Choisir un antivirus / EDR pour votre entreprise

Antivirus classique ou EDR : quelle différence ?

L'antivirus traditionnel compare les fichiers à une base de signatures de menaces connues : il bloque ce qu'il reconnaît. Cette approche reste utile, mais elle est aveugle face aux attaques récentes : malwares inédits, scripts malveillants, attaques « sans fichier » qui détournent des outils légitimes de Windows.

L'EDR (Endpoint Detection and Response) change de logique : il surveille les comportements sur le poste — un processus qui chiffre des centaines de fichiers, un programme bureautique qui lance des commandes système — et peut réagir automatiquement : tuer le processus, isoler la machine du réseau, remonter une alerte détaillée pour l'investigation. Face aux ransomwares, dont notre guide dédié décrit le mode opératoire, cette capacité de détection comportementale et d'isolation fait toute la différence.

Critère	Antivirus classique	EDR
Détection	Signatures de menaces connues	Comportements suspects, y compris menaces inédites
Réaction	Blocage/quarantaine du fichier	Isolation du poste, arrêt des processus, investigation
Visibilité	Alerte ponctuelle	Chronologie complète de l'attaque
Exploitation	Quasi autonome	Demande un suivi des alertes (interne ou prestataire)
Prix indicatif	2–5 €/poste/mois	5–15 €/poste/mois

Pour une entreprise, même petite, l'EDR est devenu le standard recommandé : le surcoût est faible au regard du coût d'un seul incident sérieux.

Les critères de choix qui comptent vraiment

• Administration centralisée : une console unique qui montre l'état de tous les postes. Sans elle, impossible de savoir si l'agent tourne partout et à jour.
• Couverture complète : postes Windows et Mac, serveurs, et idéalement mobiles. Un serveur sans protection est une porte ouverte.
• Détection éprouvée : fiez-vous aux tests indépendants (AV-TEST, AV-Comparatives, MITRE ATT&CK Evaluations) plutôt qu'aux plaquettes commerciales.
• Impact sur les performances : un agent trop lourd pousse les utilisateurs à réclamer sa désactivation — le pire scénario.
• Qui exploite les alertes ? Un EDR qui bipe dans le vide ne protège pas. Si personne en interne ne peut suivre les alertes, optez pour une version managée (MDR) ou confiez l'exploitation à votre prestataire — c'est le modèle que nous pratiquons dans nos offres de cybersécurité et de supervision.
• Réversibilité et coût total : licences par poste et par an, engagement, facilité de migration vers un autre produit.

Les fonctionnalités clés à exiger

• Protection comportementale anti-ransomware avec restauration des fichiers touchés (rollback) chez certains éditeurs ;
• Isolation réseau à distance : couper un poste compromis du réseau en un clic, sans se déplacer ;
• Analyse des scripts et de la mémoire (PowerShell, macros Office), vecteurs favoris des attaquants ;
• Protection web et anti-phishing complémentaire au filtrage de messagerie — le phishing restant la première porte d'entrée ;
• Contrôle des périphériques (clés USB) et des applications, selon votre niveau d'exigence ;
• Rapports lisibles : un dirigeant doit pouvoir comprendre l'état de la protection en une page.

Sur le marché, les solutions les plus déployées en PME incluent Microsoft Defender for Business (inclus dans certaines licences Microsoft 365), SentinelOne, CrowdStrike, Bitdefender GravityZone ou ESET Protect. Le « meilleur » produit est celui qui sera correctement déployé et exploité.

Déploiement et administration : là où tout se joue

Un excellent EDR mal déployé protège moins qu'un antivirus moyen bien géré. Les règles d'un déploiement réussi :

• Couverture à 100 % : chaque poste, chaque serveur, y compris le portable du dirigeant et les machines des télétravailleurs. Les oublis sont précisément ce que cherchent les attaquants.
• Désinstallation protégée par mot de passe : ni un utilisateur ni un malware ne doit pouvoir couper la protection.
• Phase d'observation : commencez en mode détection sur un groupe pilote pour ajuster les exclusions (logiciels métier) avant le blocage généralisé.
• Suivi quotidien de la console : agents obsolètes, postes silencieux, alertes en attente. C'est une tâche récurrente de maintenance informatique, pas un réglage « une fois pour toutes ».
• Procédure d'incident écrite : qui isole le poste, qui analyse, qui décide de la remise en service.

Erreur fréquente : croire que l'EDR remplace tout le reste. Il protège les terminaux, pas vos comptes cloud sans MFA ni vos données sans sauvegarde. C'est une brique majeure d'une défense en profondeur, pas un bouclier total.