Solution EDR : le comparatif des logiciels de détection et de réponse pour les entreprises

Un EDR, pour Endpoint Detection and Response, est un logiciel qui surveille en permanence les postes de travail et les serveurs pour repérer une attaque en cours, l'analyser et y répondre. L'ANSSI le définit comme un « système logiciel de détection, d'investigation et de réponse aux incidents de sécurité susceptibles d'affecter les postes de travail et les serveurs informatiques ». Là où un antivirus bloque ce qu'il reconnaît, l'EDR observe ce que font les programmes et les comptes, et permet d'isoler une machine en quelques clics.

Ce comparatif des solutions EDR pour les entreprises détaille aussi ce que les éditeurs ne mettent pas en avant : qui est réellement certifié ou qualifié par l'ANSSI, ce que change NIS2, et pourquoi l'indemnisation d'une cyberattaque suppose de détecter vite.

La plupart des attaques commencent par un e-mail piégé : pour former vos salariés, voyez le comparatif des plateformes de sensibilisation au phishing.

Pour centraliser et corréler les journaux de tout votre système d'information, au-delà des postes de travail, voyez aussi le comparatif des solutions SIEM, et pour les autres outils informatiques l'ensemble des comparatifs de logiciels tech.

Comment fonctionne une solution EDR : collecte des données, analyse et réponse aux menaces

Un EDR repose sur un agent léger installé sur chaque poste et chaque serveur, relié à une console centrale. Son travail se déroule en quatre temps.

• Collecte des données : l'agent enregistre en continu ce qui se passe sur la machine, comme les processus lancés, les fichiers créés ou modifiés, les connexions réseau et les ouvertures de session.
• Analyse : ces événements remontent vers la console, où ils sont comparés à des règles de détection, à des renseignements sur les menaces et à des modèles de comportement.
• Détection et alerte : une suite d'actions anormale, par exemple un logiciel de bureautique qui lance une commande système puis contacte un serveur inconnu, déclenche une alerte classée par gravité.
• Réponse : l'analyste, ou une règle automatique, isole la machine, arrête le processus ou met le fichier en quarantaine, puis s'appuie sur l'historique conservé pour retracer l'attaque.

C'est cette mémoire de l'activité qui distingue un EDR : même lorsqu'une menace passe la première barrière, les traces permettent de comprendre par où elle est entrée et quelles machines elle a touchées.

EDR, antivirus, XDR, MDR : quelle différence ?

• Antivirus (ou EPP) : il bloque les fichiers et comportements malveillants connus, avant qu'ils ne s'exécutent. C'est la première ligne de défense, et elle reste nécessaire.
• EDR : il enregistre l'activité des postes et des serveurs, détecte les comportements suspects, y compris ceux d'un attaquant qui utilise des outils légitimes, et donne les moyens d'enquêter et de réagir : isoler la machine, arrêter un processus et, selon les solutions, annuler les modifications. Beaucoup d'offres actuelles réunissent antivirus et EDR dans un seul agent.
• XDR : il étend la détection au-delà des postes, en corrélant aussi la messagerie, le réseau, le cloud et les identités.
• MDR : ce n'est pas un logiciel mais un service. Des analystes surveillent vos alertes à votre place, souvent jour et nuit. Pour une PME sans équipe de sécurité, c'est souvent la vraie question : un EDR génère des alertes, encore faut-il que quelqu'un les traite.

Les avantages d'un EDR pour la protection de l'entreprise

• Visibilité : un seul écran montre l'état de protection de tout le parc et l'activité de chaque machine.
• Détection des menaces inconnues : l'analyse des comportements repère des attaques sans signature, comme l'usage détourné d'outils d'administration.
• Réaction rapide : isoler un poste à distance limite la propagation d'un rançongiciel pendant que l'équipe enquête.
• Enquête facilitée : l'historique des événements raccourcit l'analyse d'un incident et aide à rédiger la déclaration aux autorités ou à l'assureur.
• Conformité : la gestion des incidents fait partie des mesures attendues par NIS2 et des questions posées par les assureurs cyber.

