EDR : vérifier la couverture et la surveillance des alertes

Suivre la protection et les interventions

Un EDR aide à repérer des comportements suspects et à traiter des incidents sur les équipements couverts. Pour une PME, sa mise en place doit s’accompagner d’un suivi du parc et d’une organisation du traitement des alertes. L’entreprise a besoin de savoir quels postes sont visibles, qui examine les événements et comment une intervention est décidée.

Ces informations sont à vérifier dans le contrat et dans les pratiques. Une alerte peut être enregistrée dans une console sans être examinée pendant une période donnée. Les horaires de surveillance, les modalités d’escalade et les actions autorisées doivent être explicites. Le dispositif ne remplace pas les autres mesures de sécurité et de reprise.

Comment agir

• Définir le périmètre : rapprochez l’inventaire des postes et serveurs de la liste des équipements présents dans la console EDR.
• Examiner les écarts : agent absent, dernière communication ancienne, équipement incompatible ou exclusion d’un composant. Attribuez chaque sujet à un responsable.
• Préciser la surveillance : qui examine les alertes, pendant quels horaires et avec quels moyens d’escalade ?
• Préparer les décisions : définissez les actions possibles, comme isoler un poste, et les validations nécessaires selon leur effet sur l’activité.
• Suivre les interventions : reliez les alertes aux tickets, aux actions effectuées et aux vérifications de clôture.
• Vérifier le parcours : organisez un exercice maîtrisé avec le prestataire, selon les possibilités de l’outil et sur un périmètre convenu.

Les tests doivent être préparés et réalisés avec les personnes compétentes. Les équipements industriels, les serveurs essentiels et les logiciels sensibles peuvent nécessiter des modalités particulières. N’engagez pas un test susceptible de perturber la production sans accord des responsables concernés.

Qui fait quoi

L’entreprise fournit les contacts et les contraintes d’activité. Elle valide les règles d’intervention et les décisions affectant les outils ou la production.

L’infogérant ou le prestataire de surveillance suit les équipements du périmètre convenu, examine les alertes selon les engagements retenus et documente ses interventions. Il précise les exclusions et les limites de service.

Le RSSI aide à examiner les écarts, à préparer l’escalade et à suivre les améliorations. La maintenance et les fournisseurs participent lorsque la compatibilité d’un équipement ou d’une application doit être vérifiée.

Exemples de preuves à conserver

• Un état de couverture EDR daté, rapproché de l’inventaire des équipements.
• La liste des exclusions et équipements non couverts, avec justification, responsable et actions prévues.
• Les engagements de surveillance : horaires, contacts, modalités de transmission et actions autorisées.
• Des tickets anonymisés montrant une alerte, son analyse, la décision, l’action et les vérifications finales.
• Le compte rendu d’un exercice préparé avec le prestataire et le suivi des corrections.

La licence et la facture donnent des informations sur le service acheté. Les états de couverture et les traces d’intervention permettent de montrer son fonctionnement sur le périmètre retenu.

Un exemple concret

Exemple fictif : l’inventaire d’une PME comprend 35 équipements concernés par la protection. Le rapprochement identifie un nouvel ordinateur sans agent et un portable qui ne communique plus. L’infogérant traite les deux écarts. Lors d’un exercice convenu, il vérifie ensuite la réception d’une alerte, sa qualification et l’information du contact interne. Le compte rendu confirme le parcours testé et les modalités de prise en charge en dehors des heures ouvrées restent clairement précisées au contrat.

L’entreprise conserve les écarts, leurs corrections et le résultat de l’exercice. Elle peut expliquer ce qui a été vérifié et les limites connues.

Erreurs à éviter

• Présumer une surveillance permanente sans engagement correspondant.
• Oublier de rapprocher la console du parc réellement utilisé.
• Conserver des exclusions anciennes sans justification ni réexamen.
• Clôturer une alerte sans consigner le résultat des vérifications.

Votre prochaine étape

Demandez un état du parc protégé et le parcours de traitement d’une alerte. Vérifiez les écarts et les contacts avec votre prestataire. L’offre support et infogérance IT Support inclut un EDR et la surveillance des alertes dans les conditions du contrat.

Pour approfondir

L’ANSSI présente les enjeux dans La supervision de sécurité : les clés de décision. Retrouvez aussi le domaine incidents et alertes pour préparer l’organisation avec vos partenaires.