différence importante : en cas d'incident, l'EDR conserve une trace de ce qui a déclenché l'alerte (poste concerné, programme ou script en cause, date, éléments d'origine), qui aide à comprendre le point de départ de l'incident — une visibilité que l'antivirus classique ne fournit pas.