MDR : surveiller, qualifier et répondre aux cyberattaques en continu

Pendant longtemps, la cybersécurité des entreprises s’est construite autour d’un objectif simple : empêcher l’attaque. On a multiplié les barrières, antivirus, firewall, filtrage web, puis EPP et MFA, en espérant que chaque nouvelle couche rendrait le système imperméable.

Cette logique reste indispensable, mais ne correspond plus à la réalité des attaques modernes. Les environnements numériques sont ouverts, distribués, interconnectés. Les collaborateurs travaillent depuis chez eux, les applications tournent dans le cloud, les identités circulent entre une dizaine de services. Dans ce contexte, une partie des attaques finit par franchir les premières lignes de défense. Les attaquants adaptent leurs techniques plus vite que nous ne renforçons nos murs.

La question n’est donc plus uniquement “comment empêcher l’attaque”, mais “que se passe-t-il quand elle passe malgré tout”. Et surtout : combien de temps va-t-elle rester invisible ?

C’est précisément là que le MDR (Managed Detection and Response) prend tout son sens. Il ne promet pas l’absence d’incident. Il garantit que toute activité suspecte sera détectée, analysée et traitée par des humains compétents, dans un délai qui permet encore d’agir. Là où les outils de sécurité produisent des signaux, le service MDR transforme ces signaux en décisions concrètes et en actions rapides.

Du SOC interne idéalisé à la réalité du terrain

Dans les grandes organisations, la supervision de sécurité repose traditionnellement sur un SOC interne constitué d’une équipe dédiée, d’un ensemble de solutions avancées, de rotations 24/7 et d’une capacité d’analyse et de coordination. Sur le papier, c’est le modèle idéal.

Pour les PME et ETI, cette ambition se heurte cependant à des contraintes concrètes. Monter un SOC interne suppose de recruter plusieurs analystes expérimentés, d’assurer une supervision continue y compris nuits et week-ends, d’absorber le flux permanent d’alertes, et de maintenir une veille constante sur l’évolution des menaces.

Pourtant, les attaquants ne font aucune différence entre une PME et un grand groupe. Les techniques restent identiques (compromission d’identités via phishing, exploitation d’outils légitimes déjà présents, mouvements discrets, préparation méthodique). Le ransomware qui frappe une ETI industrielle utilise les mêmes méthodes que celui qui vise un CAC 40. De même avec les attaques DDoS.

Le MDR est né de ce décalage entre le besoin réel de supervision continue et les capacités limitées de nombreuses organisations à l’assumer seules.

Qu’est-ce que le MDR ?

Le MDR (Managed Detection and Response) désigne un service de détection et de réponse aux incidents de sécurité, opéré en continu par des experts externes. Contrairement à un outil logiciel que vous achetez et installez, le MDR repose sur une prise en charge opérationnelle. Des analystes qualifiés surveillent vos signaux de sécurité, qualifient les alertes et déclenchent des actions de réponse lorsqu’un incident est confirmé.

Un service qui s’appuie sur vos outils existants

Le MDR s’appuie sur trois piliers complémentaires :

• Des capteurs techniques : principalement un EDR déployé sur vos postes et serveurs, complété par les journaux d’authentification, les événements réseau et les accès cloud.
• Une équipe d’analystes disponible en continu pour interpréter ces signaux.
• Une capacité d’action qui va de la recommandation d’intervention à l’isolation immédiate d’un système compromis, selon les règles définies ensemble.

La valeur du MDR réside donc dans l’exploitation continue, et coordonnée, de données issues de différentes sources par des analystes expérimentés. Là où un SIEM agrège des événements, le MDR interprète leur signification réelle dans votre contexte. Là où un EDR détecte un comportement suspect, le service décide si c’est un incident nécessitant une réponse immédiate ou un faux positif à ignorer.

