EDR vs antivirus : quoi déployer quand on a peu de budget

Tu as un parc de PC au lycée, une petite PME, une asso, ou juste ton homelab. Et tu dois trancher entre un antivirus classique et un EDR, avec… pas grand-chose en budget. C’est hyper courant. Et en pratique, le choix n’est pas « EDR ou antivirus », c’est plutôt : qu’est-ce que je peux protéger correctement, maintenant, sans me mentir sur ce que je n’ai pas les moyens d’opérer.

Sur BTS SIO2 SISR Tech Lab on parle souvent d’outils concrets, de supervision, de sécurité « du quotidien ». Donc ici, l’idée n’est pas de faire une brochure marketing. On va regarder les vraies différences, les vrais coûts cachés, et surtout quoi déployer selon ton contexte.

Antivirus et EDR : c’est la même chose, non ?

Non. Mais je comprends la confusion, parce que les éditeurs adorent tout mélanger.

Un antivirus (AV), historiquement, c’est :

• une protection préventive (signatures, heuristique, parfois un peu de comportemental)
• du blocage à l’exécution ou au téléchargement
• un tableau de bord basique si tu prends une version « business »
• et souvent une promesse : « je te bloque les malwares connus et une partie des inconnus »

Un EDR (endpoint detection and response), c’est autre chose :

• une collecte très détaillée de télémétrie poste (process, parent process, commandes, connexions réseau, accès fichiers, registres, etc.)
• de la détection orientée comportements et chaînes d’attaque (genre MITRE ATT&CK)
• une capacité de réponse : isoler un poste, tuer un process, faire une quarantaine ciblée, lancer une investigation, parfois du rollback
• et un gros focus sur « je t’aide à comprendre ce qui s’est passé, et à le contenir »

Dit autrement : l’antivirus essaie d’empêcher l’incendie. L’EDR accepte qu’il y aura peut-être un feu, et veut te donner des caméras, une alarme, et des extincteurs par pièce. Sauf que… il faut quelqu’un pour regarder les caméras.

Le vrai sujet quand on a peu de budget : le coût d’exploitation

C’est là que beaucoup se plantent.

Parce qu’un EDR peut être « pas trop cher » par poste. Mais si tu n’as personne pour :

• lire les alertes
• trier le bruit
• corréler avec ce qui se passe sur le réseau et l’AD
• lancer des actions de remédiation sans casser la prod

… tu as juste acheté une sirène qui hurle dans une salle vide. Et tu te retrouves à désactiver des règles, ignorer des alertes, et à la fin tu n’as plus confiance.

À l’inverse, un antivirus bien configuré, même simple, peut déjà réduire énormément les risques les plus courants, surtout si tu rajoutes des basiques : patching, moindre privilège, filtrage DNS, sauvegardes, segmentation.

Donc le choix dépend autant de ton niveau de maturité que de ton budget.

Comparatif simple : EDR vs antivirus (version terrain)

Ce que l’antivirus fait bien

• Bloquer les malwares « classiques » (macro connue, trojan connu, exécutable packé standard)
• Protéger sans trop de tuning
• Demander peu de compétences au quotidien
• Être acceptable sur de vieux PC (souvent, pas toujours…)

Là où l’antivirus est faible

• Les attaques « living off the land » (PowerShell, WMI, rundll32, mshta…)
• Les mouvements latéraux discrets dans l’AD
• Les scénarios où tu as besoin d’une enquête : qui a lancé quoi, depuis où, à quelle heure
• La réponse rapide et centralisée (isoler une machine immédiatement, par exemple)

Ce que l'EDR fait bien

• Détecter des comportements suspects, même sans signature
• Donner une visibilité poste très utile pour enquêter
• Aider à contenir rapidement (isolation réseau, suppression, blocages)
• Fournir des IOC et des timelines exploitables

Là où l'EDR est faible (ou plutôt exigeant)

• Il faut du temps humain et un minimum de méthode
• Certaines consoles sont complexes
• Le bruit d'alertes au début peut être décourageant
• Sans process incident, tu ne sais pas quoi faire quand ça sonne

Scénarios concrets : quoi choisir selon ton contexte

1) Très petit parc (1 à 20 postes), pas d'équipe sécu, budget serré

Ici, je privilégie généralement un bon antivirus « business » ou un AV intégré bien géré, complété par des mesures gratuites ou peu coûteuses autour.

Pourquoi ? Parce qu'un EDR sans supervision, c'est souvent du stress et peu de bénéfices.

