# Antivirus, EDR ou MDR : quelle protection pour vos postes ?

Source : https://cybercaribou.com/comparatifs/antivirus-edr-mdr-protection-postes · Cyber Caribou

> Antivirus, EDR ou MDR : détection, intervention, surveillance 24/7, compétences et modèle de coût comparés pour une PME de 10, 50 ou 150 employés.

« On a un antivirus, on est corrects. » C'est souvent la première réponse d'un dirigeant de PME quand on parle de protection des postes. Le problème, c'est que les attaques actuelles passent rarement par un fichier que l'antivirus reconnaît. L'intrus se connecte avec un mot de passe volé, utilise les outils d'administration déjà présents sur le réseau et prend son temps.

Antivirus, EDR et MDR ne sont pas trois marques concurrentes : ce sont trois niveaux de protection qui s'empilent. Ce comparatif vous aide à choisir le bon niveau selon votre taille et vos ressources. Pour comparer les produits EDR eux-mêmes, consultez notre [comparatif des EDR pour PME](https://cybercaribou.com/comparatifs/edr-pme-comparatif).

- Nous comparons des approches, pas des produits. Chaque valeur du tableau s'appuie sur les publications du Centre canadien pour la cybersécurité, de la CISA et du NCSC britannique, consultées en octobre 2026.
- Critères retenus : approche de détection, capacité d'intervention, surveillance 24/7, compétences requises, traces pour l'enquête, modèle de coût et position des autorités.
- Aucun prix n'est cité : les modèles de coût sont décrits de façon qualitative.
- Ce comparatif n'est pas commandité.

## Antivirus : le plancher, pas le plafond

Un antivirus reste indispensable. Les contrôles de base du Centre canadien pour la cybersécurité demandent à toutes les PME un logiciel antimaliciel qui se met à jour et analyse les postes automatiquement. Bonne nouvelle : l'antivirus intégré à Windows et à macOS, s'il est activé et à jour, peut remplir ce rôle. Le NCSC britannique juge d'ailleurs qu'il répond aux besoins de bien des organisations.

Sa limite tient à sa méthode. L'antivirus traditionnel compare les fichiers à des signatures de codes malveillants connus, une approche dont le NCSC constate qu'elle a perdu en efficacité avec l'évolution des menaces. La CISA, de son côté, observe que beaucoup d'organisations n'ont pas les capacités nécessaires pour détecter les attaquants qui se servent des outils légitimes déjà présents sur le système (la technique dite living off the land). Un antivirus ne voit pas grand-chose de ce scénario.

## EDR : voir l'attaque, à condition de regarder

L'EDR surveille en continu ce qui se passe sur les postes et les serveurs : processus lancés, connexions, modifications de fichiers. Le Centre canadien recommande d'envisager l'EDR, ou le XDR, pour détecter une activité anormale et y réagir, et il range les journaux EDR parmi les journaux de sécurité utiles en cas d'incident. Selon le produit, l'EDR peut aussi ramener un poste à son état d'avant l'infection. La CISA, dans son guide sur les rançongiciels, recommande l'EDR ou la liste d'applications autorisées sur tous les actifs.

Le revers : le Centre canadien classe l'EDR parmi les contrôles avancés, qui exigent des ressources supplémentaires. Un EDR mal configuré, ou dont personne ne lit les alertes, rassure sans protéger. Relisez l'[anatomie d'une attaque par rançongiciel](https://cybercaribou.com/blogue/rancongiciel-pme-anatomie-attaque) : il suffit d'une alerte qui sonne à 23 h un vendredi et que quelqu'un lit le lundi matin.

## MDR : des yeux ouverts jour et nuit

Le MDR répond à cette question : qui regarde ? Une équipe externe surveille vos outils de détection 24 heures sur 24, valide les alertes et intervient ou vous avise, selon le contrat. Le Centre canadien cite cette surveillance continue parmi les avantages des fournisseurs de services de sécurité gérés, tout comme la réduction des coûts d'embauche de spécialistes.

Il en nomme aussi les limites. Le coût peut être prohibitif pour certaines organisations. Vous confiez la surveillance à un tiers, mais le risque reste le vôtre, tout comme la responsabilité de l'intervention. Le NCSC britannique ajoute qu'une équipe externe connaît moins bien vos systèmes et peut réagir moins vite qu'une équipe interne. D'où l'importance du contrat : délais garantis, mode d'avis, gestes autorisés sans votre accord, lieu de conservation des journaux.

## Comment choisir

Partez d'une question simple : si une attaque commence samedi à 2 h, qui s'en aperçoit, et quand ?

