Cybersécurité
L'antivirus ne voit pas tout : la protection des postes (EDR)
ST
L'antivirus bloque ce qu'il connaît déjà. Le problème, ce sont les menaces qu'il n'a jamais vues.
03/11/2026
10:10
L'antivirus bloque le connu. La protection des postes repère l'anormal.
Chaque poste de votre organisation a un antivirus. C'est devenu un réflexe, presque un meuble : il est là, il tourne, on n'y pense plus. Et cette tranquillité est en partie justifiée, car un antivirus fait bien son travail sur ce qu'il connaît. Le problème commence avec ce qu'il ne connaît pas. Les attaques d'aujourd'hui ne ressemblent plus à un virus qu'un antivirus repère du premier coup d'œil. Elles changent de forme et détournent des outils légitimes. Selon le résumé PME du rapport 2025 de Verizon sur les violations de données (DBIR), un rançongiciel apparaît dans 88 % des violations touchant les entreprises de moins de 1 000 employés, contre 39 % pour les grandes : autrement dit, quand une petite structure est touchée, l'attaque prend le plus souvent cette forme. En Suisse, une PME compte moins de 250 employés, ce seuil recouvre donc des entreprises souvent plus grandes. La bonne question n'est donc plus « avez-vous un antivirus », mais « que se passe-t-il le jour où quelque chose d'inconnu passe la porte ».
Le problème : l'antivirus connaît le passé, pas l'imprévu
Un antivirus classique fonctionne par reconnaissance. Il compare chaque fichier à une liste de menaces déjà identifiées, un peu comme un videur qui laisse entrer ou refuse selon des photos de personnes connues. Tant que l'attaque est répertoriée, il la bloque. Mais un attaquant sérieux ne se présente pas avec un visage connu. Il modifie son code à chaque campagne, il se cache dans des outils d'administration tout à fait normaux, il exploite une faille que personne n'a encore corrigée (une faille dite « zero-day »). Rien de tout cela ne figure sur la liste. L'antivirus laisse passer, sans rien signaler, et c'est précisément ce silence qui coûte cher.
Ce qu'on observe sur le terrain
Chez les PME, les communes et les institutions romandes que nous accompagnons, le constat revient souvent : un antivirus a été installé il y a quelques années, il affiche un petit bouclier vert, et personne ne regarde ce qu'il raconte. Pas de vision d'ensemble sur les postes, pas de trace de ce qui s'est passé après une alerte, pas de réponse organisée quand une machine se comporte bizarrement un vendredi soir. Le chiffre de Verizon le dit sans détour : quand une petite structure subit une violation, elle a bien plus de chances qu'une grande d'y trouver un rançongiciel. Il ne dit pas qu'elle est davantage visée, mais que l'attaque, lorsqu'elle survient, prend le plus souvent cette forme. L'antivirus seul y tient lieu de protection, alors qu'il n'en est que la première couche.
Ce que change la protection des postes (EDR)
La protection des postes, désignée par son sigle anglais EDR (Endpoint Detection and Response), ne remplace pas l'antivirus : elle regarde ce que l'antivirus ne voit pas. Au lieu de se demander « est-ce que je connais ce fichier », elle se demande « est-ce que ce comportement est normal ». Concrètement, un EDR observe ce qui se passe sur chaque poste et serveur. Un processus qui se met soudain à chiffrer des centaines de fichiers, une commande d'administration lancée à une heure inhabituelle, une machine qui cherche à en contacter d'autres sans raison : voilà les signes qu'il repère, même si le programme en cause n'a jamais été vu ailleurs. Il garde une trace de tout, ce qui permet de comprendre après coup par où c'est arrivé. Et surtout, il peut réagir, par exemple isoler automatiquement une machine infectée du reste du réseau avant que la contamination ne se propage. La différence tient en une phrase : l'antivirus bloque le connu, l'EDR repère l'anormal et laisse une chance de réagir.
L'approche Computis
Un EDR n'est pas une case à cocher. Installé puis oublié, il produit des alertes que personne ne lit, et une alerte que personne ne lit ne protège de rien. Nous le déployons donc comme un ensemble : la technologie elle-même, avec notre partenaire SentinelOne, configurée pour votre environnement réel, puis la partie qui compte vraiment, quelqu'un qui regarde et qui répond. Cette supervision de sécurité (SOC), nous la proposons sur demande et sous conditions, dimensionnée à une PME ou à une commune, sans vous vendre un centre de surveillance de grand groupe. L'objectif n'est pas d'empiler un outil de plus, mais de combler le vide entre le moment où quelque chose d'anormal se produit et le moment où quelqu'un s'en occupe.
L'antivirus bloque ce qu'il connaît déjà. Le problème, ce sont les menaces qu'il n'a jamais vues.
FAQ
L'EDR et l'antivirus, est-ce la même chose ?
Non, et ils sont complémentaires. L'antivirus reconnaît les menaces déjà connues, l'EDR surveille les comportements anormaux pour repérer ce qui est nouveau ou caché. L'un ne remplace pas l'autre, l'EDR vient compléter l'antivirus.
Faut-il garder l'antivirus si on passe à l'EDR ?
Oui. La protection des postes modernes réunit souvent les deux fonctions, mais la reconnaissance des menaces connues reste utile : elle filtre le gros du volume, ce qui laisse l'EDR se concentrer sur le reste.
L'EDR ralentit-il les postes de travail ?
Dans un déploiement correct, l'impact est léger et peu perceptible au quotidien. La surveillance se fait en arrière-plan, et le réglage se cale sur vos usages pour éviter de gêner le travail.
Une petite structure en a-t-elle vraiment besoin ?
Oui. Quand une petite organisation subit une violation, c'est le plus souvent un rançongiciel qui est en cause, et l'EDR se dimensionne à sa taille.
Qui regarde les alertes de l'EDR ?
C'est le point décisif. Un EDR qui alerte dans le vide ne sert à rien. Chez Computis, la supervision de sécurité (SOC) est proposée sur demande, pour que chaque alerte sérieuse soit vue et traitée.
Sujets abordés
Cybersécurité
EDR
Antivirus
Ransomware
PME suisse
Savez-vous ce que vos postes laissent passer ?
En quinze minutes, voyons ensemble où en est la protection de vos postes et par quelle étape commencer.
