Rançongiciels : comment l'EDR gérée bloque l'attaque avant le chiffrement

Il est 9 h 30 un mardi matin. Votre équipe tente d'ouvrir les fichiers clients pour préparer une présentation. Au lieu de s'ouvrir, chaque document affiche le même message : vos fichiers ont été chiffrés, payez pour les récupérer.

Les organisations qui utilisent une solution EDR (Endpoint Detection and Response) gérée racontent souvent une histoire différente. L'attaque a bien eu lieu, mais elle a été repérée et le poste isolé avant que le premier fichier soit chiffré. La différence tient moins à la chance qu'à ce que l'outil surveille.

Points clés à retenir

• Les rançongiciels modernes changent de signature, ce qui neutralise la détection par définitions.
• Beaucoup d'attaques utilisent des outils Windows légitimes plutôt que des fichiers malveillants.
• L'EDR surveille le comportement des processus au lieu de chercher des signatures connues.
• L'isolation automatique du poste se fait en secondes, bien avant une réaction humaine.
• L'EDR ne remplace ni les sauvegardes, ni l'hygiène des identités, ni les correctifs.

Pourquoi l'antivirus classique ne suffit plus

Les rançongiciels comme LockBit, BlackCat ou leurs successeurs emploient du chiffrement polymorphe : leur signature change à chaque exécution. Une détection fondée sur des définitions de virus cherche quelque chose qu'elle a déjà vu, et ces familles font en sorte de ne jamais se présenter deux fois de la même façon.

Plus problématique encore, une part importante des attaques actuelles n'apporte aucun fichier malveillant. Les attaquants détournent des outils déjà présents et légitimement signés : PowerShell, WMI, les tâches planifiées, les utilitaires d'administration à distance. Cette technique, souvent appelée « living off the land », rend l'activité difficile à distinguer du travail normal d'un administrateur.

Le facteur temps achève l'argument. Une fois le chiffrement lancé, un rançongiciel traverse des milliers de fichiers très rapidement. Un modèle de détection qui intervient après l'infection arrive structurellement trop tard.

Ce que l'EDR surveille réellement

Une solution EDR observe le comportement des processus plutôt que leur identité. C'est ce déplacement qui permet de repérer une famille de rançongiciel jamais vue auparavant.

Concrètement, elle signale des séquences comme :

• Un processus qui ouvre et réécrit des fichiers en masse, dans plusieurs dossiers, en peu de temps
• La suppression des clichés instantanés de volume, geste classique juste avant le chiffrement
• Une élévation de privilèges inattendue, ou un compte de service qui se met à agir comme un utilisateur
• Des mouvements latéraux vers d'autres postes à partir d'une station de travail ordinaire
• Des communications sortantes vers une infrastructure de commande et contrôle connue

Aucun de ces signaux n'est concluant seul. Un logiciel de sauvegarde touche aussi beaucoup de fichiers. C'est la corrélation qui compte, et c'est ce que la plateforme fait en continu.

L'isolation automatique change l'échelle de temps

Dès qu'une séquence est jugée malveillante, l'EDR peut couper le poste du réseau tout en gardant le canal d'administration ouvert. Cette isolation prend quelques secondes. Elle empêche la propagation vers les partages de fichiers, les serveurs et les dépôts de sauvegarde, qui sont la cible réelle d'une attaque sérieuse.

C'est la partie que l'automatisation fait mieux qu'un humain, simplement parce qu'elle ne dort pas et ne met pas dix minutes à lire une alerte.

L'analyse après coup a autant de valeur

L'EDR conserve la chronologie : quel processus a démarré quoi, à partir de quel fichier, sous quel compte, vers quelle destination réseau. Cette trace sert à deux choses. Elle permet une remédiation complète plutôt qu'un nettoyage partiel qui laisse un accès résiduel, et elle fournit la documentation que votre assureur et, au Québec, une déclaration d'incident de confidentialité vont exiger.

