Votre EDR voit-il vraiment tout ?

Déployer un EDR est une étape essentielle. Encore faut-il connaître tous les équipements qu’il est censé protéger.

EDRAsset DiscoveryExposure ManagementAttack SurfaceEndpoint Security

À RETENIR

Executive Summary

  • Un EDR protège uniquement les équipements qu’il connaît.
  • Une console EDR ne représente pas toujours l’ensemble du parc informatique.
  • Les équipements non protégés constituent souvent des angles morts de sécurité.
  • Découvrir ces équipements est une étape indispensable avant même de parler de protection.

Pourquoi cet article ?

Au cours de différentes missions, une affirmation revient régulièrement.

Nous avons déployé notre EDR sur l’ensemble du parc.

La phrase est rassurante.

Elle signifie souvent que le projet de déploiement a été mené sérieusement, que les agents remontent correctement et que les politiques sont appliquées.

Mais elle soulève immédiatement une autre question.

Comment savons-nous que nous parlons réellement de l’ensemble du parc ?

Parce qu’avant de protéger un équipement, encore faut-il savoir qu’il existe.

NOTE TERRAIN

À retenir : un EDR ne protège que les équipements qu’il connaît. Un équipement absent de la console peut toujours être présent sur le réseau.

La confusion fréquente

Lorsqu’une console EDR affiche plusieurs milliers d’agents actifs, il est naturel d’avoir le sentiment que la couverture est complète.

Pourtant, cette console ne montre qu’une partie de la réalité.

Elle montre les équipements sur lesquels un agent est installé, actif et connu de la plateforme.

Elle ne montre pas ceux qui n’ont jamais été enrôlés.

Cette nuance paraît simple.

Sur le terrain, elle change pourtant complètement la manière d’évaluer un déploiement.

Un EDR ne protège que ce qu’il connaît.

Ce que le terrain montre

Je me souviens d’environnements où le déploiement EDR était considéré comme terminé.

Les tableaux de bord étaient propres.

Les agents communiquaient.

Les politiques étaient appliquées.

Sur le papier, le sujet semblait maîtrisé.

Retour terrain

Visibilité • Inventaire • Découverte

Puis, en croisant les informations avec d’autres sources ou en observant simplement ce qui communiquait réellement sur le réseau, plusieurs équipements apparaissaient.

Certains n’étaient présents dans aucune console EDR.

  • Un NAS installé plusieurs années auparavant
  • Une imprimante réseau multifonction
  • Une caméra IP
  • Une machine de laboratoire
  • Une VM créée pour un projet temporaire
  • Un poste jamais enrôlé
  • Un équipement appartenant à un prestataire

Ces équipements n’étaient pas nécessairement compromis.

Mais ils échappaient totalement aux capacités de visibilité, de détection et de réponse apportées par l’EDR.

Le problème n’était pas que l’EDR fonctionnait mal.

Le problème était qu’on lui demandait implicitement de représenter l’ensemble du parc, alors qu’il ne pouvait représenter que les équipements qu’il connaissait.

Pourquoi est-ce important ?

Lorsqu’un incident survient, les équipes sécurité se tournent souvent vers leur console EDR.

C’est logique.

Elle fournit de la télémétrie, des événements, des capacités d’investigation et parfois des actions de réponse immédiates.

Mais un équipement absent de cette console ne produira aucun événement dans cette console.

  • Aucune télémétrie endpoint
  • Aucune détection comportementale
  • Aucune investigation depuis la plateforme
  • Aucune isolation possible depuis l’EDR
  • Aucune politique de protection appliquée

POINT D’ATTENTION

L’absence d’information ne signifie pas toujours l’absence de risque. Elle peut simplement révéler une absence de visibilité.

C’est ce qui rend ces équipements sensibles.

Ils ne sont pas forcément critiques.

Ils ne sont pas forcément exposés.

Mais tant qu’ils ne sont pas identifiés, il est impossible de prendre une décision claire à leur sujet.

Ce que cette mission m’a appris

Pendant longtemps, j’associais la réussite d’un projet EDR au nombre d’agents installés.

C’est un indicateur utile.

Mais le terrain m’a progressivement appris qu’il ne suffisait pas.

Aujourd’hui, lorsque j’analyse un environnement, je ne regarde pas seulement combien d’équipements sont protégés.

Je cherche aussi à comprendre lesquels ne le sont pas.

La vraie question n’est pas seulement : combien d’agents sont déployés ? Mais aussi : quels équipements n’apparaissent dans aucune console ?

Ce sont souvent ces équipements qui méritent le plus d’attention.

Checklist opérationnelle

Lorsqu’un déploiement EDR est considéré comme terminé, je trouve utile de poser quelques questions simples.

Vérifier les angles morts d’un déploiement EDR

  • Comparer la console EDR avec un inventaire indépendant.
  • Identifier les équipements qui communiquent sans agent.
  • Qualifier chaque équipement découvert.
  • Déterminer si son absence de protection est volontaire ou non.
  • Identifier le propriétaire de l’équipement.
  • Documenter les exceptions acceptées.
  • Contrôler régulièrement l’apparition de nouveaux équipements non protégés.

Les solutions existent

Cette problématique est désormais prise en compte par plusieurs éditeurs.

Certaines plateformes EDR proposent des fonctionnalités de découverte des équipements non protégés.

Chez SentinelOne, cette approche est disponible au travers d’Unprotected Device Discovery.

L’objectif n’est pas de remplacer une CMDB, un scanner de vulnérabilités ou un outil d’inventaire.

L’objectif est plus fondamental.

Identifier ce qui existe réellement sur le réseau avant de chercher à le protéger.

Conclusion

Déployer un EDR constitue une étape essentielle dans une stratégie de protection moderne.

Mais la qualité d’un déploiement ne se mesure pas uniquement au nombre d’agents installés.

Elle se mesure aussi à la capacité d’identifier les équipements qui échappent encore à cette protection.

NOTE TERRAIN

Ce que le terrain m’a appris : la première étape d’une stratégie de protection consiste souvent à identifier ce que l’on ne voit pas encore.

POINT D’ATTENTION

Cette Note de terrain est inspirée de situations rencontrées au cours de différentes missions. Les exemples présentés ont été volontairement anonymisés et généralisés afin de préserver la confidentialité des organisations concernées.