EDR et SIEM

EDR (Endpoint Detection and Response)

• Télémétrie détaillée des postes et serveurs (processus, connexions, registre, fichiers) analysée en continu.
• Détection comportementale (au-delà des signatures antivirus), isolation d'un poste à distance, arrêt de processus, collecte d'éléments, retour arrière sur certains rançongiciels.
• Exemples : Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne, Elastic Defend.
• XDR : corrélation au-delà des postes (identité, messagerie, cloud).

SIEM (Security Information and Event Management)

• Collecter, normaliser et conserver les journaux (postes, serveurs, AD, pare-feu, proxy, cloud, applications).
• Corréler pour détecter (cas d'usage : bruteforce, connexion impossible, création de compte admin, effacement de journaux).
• Exemples : Microsoft Sentinel, Splunk Enterprise Security, Elastic Security, QRadar.
• SOAR : automatiser la réponse (playbooks).
• Cartographier les détections avec MITRE ATT&CK pour repérer les angles morts.