SchildmarkGuide
XDR, EDR ou SIEM (et MDR) : les différences, et ce dont votre entreprise a besoin
L’EDR détecte les menaces sur les terminaux et y répond. Le XDR étend détection et réponse au réseau, aux pare-feu, au cloud et à Microsoft 365 dans une seule console ; un SIEM collecte les journaux de presque toutes les sources pour corréler, rechercher et auditer. Le MDR et le SOC managé sont des services : des personnes qui surveillent les alertes et réagissent pour vous.
XDR, EDR, SIEM, MDR : les définitions courtes
Trois sont des outils que vous exploitez ; les deux derniers sont des services rendus par un prestataire.
- EDR, détection et réponse sur les terminaux
- Un agent sur les postes et serveurs qui enregistre l’activité des processus, des fichiers et du réseau, détecte les comportements malveillants et permet d’agir sur la machine, par exemple l’isoler ou arrêter un processus. Il ne voit que ce qui se passe sur les terminaux.
- XDR, détection et réponse étendues
- La détection et la réponse sur plusieurs couches : terminaux, sondes réseau, pare-feu, comptes cloud, messagerie et identités. Les alertes arrivent dans une seule liste, avec une seule échelle de gravité, et la réponse dépasse le terminal, par exemple un blocage sur le pare-feu.
- SIEM, gestion des informations et des événements de sécurité
- Une plateforme centrale de journaux : elle collecte les événements de presque tous les systèmes, les corrèle par des règles, les conserve longtemps et sert à la recherche et aux rapports de conformité. La réponse passe généralement par un outil SOAR séparé.
- MDR, détection et réponse managées
- Un service : les analystes d’un prestataire surveillent vos alertes, les analysent et réagissent, ou vous disent quoi faire, souvent 24 h/24. Il s’appuie en général sur les outils du prestataire.
- SOC managé, SOC externalisé
- Un centre opérationnel de sécurité externalisé. Le périmètre varie bien plus que le nom ne le laisse croire : de la surveillance d’un SIEM en heures ouvrées à la réponse complète aux incidents.
XDR, EDR, SIEM et MDR : le tableau comparatif
Volontairement simplifié. Les catégories se recoupent : beaucoup de XDR conservent les journaux comme un SIEM, et beaucoup de services MDR reposent sur un XDR.
| EDR | XDR | SIEM | MDR / SOC managé | |
|---|---|---|---|---|
| Ce qu’il surveille | Terminaux | Terminaux, réseau, pare-feu, cloud, Microsoft 365 | Journaux de toute source connectée | Ce que couvrent les outils du prestataire |
| Réponse | Sur le terminal | Sur les terminaux et au-delà, comme le pare-feu | Alertes ; réponse via un SOAR | Les analystes du prestataire, selon le contrat |
| Qui traite les alertes | Votre équipe | Votre équipe, souvent réduite | Vos analystes, à l’aise avec les requêtes | Le prestataire |
| Tarification habituelle | Par terminal | Par terminal ou par machine | Souvent au volume de données | Par terminal ou utilisateur, personnel compris |
| Principale limite | Aveugle au réseau et au cloud | La profondeur dépend des intégrations | Demande réglages et personnel | Dépend du périmètre du prestataire |
MDR ou SIEM : un service, ou une plateforme à faire vivre
On les compare souvent, mais ils répondent à des questions différentes. Un SIEM répond à « où sont tous nos journaux, et que montrent-ils ? » Il collecte les événements, les conserve aussi longtemps que l’exigent les audits et lève des alertes à partir de règles de corrélation. Il ne lit pas ces alertes à votre place : quelqu’un doit régler les règles et traiter la file.
Le MDR répond à « qui surveille, et qui agit ? » Les analystes d’un prestataire surveillent votre environnement, enquêtent sur ce qui semble anormal et réagissent, ou vous disent quoi faire, souvent 24 h/24. En dessous, un service MDR s’appuie sur des outils comme un EDR, un XDR ou un SIEM, en général les siens.
Le choix tient donc aux personnes. Avec vos propres analystes, un SIEM ou un XDR leur fournit les données. Sans eux, le MDR apporte à la fois les personnes et les outils. Entre les deux, une petite équipe informatique peut exploiter un XDR qui explique ses alertes en heures ouvrées et ajouter un MDR ou une astreinte la nuit. Demandez à chaque prestataire ce qu’il surveille réellement : certains services MDR ne couvrent que les terminaux.
Ce qui convient à chaque taille d’entreprise et d’équipe
Un repère, pas une règle. La vraie question : qui lit les alertes à trois heures du matin ?
- TPE ou petite PME sans personne dédiée à la sécurité
- Une protection des terminaux et un service MDR, ou un infogérant qui assure la détection pour vous. Un outil que personne ne lit ne protège pas.
- Une petite équipe informatique, de 50 à 500 salariés environ
- Un XDR, pour qu’une seule console couvre terminaux, pare-feu, Microsoft 365 et cloud, avec de l’automatisation et une aide au tri des alertes. Ajoutez un MDR ou une astreinte si les nuits et week-ends doivent être couverts.
- Une équipe sécurité, ou une forte réglementation
- Un XDR pour la détection et la réponse, avec un SIEM quand il faut conserver et interroger les journaux de bien plus de sources, ou votre propre SOC.
- Un infogérant, une ESN ou un MSSP
- Un XDR exploitable séparément pour chaque client, qui agit sur les équipements que le client possède déjà.