Ce que fait vraiment le MDR au quotidien

Le service MDR surveille en continu les alertes issues des endpoints et systèmes connectés, analyse les comportements suspects dans leur contexte (qui, quand, depuis où, pourquoi), reconstitue les chaînes d’attaque en croisant plusieurs sources, distingue les faux positifs des vrais incidents, et déclenche ou recommande des mesures de remédiation adaptées.

L’entreprise ne reçoit plus des centaines d’alertes brutes mais des informations qualifiées, exploitables, hiérarchisées par criticité. Cette approche évite l’effet de lassitude qui conduit trop souvent à ignorer même les signaux critiques.

Ce que le MDR n’est pas

Le MDR n’est pas un antivirus amélioré, ni un SIEM automatique, ni une garantie d’absence totale d’incident. Le MDR n’empêche pas toutes les attaques de réussir. Il empêche qu’une attaque passe inaperçue et évolue sans réaction pendant des semaines. Cette nuance est fondamentale car le MDR gère le risque de façon réaliste, il ne promet pas une sécurité absolue.

Pourquoi le MDR est devenu indispensable

La généralisation du cloud, du télétravail et des usages SaaS a transformé la nature des attaques. Aujourd’hui, les intrusions n’essaient plus de “casser une porte”, elles cherchent à emprunter discrètement un accès légitime.

Le temps : la variable qui change tout

Dans les ransomwares qui font la une, le chiffrement final n’est que la dernière étape. Avant cela, l’attaquant a pris le temps de tester des accès, d’observer les comportements normaux, de cartographier l’environnement, d’identifier les comptes à privilèges, de préparer ses mécanismes de persistance.

Plus cette phase silencieuse dure, plus l’impact final est lourd. Un attaquant présent trois semaines connaît votre infrastructure mieux que vos propres équipes. Il a repéré vos sauvegardes, identifié vos systèmes critiques, compris vos processus.

Sans supervision qualifiée, une attaque peut rester active des mois avant d’être découverte. Le MDR détecte les signaux faibles bien avant l’incident irréversible.

Quand les alertes ne suffisent plus

Les entreprises ne manquent pas d’outils de sécurité. EDR, firewall, MFA, solutions cloud génèrent déjà des quantités d’alertes. Le problème n’est pas l’absence de signaux, mais l’incapacité à les interpréter correctement dans un contexte réel.

Un outil détecte et alerte. Un humain contextualise, comprend et décide. Les analystes MDR replacent chaque événement dans son contexte : quel utilisateur, quel historique comportemental, quel rôle métier, quel environnement technique. Ce travail d’analyse est précisément ce que les équipes IT internes, déjà sollicitées sur mille sujets, ne peuvent pas assurer en continu.

Face aux attaques lentes et discrètes

Les attaques modernes sont rarement brutales. Elles sont progressives, discrètes et patientes, conçues pour se fondre dans l’activité normale des systèmes. Des signaux qui paraissent anodins pris isolément peuvent pourtant révéler une intrusion en cours.

Il peut s’agir d’une connexion VPN depuis une zone géographique inhabituelle, de l’utilisation ponctuelle d’un outil d’administration en dehors des horaires habituels, d’une élévation de privilèges survenant plusieurs jours après l’accès initial, ou encore d’une communication réseau faible mais persistante vers l’extérieur.

Pris individuellement, ces événements ne justifient aucune alerte franche. Mais replacés dans le temps et corrélés entre eux, ils dessinent clairement une progression malveillante. C’est précisément cette lecture comportementale et temporelle que le MDR maîtrise, là où une supervision ponctuelle ou purement technique reste aveugle.

Comment fonctionne un service MDR

Le MDR n’est pas un outil qu’on installe. C’est un service vivant qui s’appuie sur vos briques de sécurité existantes pour assurer détection continue, analyse qualifiée et réaction rapide.