Les fonctionnalités d'une solution EDR à comparer

• Détection comportementale : repérer une attaque à partir de ce que font les programmes et les comptes, pas seulement de signatures connues.
• Investigation : une chronologie claire de ce qui s'est passé sur une machine, pour comprendre l'origine d'une attaque.
• Réponse : isoler un poste du réseau, arrêter un processus, supprimer un fichier et, selon les solutions, annuler les modifications.
• Recherche de menaces : interroger l'ensemble du parc pour vérifier si un indicateur d'attaque est présent ailleurs.
• Couverture : Windows, macOS, Linux, serveurs, et parfois mobiles ou machines anciennes.
• Console et hébergement : en cloud ou sur vos serveurs, avec le pays d'hébergement des données.
• Intégrations : remontée des alertes vers un SIEM, et possibilité d'un service de surveillance managée (MDR).

Les meilleures solutions EDR comparées

Les éditeurs français et européens

HarfangLab, éditeur français fondé en 2018, propose une plateforme qui réunit antivirus, EDR et gestion de la surface d'attaque pour les postes et les serveurs, déployable dans le cloud, sur un cloud qualifié SecNumCloud ou sur vos propres serveurs. C'est aujourd'hui le seul EDR qualifié par l'ANSSI (voir plus bas).

Stormshield Endpoint Security Evolution, de l'éditeur français Stormshield, né du rachat d'Arkoon et de Netasq par Airbus Defence and Space, protège les postes et les serveurs sans reposer sur des signatures, et sait couvrir des environnements anciens comme Windows XP, un atout pour les sites industriels. Il est certifié CSPN par l'ANSSI.

Tehtris, éditeur français, intègre son EDR, baptisé EDR Optimus, à une plateforme XDR plus large (SIEM, orchestration, analyse réseau) couvrant Windows, Mac, Linux et les mobiles, avec un service de surveillance managée.

WithSecure Elements, de l'éditeur finlandais WithSecure, combine antivirus et EDR dans un seul agent pour Windows, macOS et Linux. L'éditeur propose un essai gratuit de 30 jours, sans carte bancaire.

Les plateformes internationales

CrowdStrike Falcon et SentinelOne Singularity comptent parmi les références mondiales de l'EDR en cloud. Ils publient des prix, mais en dollars, y compris sur leurs pages en français.

Microsoft Defender for Business est l'option la plus simple si votre entreprise travaille déjà sous Microsoft 365 : il est conçu pour les organisations jusqu'à 300 utilisateurs. Au-delà, Microsoft propose Microsoft Defender for Endpoint.

TrendAI Vision One, le nouveau nom de la plateforme de Trend Micro, réunit EDR et XDR sur les postes, les serveurs, la messagerie, le cloud et le réseau, avec une licence fondée sur des crédits.

Sophos Intercept X, désormais commercialisé sous le nom Sophos Endpoint, intègre l'EDR à sa protection des postes de travail.

Les éditeurs d'antivirus passés à l'EDR

ESET, Bitdefender GravityZone et Kaspersky Next EDR déclinent leur antivirus d'entreprise en offres EDR ou XDR, avec un essai gratuit chez chacun des trois. Chez ESET, lisez bien le détail des offres : la page de l'éditeur indique selon les endroits que le module de détection et réponse est inclus à partir de l'offre Elite ou à partir de l'offre MDR.

Enfin, Acronis propose un EDR intégré à sa solution de sauvegarde, pensé pour les prestataires informatiques qui gèrent le parc de leurs clients.