Une PME sans équipe sécurité a peut-être besoin d’un MDR, pas d’un outil de plus
C’est la réponse honnête. Tout outil de détection produit des alertes, et quelqu’un doit les lire, décider et agir, la nuit aussi. Si personne dans l’entreprise ne le peut, commencez par les personnes : un service MDR, un SOC managé ou un infogérant qui exploite l’outil pour vous.
- Ce qu’est Schildmark
- Un logiciel : un XDR pour terminaux et serveurs Windows, macOS et Linux, sondes réseau, pare-feu, Microsoft 365, AWS et Google Cloud, avec un analyste IA qui explique chaque alerte en langage clair et propose l’étape suivante.
- Qui l’exploite
- Une petite équipe informatique qui veut traiter la sécurité en heures ouvrées avec une vision claire, ou un infogérant ou MSSP qui l’exploite pour ses clients, chacun dans sa propre instance.
- Ce qui allège la charge
- Des règles de réponse qui bloquent sur vos propres pare-feu, avec approbation si vous le souhaitez ; des correctifs vérifiés qui ferment les vulnérabilités avant leur exploitation ; des alertes regroupées en incidents.
- Ce qu’il n’est pas
- Ni un service 24 h/24 avec nos analystes sur vos alertes, ni un antivirus : vous gardez votre protection antimalware, et Schildmark ramène les alertes de Defender for Endpoint ou de Sophos Central dans la même liste.
Faut-il un SIEM quand on a un XDR ?
Souvent non, pour une PME ou une ETI. Pour détecter, répondre et produire des traces sur une période, un XDR qui conserve ses journaux aussi longtemps que vous le décidez suffit : NIS2, ISO 27001 (8.15 et 8.16), PCI DSS (exigence 10) et SOC 2 (CC7) demandent journalisation et surveillance, pas un produit appelé SIEM.
Un SIEM devient nécessaire s’il faut collecter et corréler les journaux de nombreux systèmes que le XDR ne lit pas, comme des applications métier, ou si une équipe sécurité veut écrire ses propres corrélations sur l’ensemble. Surveillez la durée de conservation dans tous les cas : PCI DSS 10.5.1, par exemple, exige au moins 12 mois.
Schildmark conserve alertes et événements de 7 jours à 10 ans, selon votre réglage, et la page conformité avertit si c’est moins qu’un référentiel ne l’attend. Les sources lues sont sur la page détecter.
Questions fréquentes
Quelle est la différence entre XDR et EDR ?
L’EDR ne couvre que les terminaux. Le XDR ajoute sondes réseau, pare-feu, comptes cloud et Microsoft 365, réunit leurs alertes dans une seule liste et peut agir au-delà du terminal, par exemple bloquer une adresse attaquante sur le pare-feu.
Quelle est la différence entre MDR et SIEM ?
Un SIEM est une plateforme : il collecte et conserve les journaux, les corrèle par des règles et lève des alertes, mais vos propres analystes doivent le régler et traiter ces alertes. Le MDR est un service : les analystes d’un prestataire surveillent vos alertes, enquêtent et réagissent pour vous, en général avec leurs propres outils, souvent un SIEM ou un XDR. La vraie question : avez-vous quelqu’un pour lire les alertes ?
Quelle est la différence entre EDR et SIEM ?
L’EDR est un agent sur les postes et serveurs qui détecte les attaques et agit sur la machine, par exemple en l’isolant. Un SIEM collecte les journaux de nombreuses sources, EDR compris, pour la corrélation, la conservation longue et les audits, mais n’agit pas sur la machine. Beaucoup d’entreprises envoient les alertes EDR vers un SIEM ; pour une PME ou une ETI, un XDR couvre une grande partie des deux.
Faut-il un SIEM quand on a un XDR ?
Pas toujours. NIS2, ISO 27001, PCI DSS et SOC 2 demandent journalisation et surveillance, pas un SIEM. Il devient utile pour corréler les journaux de nombreux systèmes que le XDR ne lit pas, comme des applications métier.
XDR ou MDR : que choisir pour une PME ?
Si personne dans l’entreprise ne peut lire les alertes et agir, un service MDR ou un SOC managé passe en premier, car un outil ne se surveille pas lui-même. Avec une petite équipe informatique, un XDR qui explique ses alertes peut suffire en heures ouvrées, complété par un MDR ou une astreinte la nuit.
Un XDR remplace-t-il l’antivirus ?
Pas forcément. Certains XDR intègrent une protection des terminaux, d’autres non. Schildmark n’est pas un antivirus : vous gardez votre protection contre les logiciels malveillants, et Schildmark ramène les alertes de Microsoft Defender for Endpoint ou de Sophos Central dans la même liste que le reste.
Schildmark est-il un XDR, un SIEM ou un MDR ?
Un XDR. Il collecte journaux et alertes des terminaux, sondes réseau, pare-feu, Microsoft 365 et comptes cloud, bloque sur vos pare-feu et dans vos clouds, explique les alertes avec un analyste IA et applique des correctifs vérifiés. C’est un logiciel, pas un service managé 24 h/24 ; un infogérant ou un MSSP peut l’exploiter pour ses clients.
Vous hésitez entre ces options ?
Dites-nous combien de machines vous avez, qui gère l’informatique et ce que vous devez prouver. Nous vous dirons franchement si Schildmark convient, ou si un service managé convient mieux.