Pourquoi cette note ?
Lorsqu’on ouvre une console EDR, le premier réflexe est souvent de regarder les indicateurs.
- Tous les agents sont connectés.
- Aucune alerte critique.
- Aucun incident en cours.
Tout semble sous contrôle.
Pourtant, lors de certaines revues de plateformes, quelques vérifications suffisent à mettre en évidence plusieurs problèmes qui n’apparaissent nulle part dans les tableaux de bord.
Aucun incident. Aucune alerte. Simplement plusieurs angles morts.
Une console au vert signifie uniquement qu’elle ne détecte aucun problème sur ce qu’elle voit.
NOTE TERRAIN
À retenir : la couleur d’une console ne permet pas, à elle seule, de mesurer la qualité réelle de la couverture de sécurité.
Une console ne voit que ce qu’elle connaît
Un EDR est conçu pour détecter des comportements malveillants sur les équipements qu’il supervise correctement.
En revanche, il ne pourra jamais vous alerter sur un poste qu’il ne connaît pas, sur un serveur qui ne remonte plus depuis plusieurs jours ou sur une fonctionnalité de protection qui n’a jamais été activée.
Il ne vous dira pas non plus qu’une ancienne exclusion réduit désormais la visibilité sur une application sensible, ni qu’un groupe d’agents applique une politique héritée d’un ancien projet.
Ces situations ne déclenchent pas forcément d’alerte.
Elles réduisent simplement la visibilité.
Retour terrain
Endpoint Security • Couverture • Visibilité
Lors des revues de plateformes EDR, les problèmes les plus importants que je rencontre ne proviennent pas toujours des alertes générées.
Ils proviennent souvent d’une perte progressive de visibilité : équipements absents, agents silencieux, modules désactivés, exclusions anciennes ou politiques incohérentes.
Cette perte est généralement silencieuse. C’est précisément ce qui la rend dangereuse.
Les angles morts que je rencontre le plus souvent
Des équipements absents de la plateforme
De nouveaux serveurs sont déployés, des postes sont remplacés et des environnements évoluent.
Pour différentes raisons, certains équipements ne sont jamais intégrés à l’EDR.
La console ne les affichera pas comme non protégés. Elle ignore simplement leur existence.
Des exclusions oubliées
Une exclusion est créée pour résoudre un incident de production. Le problème disparaît. L’exclusion reste.
Quelques années plus tard, plus personne ne connaît sa justification, alors que son impact sur la visibilité existe toujours.
Des politiques appliquées de manière inégale
Au fil des projets, plusieurs politiques coexistent. Certaines machines bénéficient de toutes les protections attendues. D’autres héritent d’une configuration plus ancienne jamais remise en question.
La plateforme peut pourtant rester entièrement au vert.
Des agents présents, mais incomplets
L’agent apparaît bien connecté. Pourtant, certaines fonctionnalités ne sont pas actives, la télémétrie est partielle ou certains modules ne fonctionnent plus correctement.
À première vue, tout semble normal. Dans les faits, la couverture est incomplète.
Des machines devenues silencieuses
Certaines machines critiques ne remontent plus d’événements depuis plusieurs jours.
L’information existe parfois dans la plateforme, mais sans processus de revue, cette absence de communication peut facilement passer inaperçue.
POINT D’ATTENTION
Aucun de ces points ne fait nécessairement passer une console au rouge. Pourtant, chacun d’eux peut créer un angle mort durable.
Une plateforme EDR est un produit vivant
Une plateforme EDR n’est pas un équipement que l’on installe une fois pour toutes.
L’environnement évolue en permanence.
- De nouveaux serveurs apparaissent.
- Des applications sont déployées.
- Des exclusions sont ajoutées.
- Des politiques sont adaptées.
- Les équipes et les responsabilités changent.
Au fil du temps, la configuration dérive naturellement.
Cette dérive est normale. Ce qui ne l’est pas, c’est de ne jamais la mesurer.
Une plateforme EDR saine n’est pas seulement une plateforme sans alerte. C’est une plateforme dont la couverture, les politiques et la télémétrie sont régulièrement vérifiées.
Ce que je vérifie systématiquement
Lorsque je reprends une plateforme EDR, je commence rarement par les alertes.
Je préfère vérifier quelques points simples.
- Tous les équipements attendus sont-ils réellement présents ?
- Les politiques sont-elles cohérentes entre les différents groupes ?
- Les exclusions encore présentes sont-elles toujours justifiées ?
- Toutes les fonctionnalités de protection sont-elles activées ?
- Existe-t-il des agents silencieux depuis plusieurs jours ?
- Les indicateurs affichés correspondent-ils réellement au niveau de protection attendu ?
Très souvent, ces vérifications révèlent davantage de points d’amélioration que l’analyse des incidents elle-même.
Checklist opérationnelle
Avant de considérer qu’une plateforme EDR est correctement supervisée, je trouve utile de vérifier les éléments suivants.
Vérifier la couverture réelle d’une plateforme EDR
- Comparer l’inventaire EDR avec une source d’inventaire indépendante.
- Identifier les agents inactifs, silencieux ou jamais connectés.
- Contrôler les équipements critiques récemment ajoutés.
- Revoir les exclusions anciennes et leur justification.
- Comparer les politiques appliquées entre les différents groupes.
- Vérifier l’activation effective de chaque fonctionnalité de protection.
- Contrôler la qualité et la fraîcheur de la télémétrie remontée.
- Planifier une revue régulière de la plateforme.
Conclusion
Une console EDR au vert est une bonne nouvelle.
Mais elle ne constitue jamais, à elle seule, une preuve que l’environnement est correctement protégé.
Elle indique simplement que, selon les informations dont elle dispose, aucun problème majeur n’a été détecté.
Toute la difficulté consiste donc à vérifier que cette visibilité est réellement complète.
Une console EDR ne protège pas ce qu’elle ne voit pas.
NOTE TERRAIN
Ce que le terrain m’a appris : avant même d’analyser les alertes, il faut s’assurer que la plateforme voit réellement tout ce qu’elle devrait voir.
La maturité d’un EDR ne se mesure pas uniquement au nombre d’incidents détectés. Elle se mesure aussi à la qualité de sa couverture.
POINT D’ATTENTION
Cette Note de terrain est inspirée de situations rencontrées au cours de différentes missions. Les exemples présentés ont été volontairement anonymisés et généralisés afin de préserver la confidentialité des organisations concernées.