Comment choisir sa solution EDR

• Qui traitera les alertes ? Sans équipe de sécurité, privilégiez une offre avec surveillance managée (MDR) ou un prestataire qui l'assure.
• Quels systèmes couvrir ? Windows, macOS, Linux, serveurs, mobiles, et parfois des machines anciennes en environnement industriel.
• Où vont vos données ? Un EDR collecte beaucoup d'informations sur vos postes. Demandez où elles sont hébergées et s'il existe une option sur vos serveurs ou sur un cloud qualifié SecNumCloud.
• Quelles exigences externes ? Marché public, donneur d'ordre, assureur, future obligation NIS2 : vérifiez si l'on vous demande un produit qualifié ou certifié par l'ANSSI, et contrôlez-le dans le catalogue de l'agence.
• Quel écosystème ? Si vous êtes déjà sous Microsoft 365, l'EDR de Microsoft s'intègre à votre environnement ; sinon, comparez la console, la qualité du support en français et la facilité de désinstallation.

Combien coûte une solution EDR ?

Les prix des EDR se comptent par poste ou par utilisateur, et par an. Peu d'éditeurs les publient : HarfangLab, Tehtris, Stormshield, WithSecure, Trend Micro, Sophos, Kaspersky et Acronis n'affichent pas de prix public. Voici les prix publics relevés à la source le 24 septembre 2026 :

• Microsoft Defender for Business : 2,60 € HT par utilisateur et par mois, en paiement annuel, avec jusqu'à 5 appareils par utilisateur.
• ESET : l'éditeur publie des prix en ligne, mais le module de détection et de réponse n'est inclus que dans ses offres supérieures (Elite ou MDR selon les pages) : vérifiez le prix de l'offre qui l'inclut.
• CrowdStrike Falcon : les offres s'affichent de 59,99 $ à 184,99 $ par appareil et par an, en dollars ; vérifiez lesquelles incluent la détection et la réponse.
• SentinelOne Singularity : 179,99 $ ou 229,99 $ par poste et par an selon l'offre, également en dollars.

Deux coûts se cachent derrière la licence. Le premier est humain : quelqu'un doit lire les alertes et y répondre, ce qui conduit beaucoup de PME à ajouter un service MDR ou à confier la surveillance à leur prestataire informatique. Le second est le déploiement : un EDR mal réglé produit des faux positifs qui lassent les équipes. Demandez à l'éditeur ou à l'intégrateur ce que comprend la mise en service.

Déployer un EDR : pièges à éviter et limites

• Déployer partout : un poste ou un serveur oublié devient le point d'entrée idéal. Faites l'inventaire du parc avant d'installer les agents.
• Commencer en mode observation : sur un groupe pilote, laissez l'outil apprendre avant d'activer le blocage automatique, pour ne pas interrompre un logiciel métier.
• Régler les exclusions avec parcimonie : chaque dossier exclu pour faire taire une fausse alerte est un angle mort.
• Tester la réponse : vérifiez qu'un poste peut réellement être isolé, et qui reçoit l'alerte la nuit et le week-end.
• Maintenir les agents à jour : un agent ancien ou désactivé ne protège plus, et la console doit le signaler.

Un EDR a aussi ses limites. Il ne voit que les machines où son agent est installé : imprimantes, caméras, équipements réseau ou objets connectés lui échappent, d'où l'intérêt d'un XDR ou d'un SIEM pour une vision plus large. Il ne remplace ni les sauvegardes, ni les mises à jour, ni la sensibilisation des salariés. Et il ne vaut que par le temps consacré à ses alertes.

EDR qualifié ou certifié par l'ANSSI : ce que dit vraiment le catalogue

« Solution souveraine », « certifiée », « qualifiée » : les arguments se ressemblent sur les sites des éditeurs, mais ils ne recouvrent pas la même chose. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) publie un catalogue des produits certifiés et qualifiés, mis à jour au moins une fois par mois. C'est la seule source à consulter.

