Pourquoi cet article ?
Au cours de différentes missions, une affirmation revient régulièrement.
Nous avons déployé notre EDR sur l’ensemble du parc.
La phrase est rassurante.
Elle signifie souvent que le projet de déploiement a été mené sérieusement, que les agents remontent correctement et que les politiques sont appliquées.
Mais elle soulève immédiatement une autre question.
Comment savons-nous que nous parlons réellement de l’ensemble du parc ?
Parce qu’avant de protéger un équipement, encore faut-il savoir qu’il existe.
NOTE TERRAIN
À retenir : un EDR ne protège que les équipements qu’il connaît. Un équipement absent de la console peut toujours être présent sur le réseau.
La confusion fréquente
Lorsqu’une console EDR affiche plusieurs milliers d’agents actifs, il est naturel d’avoir le sentiment que la couverture est complète.
Pourtant, cette console ne montre qu’une partie de la réalité.
Elle montre les équipements sur lesquels un agent est installé, actif et connu de la plateforme.
Elle ne montre pas ceux qui n’ont jamais été enrôlés.
Cette nuance paraît simple.
Sur le terrain, elle change pourtant complètement la manière d’évaluer un déploiement.
Un EDR ne protège que ce qu’il connaît.
Ce que le terrain montre
Je me souviens d’environnements où le déploiement EDR était considéré comme terminé.
Les tableaux de bord étaient propres.
Les agents communiquaient.
Les politiques étaient appliquées.
Sur le papier, le sujet semblait maîtrisé.
Retour terrain
Visibilité • Inventaire • Découverte
Puis, en croisant les informations avec d’autres sources ou en observant simplement ce qui communiquait réellement sur le réseau, plusieurs équipements apparaissaient.
Certains n’étaient présents dans aucune console EDR.
- Un NAS installé plusieurs années auparavant
- Une imprimante réseau multifonction
- Une caméra IP
- Une machine de laboratoire
- Une VM créée pour un projet temporaire
- Un poste jamais enrôlé
- Un équipement appartenant à un prestataire
Ces équipements n’étaient pas nécessairement compromis.
Mais ils échappaient totalement aux capacités de visibilité, de détection et de réponse apportées par l’EDR.
Le problème n’était pas que l’EDR fonctionnait mal.
Le problème était qu’on lui demandait implicitement de représenter l’ensemble du parc, alors qu’il ne pouvait représenter que les équipements qu’il connaissait.
Pourquoi est-ce important ?
Lorsqu’un incident survient, les équipes sécurité se tournent souvent vers leur console EDR.
C’est logique.
Elle fournit de la télémétrie, des événements, des capacités d’investigation et parfois des actions de réponse immédiates.
Mais un équipement absent de cette console ne produira aucun événement dans cette console.
- Aucune télémétrie endpoint
- Aucune détection comportementale
- Aucune investigation depuis la plateforme
- Aucune isolation possible depuis l’EDR
- Aucune politique de protection appliquée
POINT D’ATTENTION
L’absence d’information ne signifie pas toujours l’absence de risque. Elle peut simplement révéler une absence de visibilité.
C’est ce qui rend ces équipements sensibles.
Ils ne sont pas forcément critiques.
Ils ne sont pas forcément exposés.
Mais tant qu’ils ne sont pas identifiés, il est impossible de prendre une décision claire à leur sujet.
Ce que cette mission m’a appris
Pendant longtemps, j’associais la réussite d’un projet EDR au nombre d’agents installés.
C’est un indicateur utile.
Mais le terrain m’a progressivement appris qu’il ne suffisait pas.
Aujourd’hui, lorsque j’analyse un environnement, je ne regarde pas seulement combien d’équipements sont protégés.
Je cherche aussi à comprendre lesquels ne le sont pas.
La vraie question n’est pas seulement : combien d’agents sont déployés ? Mais aussi : quels équipements n’apparaissent dans aucune console ?
Ce sont souvent ces équipements qui méritent le plus d’attention.
Checklist opérationnelle
Lorsqu’un déploiement EDR est considéré comme terminé, je trouve utile de poser quelques questions simples.
Vérifier les angles morts d’un déploiement EDR
- Comparer la console EDR avec un inventaire indépendant.
- Identifier les équipements qui communiquent sans agent.
- Qualifier chaque équipement découvert.
- Déterminer si son absence de protection est volontaire ou non.
- Identifier le propriétaire de l’équipement.
- Documenter les exceptions acceptées.
- Contrôler régulièrement l’apparition de nouveaux équipements non protégés.
Les solutions existent
Cette problématique est désormais prise en compte par plusieurs éditeurs.
Certaines plateformes EDR proposent des fonctionnalités de découverte des équipements non protégés.
Chez SentinelOne, cette approche est disponible au travers d’Unprotected Device Discovery.
L’objectif n’est pas de remplacer une CMDB, un scanner de vulnérabilités ou un outil d’inventaire.
L’objectif est plus fondamental.
Identifier ce qui existe réellement sur le réseau avant de chercher à le protéger.
Conclusion
Déployer un EDR constitue une étape essentielle dans une stratégie de protection moderne.
Mais la qualité d’un déploiement ne se mesure pas uniquement au nombre d’agents installés.
Elle se mesure aussi à la capacité d’identifier les équipements qui échappent encore à cette protection.
NOTE TERRAIN
Ce que le terrain m’a appris : la première étape d’une stratégie de protection consiste souvent à identifier ce que l’on ne voit pas encore.
POINT D’ATTENTION
Cette Note de terrain est inspirée de situations rencontrées au cours de différentes missions. Les exemples présentés ont été volontairement anonymisés et généralisés afin de préserver la confidentialité des organisations concernées.