Ce que « gérée » ajoute

Une plateforme EDR sans personne pour la lire produit surtout des alertes. Le volet géré désigne le fait qu'une équipe reçoit les alertes, écarte les faux positifs, et décide quoi faire des vrais.

C'est la partie qu'il faut examiner de près chez n'importe quel fournisseur, y compris nous. Posez les questions précises : quelles sont les heures de couverture réelles, qui répond en dehors d'elles, quel est le délai d'intervention visé sur une alerte critique, et qui exécute la remédiation une fois le poste isolé. Les réponses varient énormément d'un fournisseur à l'autre pour un service portant le même nom.

Le calcul, à faire avec vos propres chiffres

Les moyennes publiées sur le coût d'une attaque varient trop selon la taille et le secteur pour décider quoi que ce soit. Votre estimation vaut mieux, et elle se construit en additionnant quatre postes :

• Les heures d'arrêt, soit votre coût horaire chargé multiplié par le nombre de personnes bloquées
• Le temps de reconstruction des systèmes, généralement compté en jours et non en heures
• Les obligations réglementaires, dont la notification à la Commission d'accès à l'information et aux personnes concernées sous la Loi 25
• L'effet commercial, des clients qui posent des questions aux contrats qui exigent une attestation

Comparez ensuite ce total au coût annuel d'une EDR gérée pour votre parc. Pour la plupart des PME, l'écart n'est pas serré. Mais faites le calcul, parce que c'est lui qui convainc une direction, pas une statistique de fournisseur.

Ce que l'EDR ne remplace pas

C'est le point que trop de discours commerciaux escamotent. Une EDR gérée réduit fortement la probabilité qu'un rançongiciel aboutisse. Elle ne la ramène pas à zéro, et elle ne remplace pas :

• Les sauvegardes immuables et testées. Nos services de sauvegarde et récupération restent le dernier recours quand tout le reste échoue.
• L'hygiène des identités. L'authentification multifacteur résistante à l'hameçonnage et l'accès conditionnel bloquent une bonne part des intrusions avant qu'un terminal soit touché.
• Les correctifs. Un serveur exposé et non corrigé reste la voie d'entrée la plus simple.

L'EDR est une couche parmi plusieurs. Nos services de cybersécurité l'assemblent avec les autres plutôt que de la vendre seule.

FAQ

Quelle est la différence entre un antivirus et une EDR?

L'antivirus compare les fichiers à des signatures connues et bloque ce qu'il reconnaît. L'EDR observe le comportement des processus en continu, conserve l'historique, et permet d'isoler un poste et d'enquêter après coup. Les deux coexistent souvent sur le même terminal.

L'EDR ralentit-elle les postes de travail?

L'agent consomme des ressources, mais l'effet est généralement imperceptible sur du matériel des cinq dernières années. Les ralentissements signalés viennent plus souvent d'un conflit avec un antivirus tiers laissé en place, d'où l'importance de retirer l'ancien produit lors du déploiement.

Combien de temps prend un déploiement?

L'installation des agents sur un parc de PME se fait généralement en quelques jours via Intune ou un outil de gestion équivalent. La phase qui compte vraiment est l'ajustement des règles durant les premières semaines, pour réduire les faux positifs avant qu'ils ne fassent ignorer les alertes.

L'EDR couvre-t-elle les serveurs et les Mac?

Les principales plateformes couvrent Windows, macOS et les distributions Linux courantes, postes de travail comme serveurs. Vérifiez la couverture des systèmes plus anciens, qui est souvent le point faible dans un parc hérité.

Que se passe-t-il concrètement quand une alerte se déclenche la nuit?

Cela dépend entièrement de votre entente de service, et c'est la question à poser avant de signer. Déterminez si l'isolation automatique est activée, qui est joignable, sous quel délai, et qui a l'autorité de remettre un poste en ligne.

Si vous voulez savoir où se situe votre parc actuel, notre évaluation TI documente vos terminaux, vos sauvegardes et vos contrôles d'identité, puis vous remet une liste priorisée plutôt qu'un argumentaire.