Les sources de données exploitées

Un service MDR s’appuie sur plusieurs sources complémentaires :

• EDR déployés sur postes et serveurs (détection comportementale),
• journaux d’authentification (MFA, Active Directory, services cloud),
• événements réseau et firewall (communications inhabituelles),
• parfois un SIEM pour corréler les événements multi-sources, et événements de sécurité des applications SaaS critiques.

Le MDR peut également s’appuyer sur des mécanismes d’orchestration comme le SOAR pour automatiser certaines réponses.

Le MDR n’ajoute pas d’outils, il les exploite enfin efficacement. Chaque signal isolé peut sembler anodin. Le service les analyse de manière croisée et temporelle pour identifier des scénarios d’attaque cohérents.

De la détection à l’incident qualifié

Le tri et la qualification humaine distinguent fondamentalement le MDR d’une supervision automatisée. Dans un environnement réel, 90 % des alertes automatiques sont des faux positifs ou des événements sans impact réel. Le MDR élimine ce bruit, qualifie les alertes pertinentes, reconstitue les scénarios d’attaque, évalue le risque réel dans votre contexte.

Analyse comportementale et contextualisation

Les analystes MDR prennent en compte le rôle métier précis de l’utilisateur concerné, ses habitudes de connexion (horaires, lieux, appareils), le contexte métier et les spécificités opérationnelles, l’historique complet des événements, et la criticité réelle des systèmes touchés.

Par exemple, une élévation de privilèges peut être normale pour un administrateur IT… ou critique pour un utilisateur bureautique. Cette contextualisation fait toute la différence entre un outil aveugle et un service opéré par des humains. Le MDR s’inscrit naturellement dans une approche Zero Trust, où aucun événement n’est considéré comme sûr par défaut.

Réaction : quand et comment le MDR agit

Une fois un incident confirmé, le MDR peut déclencher des actions selon le périmètre défini. Il peut s’agir de l’isolement réseau d’un poste compromis via l’EDR, de la suspension ou la réinitialisation d’un compte détourné, du blocage d’un flux réseau malveillant, de la neutralisation d’un mécanisme de persistance, ou de l’accompagnement de l’équipe IT dans les actions complexes.

Le MDR n’agit jamais aveuglément. Les règles de réponse sont validées en amont pour éviter toute interruption métier injustifiée.

Gestion des incidents majeurs

Lors d’une attaque par ransomware ou d’une compromission profonde, le MDR joue un rôle clé de coordination en :

• établissant une documentation précise de la chronologie des évènements depuis le point d’entrée,
• identifiant le vecteur d’infection,
• évaluant l’étendue de la compromission,
• accompagnant techniquement et méthodologiquement dans la remédiation.

Cette capacité d’investigation est essentielle lors d’attaques complexes, où chaque minute compte et où une mauvaise décision peut aggraver l’impact.

MDR, SOC interne ou SOC externalisé : faire le bon choix

Quand la maturité cyber progresse, une question se pose : faut-il construire un SOC interne, externaliser la supervision ou s’appuyer sur un MDR ? La réponse dépend moins de la taille que de la capacité réelle à opérer la sécurité dans la durée.

Tableau comparatif

SOC interne : une ambition souvent sous-estimée

Un SOC interne ne se résume pas à une salle avec des écrans. C’est une organisation complète : supervision 24/7 toute l’année, plusieurs profils d’analystes formés, processus d’escalade rodés, capacité d’investigation avancée, veille permanente sur les menaces.

Concrètement, cela nécessite plusieurs postes spécialisés (analystes niveaux 1, 2 et 3, ingénieurs détection, threat hunters), difficiles à recruter et à retenir sur un marché tendu. Pour beaucoup d’organisations, le SOC interne devient un centre de coûts sous-exploité, avec une couverture partielle et une dépendance à quelques personnes clés.

SOC externalisé classique : supervision sans réponse

Les SOC externalisés traditionnels fonctionnent comme des centres de surveillance mutualisés. Ils collectent vos alertes, les analysent selon des règles standardisées, puis vous transmettent des tickets lorsqu’ils détectent quelque chose d’anormal.