1. **Moins de 15 employés, un fournisseur TI à temps partiel** : un EDR, souvent déjà payé dans votre forfait Microsoft 365, dont les alertes sont transmises au fournisseur TI avec un délai d'intervention écrit.
2. **De 25 à 100 employés, sans personne dédiée à la sécurité** : un MDR. Le temps nécessaire pour trier les alertes dépasse vite ce qu'un fournisseur TI généraliste peut offrir.
3. **Plus de 100 employés avec une équipe TI** : un MDR qui renforce l'équipe le soir, la fin de semaine et pendant les vacances.
4. **Partout** : l'antivirus intégré reste actif sur tous les appareils, y compris ceux que l'EDR ne couvre pas.

Avant de signer avec un fournisseur MDR, posez au minimum ces questions : agissez-vous ou vous contentez-vous d'alerter ? En combien de minutes ? Qui joignez-vous chez nous, la nuit ? Où nos journaux sont-ils stockés ? Les réponses vous serviront aussi pour [réussir le questionnaire d'assurance cyber](https://cybercaribou.com/blogue/assurance-cyber-questionnaire-assureur).

Vous ne savez pas si votre EDR couvre réellement tous vos postes et serveurs, ni qui reçoit ses alertes ? Notre [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite) le vérifie, poste par poste, et vous remet un plan priorisé.

## FAQ

**Quelle est la différence entre un antivirus et un EDR ?**
L'antivirus cherche surtout des codes malveillants connus et les met en quarantaine. L'EDR surveille en continu le comportement des postes pour repérer une activité anormale, même sans fichier malveillant connu, et permet d'intervenir à distance. Évitez d'installer deux antivirus sur un même poste : le NCSC britannique prévient qu'ils peuvent entrer en conflit. Vérifiez auprès du fabricant comment l'EDR cohabite avec l'antivirus intégré.

**Microsoft Defender suffit-il pour une PME ?**
L'antivirus Microsoft Defender intégré à Windows couvre le contrôle de base. Pour l'EDR, il faut Microsoft Defender for Business, inclus dans Microsoft 365 Business Premium ou vendu séparément. Dans les deux cas, la question clé reste la même : qui lit les alertes, et en combien de temps ?

**Un service MDR remplace-t-il notre fournisseur TI ?**
Non. Le MDR surveille les menaces et intervient ; votre fournisseur TI continue de gérer les postes, les correctifs et les sauvegardes. Le Centre canadien rappelle que votre organisation reste responsable de l'intervention en cas d'incident : le contrat doit préciser les délais, la façon dont vous êtes avisé et ce que le fournisseur peut faire sans votre accord.

**Le XDR est-il meilleur qu'un EDR ?**
Le XDR étend la détection au-delà des postes : courriel, comptes infonuagiques, réseau. Le Centre canadien le mentionne aux côtés de l'EDR, mais il n'existe pas de définition officielle unique et le contenu varie d'un fabricant à l'autre. Demandez quelles sources sont réellement couvertes plutôt que de vous fier à l'étiquette.

## Sources

- [Centre canadien pour la cybersécurité : Choisir la solution de cybersécurité qui convient le mieux à votre organisation (ITSM.10.023)](https://www.cyber.gc.ca/fr/orientation/choisir-la-solution-de-cybersecurite-qui-convient-le-mieux-votre-organisation-itsm10023)
- [Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations](https://www.cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations)
- [Centre canadien pour la cybersécurité : Facteurs à considérer par les clients de services gérés en matière de cybersécurité (ITSM.50.030)](https://www.cyber.gc.ca/fr/orientation/facteurs-considerer-par-les-clients-de-services-geres-en-matiere-de-cybersecurite)
- [Centre canadien pour la cybersécurité : Lignes directrices sur le signalement des cyberincidents (ITSM.00.140)](https://www.cyber.gc.ca/fr/orientation/lignes-directrices-signalement-cyberincidents-principales-exigences-liees-lechange-itsm00140)
- [Centre canadien pour la cybersécurité : Sécurité des appareils des utilisateurs finaux pour les modèles PAP (ITSM.70.003)](https://www.cyber.gc.ca/fr/orientation/securite-des-appareils-des-utilisateurs-finaux-pour-les-modeles-de-deploiement-prenez)
- [NCSC (Royaume-Uni) : Antivirus and other security software](https://www.ncsc.gov.uk/collection/device-security-guidance/policies-and-settings/antivirus-and-other-security-software)
- [NCSC (Royaume-Uni) : To SOC or not to SOC?](https://www.ncsc.gov.uk/blog-post/soc-or-not)
- [CISA : #StopRansomware Guide](https://www.cisa.gov/stopransomware/ransomware-guide)
- [CISA : Identifying and Mitigating Living Off the Land Techniques (février 2024)](https://www.cisa.gov/resources-tools/resources/identifying-and-mitigating-living-land-techniques)
- [Microsoft : Microsoft Defender for Business](https://www.microsoft.com/en-ca/security/business/endpoint-security/microsoft-defender-business)