Malwarebytes Endpoint Detection & Response

Que comprend la solution Malwarebytes Endpoint Detection & Response ?

Console cloud Nebula – Gestion centralisée des politiques, des groupes et des rapports pour chaque terminal géré.
Surveillance des activités suspectes – Détection comportementale alignée sur le référentiel MITRE ATT&CK.
Restauration après une attaque par ransomware – Restauration des fichiers Windows chiffrés jusqu’à sept jours en arrière.
Trois modes d’isolation – Isolation du réseau, des processus et du bureau, en mode manuel ou automatique.
Active Response Shell – Shell de commande à distance pour Windows, macOS et Linux.
Important – La gestion des correctifs, le chiffrement des disques et le filtrage DNS sont des modules distincts.

Quels sont les principaux avantages de Malwarebytes Endpoint Detection & Response ?

Malwarebytes a transféré ses produits professionnels sous la marque ThreatDown en novembre 2023 ; ce produit apparaît donc sous le nom de ThreatDown Endpoint Detection & Response dans la documentation actuelle du fournisseur. Il installe un agent par appareil et est administré de manière centralisée, soit via la console Nebula pour une seule organisation, soit via la console multi-locataires OneView utilisée par les fournisseurs de services.

Un seul agent – Prévention, détection et réponse sont regroupées dans un seul programme d’installation.
Rétrocession au lieu de restauration – Annule les dommages causés par les ransomwares sans ouvrir de jeu de sauvegardes.
Confinement plus rapide – Les alertes critiques permettent d’isoler automatiquement un appareil.
Visibilité sur la cause première  – Des graphiques de processus montrent comment l’infection a réellement commencé.
Remédiation à distance  – Nettoyez et inspectez les appareils des télétravailleurs via Internet.
Preuves pour les audits  – Les enregistrements de détection restent disponibles pendant 365 jours.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explication des limites de la protection intégrée à Windows et des raisons pour lesquelles les entreprises ajoutent une deuxième couche de protection gérée de manière centralisée.

À quelle taille d’entreprise Malwarebytes Endpoint Detection & Response est-il adapté ?

La taille de l’entreprise est ici moins déterminante que le secteur d’activité et les effectifs. En Suisse, les obligations de déclaration dépendent du secteur et non du nombre d’employés, tandis que la question pratique concernant l’EDR est de savoir si, au sein de l’organisation, quelqu’un lit et trie les alertes qu’il génère.

Malwarebytes Endpoint Detection & Response répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L’obligation de signalement prévue par la loi révisée sur la sécurité de l’information s’applique aux exploitants d’infrastructures critiques ; la plupart des entreprises suisses ordinaires sont donc concernées indirectement, en tant que fournisseurs, plutôt que directement. Les entités concernées doivent signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, ce qui implique que les faits doivent être rassemblés le jour même ouvrable. Ce produit fournit une partie de ces éléments : la vue des activités suspectes enregistre le moment où le comportement a été détecté pour la première fois, les processus et fichiers concernés ainsi que les techniques MITRE ATT&CK déclenchées, et les enregistrements de détection restent consultables pendant 365 jours. Il ne couvre pas le reste de l’obligation. Il n’y a ni formulaire de signalement, ni gestion des dossiers, ni workflow de notification vers le BACS, ni visibilité en dehors du terminal ; par conséquent, les incidents survenant sur les pare-feu, les équipements réseau, les services cloud ou les systèmes OT n’apparaîtront pas du tout dans cette console. Cette description ne constitue pas un avis juridique ; il convient de confirmer auprès d’un conseiller juridique qualifié quelles obligations s’appliquent à votre organisation.

Malwarebytes Endpoint Detection & Response répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne permet à une organisation de se mettre en conformité avec la directive NIS 2, car celle-ci porte sur la responsabilité de la direction, l’analyse des risques et les processus documentés, et non sur les fonctionnalités logicielles. La directive NIS 2 exige un ensemble de mesures de gestion des risques comprenant la gestion des incidents, la continuité des activités et la gestion des sauvegardes, la sécurité de la chaîne d’approvisionnement, le contrôle d’accès et la gestion des identités, le traitement des vulnérabilités, la cryptographie et la sensibilisation du personnel. Ce produit contribue de manière concrète à deux de ces catégories : la gestion des incidents, grâce à la détection comportementale, à l’isolation des terminaux et à la correction à distance ; et le traitement des vulnérabilités, dans une certaine mesure, puisque l’évaluation des vulnérabilités et le déploiement des correctifs constituent des modules distincts plutôt que de faire partie intégrante de la fonction EDR. Les autres catégories ne sont pas couvertes. La sauvegarde et la restauration, le contrôle des identités et des accès, l’authentification multifactorielle, la cryptographie au-delà du module de chiffrement de disque Windows (disponible sous licence distincte), l’évaluation des fournisseurs et la formation des utilisateurs doivent tous être pris en charge par d’autres solutions ; de plus, la télémétrie des terminaux ne suffira pas à elle seule à satisfaire un auditeur qui demanderait comment la continuité est testée.

Malwarebytes Endpoint Detection & Response facilite-t-il le remplissage des questionnaires de sécurité des grands clients ?