À faire en priorité (effet énorme, coût faible) :

• Mises à jour OS et logiciels (navigateur, Java si présent, Adobe, etc.)
• Comptes utilisateurs sans admin local
• Sauvegardes testées (vraiment testées)
• Filtrage DNS (au minimum)
• MFA sur messagerie

Si tu es en environnement Microsoft, Microsoft Defender Antivirus (intégré) n'est pas « nul par défaut ». La question c'est : est-ce que tu le pilotes correctement, est-ce que tu vois les alertes, est-ce que tu as des politiques.

2) Parc moyen (20 à 200 postes), un admin ou une petite équipe IT

Là, tu peux commencer à te poser la question EDR, mais avec un angle réaliste :

• si tu as 0 temps pour traiter des alertes : reste sur AV + durcissement
• si tu peux consacrer un créneau hebdo à la revue des alertes : un EDR light ou un EPP/EDR « hybride » peut valoir le coup

Le bon compromis, souvent, c’est une solution qui fait EPP + EDR (prévention + détection), avec des alertes pas trop verbeuses.

Mais attention : même dans ce cas, il faut une petite routine. Typiquement :

• 2 fois par semaine : revue des alertes « high »
• 1 fois par semaine : patch compliance + machines à risque
• 1 fois par mois : exercice « et si un poste est chiffré ? »

3) Besoin conformité ou assurance (et ça pousse fort)

Parfois la décision n’est même pas technique. Assurance cyber, audit, exigences client. Le mot « EDR » est dans la checklist.

Dans ce cas, deux options réalistes quand on manque de budget :

• EDR, mais avec MSSP (supervision externalisée). Ça coûte, mais c’est le seul moyen de ne pas le laisser mourir.
• ou solution de sécurité intégrée (suite endpoint) avec un minimum d’accompagnement.

Oui, c’est frustrant, mais c’est ça le vrai jeu : un EDR « non opéré » est parfois pire qu’un AV, parce qu’il donne une fausse impression de contrôle.

Le piège classique : croire qu’EDR = plus de sécurité automatique

Un EDR t’apporte plus de visibilité. Pas forcément plus de protection immédiate. Surtout si tu ne sais pas exploiter les signaux.

Je le dis sans ironie : parfois, pour une petite structure, la meilleure amélioration sécurité, ce n’est pas EDR. C’est :

• retirer l’admin local
• activer MFA partout
• bloquer les macros Internet
• faire des sauvegardes offline
• segmenter le réseau (même simple)
• et avoir un plan de réponse incident de 1 page

L’EDR devient pertinent quand tu es prêt à répondre. À enquêter. À isoler.

« Ok, mais concrètement, si je dois choisir demain ? » Une grille rapide

Réponds honnêtement à ces questions :

1. Est-ce que quelqu’un lira les alertes EDR au moins 2 fois par semaine ?

• non : antivirus
• oui : EDR possible

2. Est-ce que tu as déjà des logs utiles ailleurs (pare-feu, AD, proxy) ?

• non : un EDR peut être ton premier vrai capteur… mais tu risques d’être noyé
• oui : EDR devient plus puissant car tu peux corréler

3. Ton risque principal c’est quoi ?

• ransomware opportuniste via phishing : AV + durcissement + sauvegardes peut suffire
• attaque ciblée, mouvement latéral, comptes AD : EDR aide beaucoup

4. Tu as une procédure d’incident, même simple ?

• non : commence par ça, sinon EDR ou AV tu paniques pareil
• oui : EDR peut accélérer la réponse

Ce que je déploierais avec un budget mini (plan par étapes)

Ici je donne un plan « progressif ». L’idée c’est que tu améliores la sécurité même si tu n’achètes pas d’EDR tout de suite.

Étape 1 : socle gratuit ou quasi gratuit

• MFA messagerie + admin
• patch management (même basique)
• suppression admin local
• sauvegardes + test restauration
• filtrage DNS
• sensibilisation minimale (phishing, pièces jointes)

Étape 2 : antivirus géré correctement

• console centralisée si possible
• politiques cohérentes (USB, PUA, protection cloud, tamper protection)
• exclusions minimales (pas de « C:\ » en exclusion… pitié)
• revue mensuelle des détections

Étape 3 : ajouter une brique EDR seulement si tu peux l’opérer

• commencer par un périmètre réduit (postes admin, serveurs critiques)
• définir 5 actions standards : isoler, scan complet, collecte, reset mdp, ticket incident
• documenter une routine de tri des alertes

Et pour un contexte BTS SIO SISR : quoi apprendre, quoi tester en lab

Si tu es étudiant SISR, ou si tu encadres des étudiants, le sujet EDR vs AV est parfait parce qu’il mélange technique et méthode.

En lab, tu peux te faire un mini scénario :

• une VM Windows client
• une VM Windows Server (AD)
• une VM Linux pour un serveur de logs
• un pare-feu virtuel (pfSense/OPNsense)

Objectif : comparer ce que tu vois avec un antivirus « classique » vs ce que tu vois avec une brique EDR.

