Sur la fragilité des hypothèses EDR

Le piège du tableau de bord, en détection sur les terminaux, est avant tout un piège de confiance. Un EDR ne remonte que ce qu'il détecte, c'est-à-dire, par construction, les seuls comportements que l'équipe de recherche de l'éditeur a déjà observés, modélisés et choisi de signaler. Tout ce qui n'a déclenché aucune alerte n'apparaît nulle part. Et le réflexe, sur le terrain, est d'interpréter ce silence comme une preuve de sécurité. C'est exactement ce réflexe qui permet aux menaces persistantes de durer : non qu'elles soient indétectables par nature, mais parce que toute l'infrastructure de détection est pensée pour réagir, jamais pour traquer.

Les attaques living-off-the-land montrent mieux que tout où passe la frontière de détection. Quand un attaquant renonce à déposer ses propres binaires et se contente de PowerShell, WMI, certutil ou bitsadmin (des outils Microsoft signés, qui font des choses que les outils Microsoft font parfois tout à fait légitimement), les heuristiques de l'EDR butent sur un problème de classification sans bonne réponse. Le même comportement est anodin dans un contexte et malveillant dans un autre. Pour les départager, il faut savoir à quoi ressemble la normalité chez vous : vos utilisateurs, votre parc applicatif, vos habitudes d'administration. Aucun jeu de signatures vendu par un éditeur ne possède cette connaissance. Elle se bâtit à partir de votre propre télémétrie, de vos propres références, de votre propre analyse.

Savoir précisément ce qu'on achète avec un EDR relève de l'opérationnel, pas de la théologie. Il fait son travail contre les attaques de masse : les loaders ransomware-as-a-service non recompilés sur mesure, les familles de malwares connues, les stealers et les droppers qui se comportent en sandbox comme on attend d'un malware. Il renchérit nettement le coût des attaques peu sophistiquées. Il offre une télémétrie des terminaux qu'il faudrait sinon instrumenter à la main. Ce qu'il n'offre pas, c'est une protection contre l'adversaire qui a étudié votre environnement avant même de poser les mains sur un clavier : celui qui ouvre une session avec des identifiants valides récupérés par hameçonnage, qui élève ses privilèges via une vulnérabilité légitime en imitant les gestes d'un administrateur, et qui avance assez prudemment pour passer sous le seuil d'anomalie pendant des semaines.

Le bon angle, le plus utile : voir l'EDR comme l'instrument qui vous prévient que le bruit de fond a bougé. L'alerte signale qu'un événement s'est écarté de la référence au point de franchir le seuil du modèle de l'éditeur. Toute la question intéressante porte sur ce qui s'est joué avant que cet écart ne devienne lisible. Une blue team qui attend que le tableau de bord s'allume réagit toujours au jour N d'un incident. Celle qui se forge des hypothèses sur la manière dont se comporte un adversaire patient, dans ses propres journaux, contre ses propres actifs, au sein de sa propre population d'utilisateurs, se donne une chance de détecter dès le premier ou le deuxième jour. Partez du principe que l'alerte arrive en retard. Demandez-vous à quoi ressemblait la phase silencieuse, et si vous l'auriez seulement remarquée.