Oui, pour le chapitre consacré aux terminaux, et uniquement pour ce chapitre. Il répond aux questions concernant la couverture anti-malware gérée sur l’ensemble des postes de travail et des serveurs, la détection comportementale allant au-delà des signatures, la capacité à isoler un appareil compromis, l’accès à distance à des fins d’analyse forensic via le shell de réponse, la recherche active de menaces sur trente jours d’événements au niveau des terminaux, ainsi qu’un historique de détection conservé pendant 365 jours et pouvant être exporté à titre de preuve. Il ne répond pas aux questions qui figurent généralement à côté de celles-ci. L’authentification multifactorielle, la surveillance des identités, la sauvegarde et la restauration testée, l’installation de correctifs avec un SLA, le chiffrement de disque sur tout autre système que les postes de travail Windows (et uniquement avec le module séparé), le filtrage des e-mails et du phishing, la gestion des appareils mobiles, les tests d’intrusion et la surveillance 24 h/24 et 7 j/7 par des analystes désignés sont autant d’éléments qui ne relèvent pas de son champ d’application, tout comme la question de savoir où les données de la console sont traitées, question qui devrait être posée par écrit au fournisseur avant la signature du contrat. Lorsque ces lacunes ont une incidence commerciale, passer à un niveau supérieur au sein de la même gamme est généralement plus économique que de faire appel à un deuxième fournisseur : la gestion des correctifs, le chiffrement des disques, le filtrage DNS, la sécurité mobile et le service de détection géré sont tous administrés à partir de la même console et du même agent, alors qu’un deuxième produit implique un deuxième agent, une deuxième console et un deuxième ensemble d’exclusions à gérer.

Quelle est la différence entre « Endpoint Protection » et « Endpoint Detection & Response » ?

La différence décisive réside dans ce qui se passe après qu’une menace a réussi à passer : « Endpoint Protection » bloque et met en quarantaine, tandis qu’« Endpoint Detection & Response » enregistre en plus ce qu’a fait le processus et vous permet de l’annuler. Les deux utilisent le même agent et la même console ; la mise à niveau consiste donc en un changement de licence et de politique plutôt qu’en un nouveau déploiement. Endpoint Protection est la solution idéale lorsque l’administrateur souhaite uniquement bloquer et supprimer les logiciels malveillants. Endpoint Detection & Response est la solution idéale lorsqu’il faut déterminer l’origine d’une infection, isoler un appareil en quelques minutes ou récupérer des fichiers déjà chiffrés.

Test : Logiciels antivirus : les meilleurs antivirus pour Windows en 2025
Ce comparatif passe en revue les produits antivirus actuels pour Windows et montre où s'arrête la prévention pure pour laisser place à la détection et à la réponse.

Quelles sont les limites à connaître avant d'acheter ?

La restauration après une attaque par ransomware est une fonctionnalité exclusive à Windows, dont la durée est configurable entre un et sept jours, avec une valeur par défaut de trois jours. Ainsi, un appareil Mac ou Linux bénéficie de la détection et de l’isolation, mais pas de la récupération des fichiers. L’isolation est également inégale d’une plateforme à l’autre : l’isolation du réseau et des processus fonctionne globalement bien, tandis que l’isolation du bureau, le mode qui verrouille l’écran pour empêcher l’utilisateur d’y accéder, n’existe que sous Windows, et l’isolation des processus n’est pas disponible sous macOS 10.13 et 10.14. La recherche « Flight Recorder », qui permet de consulter l’historique des événements liés aux processus, aux fichiers, au registre et au réseau sur trente jours, est désactivée par défaut et doit être activée dans la stratégie ; il est préférable de vérifier ce paramètre pendant la phase pilote plutôt que lors d’un incident. Les installations Server Core et les VDI non persistantes ne sont pas prises en charge ; tous les appareils Linux sont considérés comme des serveurs, quel que soit leur rôle ; enfin, la surveillance comportementale sur les serveurs est un paramètre de stratégie distinct qui alourdit la charge de la machine. La console elle-même est exclusivement disponible dans le cloud : Nebula pour une seule organisation et OneView pour les fournisseurs de services gérant plusieurs clients ; il n’existe pas de variante sur site, de sorte que le lieu de traitement des données est déterminé par le fournisseur et non par vous.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les interruptions de service.
Ce document explique pourquoi la restauration en arrière et la sauvegarde résolvent des problèmes différents, et dans quels cas un plan de reprise nécessite encore une véritable sauvegarde.

Foire aux questions sur Malwarebytes Endpoint Detection & Response

La restauration après un ransomware remplace-t-elle une sauvegarde ?

Non. La restauration à partir d’un état antérieur s’effectue à partir d’un cache stocké sur le terminal lui-même, limité par une part configurable d’espace disque libre et par une taille maximale de fichier ; les fichiers dépassant cette taille ne sont donc jamais copiés. Si l’appareil est effacé, volé ou si son disque tombe en panne, le cache disparaît avec lui. C’est pourquoi la restauration raccourcit le temps de récupération après un événement de chiffrement, mais ne remplace pas la nécessité d’une sauvegarde distincte.

Les serveurs sont-ils couverts au même titre que les postes de travail ?

Oui, le même agent s'exécute sur Windows Server et sur les distributions Linux prises en charge, et chaque appareil Linux est considéré comme un serveur dans la console, quelle que soit sa fonction. La surveillance comportementale sur les serveurs est activée via un commutateur de politique dédié, et la restauration sur un serveur nécessite en outre que ce commutateur soit activé. Les installations Server Core ne sont pas prises en charge.

Les détections peuvent-elles être transmises à un SIEM ?

Oui, les événements de menace peuvent être envoyés au format CEF vers un serveur syslog ou un SIEM, et il existe également une intégration dédiée à Google Chronicle. Le chemin syslog nécessite qu’un terminal Windows soit désigné comme périphérique de communication ; or, celui-ci ne met en mémoire tampon que les 24 dernières heures s’il ne parvient pas à joindre la console. Une interruption plus longue entraînera donc une lacune dans les données exportées.