• La certification CSPN porte sur un produit dans une version précise. Dans l'édition du catalogue du 15 septembre 2026, deux EDR ont une certification en cours de validité : HarfangLab EDR (version 3, certificat valable jusqu'au 22 août 2027) et Stormshield Endpoint Security Evolution (version 2.4.3, certificat valable jusqu'au 13 novembre 2026).
• La qualification est le label que l'ANSSI met en avant : son guide d'hygiène informatique recommande de « privilégier l'usage de produits et de services qualifiés par l'ANSSI », en précisant que la qualification « offre des garanties de sécurité et de confiance aux acheteurs ». Dans la même édition, un seul EDR est qualifié : HarfangLab EDR 3.X, au niveau élémentaire, jusqu'au 16 décembre 2027.

Deux réflexes en découlent. Vérifiez la version : une certification porte sur une version donnée, pas sur le nom commercial. Et vérifiez la date de validité : celle de Stormshield arrive à échéance en novembre 2026. Si votre client public ou votre donneur d'ordre exige un produit qualifié, c'est ce catalogue qui fera foi, pas la plaquette de l'éditeur.

Pour la surveillance confiée à un prestataire, l'ANSSI qualifie aussi des prestataires de détection des incidents de sécurité (PDIS). C'est une qualification de service, distincte de celle du logiciel.

NIS2 : où en est la France ?

La directive européenne NIS2 (directive (UE) 2022/2555) étend les obligations de cybersécurité à de nombreuses entreprises de taille moyenne. En France, sa transposition n'est pas encore achevée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 12 mars 2025, et son examen en séance publique à l'Assemblée nationale était programmé à partir du 7 octobre 2026. L'ANSSI l'écrit elle-même : « La transposition de la directive NIS 2 en France est en cours. »

Selon l'ANSSI, seront des entités essentielles celles qui emploient « au moins 250 personnes ou ont un chiffre d'affaires annuel supérieur à 50 millions d'euros et un bilan annuel supérieur à 43 millions d'euros », et des entités importantes celles qui emploient « au moins 50 personnes ou ont un chiffre d'affaires et un bilan annuel supérieur à 10 millions d'euros », dans les secteurs visés par la directive.

La directive ne cite aucun outil, et le mot EDR n'y figure pas. Mais son article 21 impose des mesures qui comprennent au moins « la gestion des incidents » et « la continuité des activités, par exemple la gestion des sauvegardes », et son article 23 prévoit une alerte précoce aux autorités dans les 24 heures qui suivent la connaissance d'un incident important, puis une notification dans les 72 heures. Sans outil de détection sur les postes et les serveurs, tenir ces délais est illusoire. C'est la raison concrète pour laquelle les entreprises concernées s'équipent.

Assurance cyber : la règle des 72 heures

Depuis le 24 avril 2023, l'article L. 12-10-1 du Code des assurances encadre l'indemnisation des pertes liées à une cyberattaque. Pour les entreprises et les professionnels, le versement est « subordonné au dépôt d'une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l'atteinte par la victime ». Autrement dit, sans détection rapide, vous risquez de découvrir l'attaque trop tard pour porter plainte dans les délais et être indemnisé.

Cet article n'impose aucun outil. En revanche, les assureurs peuvent l'exiger dans leurs questionnaires de souscription : lisez le vôtre avant de choisir, car il peut aussi préciser la couverture attendue (tous les postes, les serveurs, une surveillance permanente).

Pourquoi les PME sont concernées

Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes, les piratages de comptes en ligne sont désormais « en tête des menaces touchant les professionnels (+45%) ». Pour les entreprises et associations, le rapport précise : « Les rançongiciels prennent la quatrième place en 2025 avec 8,1 % des demandes d'assistance. » Et il ajoute : « Cette menace reste la plus redoutable et la plus impactante pour une organisation. » Un antivirus classique reconnaît des menaces connues. Un EDR surveille les comportements, ce qui permet de repérer une attaque en cours, par exemple un compte légitime qui se met à chiffrer des fichiers, et d'isoler la machine avant que le rançongiciel ne se propage.