Quelques exercices simples :

• exécution PowerShell suspecte : est-ce que tu la vois ? où ?
• création d’un compte local admin : remonte-t-il une alerte ?
• tentative de dump de credentials (simulation, sans faire n’importe quoi) : quels signaux apparaissent ?

On publie régulièrement des labs et de la veille sur https://sio1blog.blogspot.com/, donc si tu veux, tu peux t’en servir comme base pour documenter ton propre TP, faire une fiche méthode, ou même un petit retour d’expérience. Le genre d’article qui aide vraiment toute une promo.

Quelques conseils pratiques avant achat (ça évite des regrets)

Ne compare pas uniquement les features

Compare le « package réel » :

• qualité des alertes (précision, contexte)
• simplicité de la console
• actions de réponse (isolation, suppression, blocage hash, etc.)
• intégration avec ton environnement (AD, M365, SIEM si tu en as un)
• support et docs

Fais un POC

Même 7 jours. Même sur 5 machines. Tu veux voir :

• le bruit d’alertes
• les faux positifs
• la charge machine
• la facilité de déploiement
• le temps moyen pour comprendre une alerte

Attention au « EDR inclus » dans une suite

Parfois c’est un EDR très limité, ou alors la partie réponse est payante, ou alors les fonctionnalités intéressantes sont dans la licence supérieure. Lis les conditions, vraiment.

Conclusion : EDR ou antivirus quand on a peu de budget ?

Si je résume sans faire trop long, voilà la version honnête :

• Si tu as peu de budget et peu de temps humain : déploie un antivirus solide, mais surtout renforce ton socle (MFA, patch, sauvegardes, moindre privilège). C’est là que tu gagnes le plus.
• Si tu as un minimum de capacité opérationnelle (même 2 heures par semaine) et un besoin de visibilité : un EDR devient pertinent, surtout sur les postes sensibles (admins, serveurs, postes direction).
• Si tu veux un EDR juste pour « cocher une case » et que personne ne le regarde : mieux vaut investir dans le socle. Vraiment.

Si tu veux, on peut aussi faire une suite plus « lab » sur BTS SIO2 SISR Tech Lab : une checklist de déploiement, un mini guide de tri d’alertes, et un TP simple pour comparer ce que remonte un AV vs un EDR en environnement Windows AD. Ça, typiquement, ça sert tout de suite sur le terrain.

Questions fréquemment posées

Quelle est la différence principale entre un antivirus classique et un EDR ?

Un antivirus est une protection préventive qui bloque les malwares connus à l'exécution ou au téléchargement, souvent avec un tableau de bord basique. Un EDR (Endpoint Detection and Response) collecte une télémétrie très détaillée, détecte des comportements suspects, permet une réponse rapide comme isoler un poste, et aide à comprendre et contenir une attaque.

Pourquoi ne pas simplement choisir un EDR si c'est plus avancé ?

L'EDR demande du temps humain et des compétences pour analyser les alertes, trier le bruit, corréler les informations et lancer des actions sans perturber la production. Sans ces ressources, l'EDR peut devenir inefficace et générer de la frustration.

Quels sont les avantages d'un antivirus dans un contexte à faible budget ?

Un antivirus bien configuré peut bloquer efficacement les malwares classiques sans nécessiter beaucoup de tuning ni de compétences quotidiennes. Il est aussi souvent compatible avec des PC plus anciens et réduit déjà beaucoup les risques courants lorsqu'il est accompagné de bonnes pratiques comme le patching ou la segmentation réseau.

Quelles sont les limites d'un antivirus face aux attaques modernes ?

L'antivirus est moins efficace contre les attaques 'living off the land' utilisant des outils légitimes comme PowerShell ou WMI, contre les mouvements latéraux discrets dans l'Active Directory, ou lorsqu'une enquête détaillée sur l'origine d'une attaque est nécessaire. Il ne permet pas non plus une réponse rapide centralisée comme l'isolation immédiate d'une machine compromise.

Quels sont les points forts d'un EDR pour la sécurité quotidienne ?

L'EDR détecte des comportements suspects même sans signature préalable, offre une visibilité détaillée sur chaque poste pour enquêter efficacement, permet de contenir rapidement une menace via isolation réseau ou suppression de processus, et fournit des indicateurs de compromission (IOC) ainsi que des timelines exploitables.

Comment choisir entre un antivirus et un EDR selon son contexte ?

Le choix dépend du budget mais surtout du niveau de maturité en sécurité. Si vous avez peu de ressources humaines pour gérer les alertes et incidents, un antivirus bien configuré avec des mesures basiques reste efficace. Si vous disposez d'une équipe capable d'analyser et répondre aux alertes, un EDR offre une protection avancée adaptée aux menaces modernes.