Toutefois, la responsabilité s’arrête à la détection. Le SOC vous informe qu’un incident est en cours, mais c’est à vous d’agir. Isoler le poste compromis ? Bloquer le compte suspect ? Identifier l’étendue de la compromission ? Ces décisions et actions critiques restent à votre charge, précisément au moment où vous êtes le moins préparé à les prendre.

Enfin, une faible connaissance de votre contexte métier, des règles génériques peu adaptées à vos usages réels, et des délais de qualification parfois incompatibles avec la vitesse d’une attaque moderne constituent d’autres limites du SOC externalisé.

En résumé, le SOC externalisé vous dit ce qui se passe, mais ne fait rien pour vous.

MDR : de la détection à l’action

Le MDR assume une responsabilité différente. Il ne se contente pas de détecter et d’alerter, il agit.

Concrètement, le MDR va plus loin à chaque étape :

• Détection : s’appuie sur l’EDR et les comportements endpoints (pas seulement les logs réseau)
• Qualification : analyse l’incident dans votre contexte réel avant de vous alerter
• Décision : évalue la criticité et recommande ou déclenche la réponse appropriée
• Action : peut isoler un poste, bloquer un compte, neutraliser une menace selon les règles définies ensemble
• Accompagnement : reste présent jusqu’à la résolution complète de l’incident

Le MDR prend donc en charge la réponse opérationnelle, là où le SOC externalisé s’arrête à la surveillance. Vous ne recevez pas un ticket vous demandant d’agir d’urgence. Vous recevez soit une notification d’incident déjà contenu, soit un accompagnement direct pour les actions complexes nécessitant votre validation.

C’est un partenariat opérationnel, pas un simple service de monitoring.

Clarté des responsabilités

Dans un modèle MDR standard, le prestataire surveille, analyse, qualifie et déclenche/recommande les actions, l’entreprise conserve la maîtrise finale et les décisions stratégiques, et les actions critiques sont encadrées par des procédures validées en amont.

Le MDR ne se substitue jamais à l’entreprise. Il la renforce en apportant une capacité qu’elle ne pourrait pas maintenir seule avec les mêmes ressources.

Contribution à la cyber-résilience

La cyber-résilience repose sur un principe : accepter qu’une attaque puisse pénétrer les défenses initiales, mais refuser qu’elle devienne incontrôlable.

Le MDR contribue directement à cette résilience en réduisant le temps d’exposition, limitant la propagation latérale et accélérant la reprise d’activité. En détectant plus tôt, réagissant plus vite et coordonnant mieux, il transforme un incident potentiellement catastrophique en événement maîtrisé.

MDR et offre globale de cybersécurité

Le service MDR prend tout son sens lorsqu’il s’inscrit dans une offre de cybersécurité globale, pensée comme une architecture cohérente : gouvernance claire des enjeux et responsabilités cyber, mécanismes de prévention adaptés aux usages réels, détection efficace et peu bruyante des comportements anormaux, capacité de réponse opérationnelle rapide et coordonnée, et processus d’amélioration continue alimenté par les incidents réels.

La sécurité d’une organisation n’est jamais une simple somme d’outils. C’est avant tout une capacité organisationnelle vivante. Le MDR en constitue l’un des piliers opérationnels les plus concrets et efficaces.

Conclusion : de la sécurité déclarative à la sécurité opérée

Les entreprises ne manquent plus d’outils de sécurité. Elles manquent de capacité à les exploiter quand l’attaque se produit.

Pare-feu, EPP, EDR, SIEM, MFA… ces briques sont nécessaires. Mais elles ne prennent aucune décision seules. Sans supervision experte et qualification humaine, elles produisent surtout du bruit que personne n’a le temps d’analyser.

Le MDR répond précisément à ce vide opérationnel. Il ne promet pas une sécurité parfaite. Il garantit quelque chose de plus réaliste : ne plus être seul face à l’incident. Les alertes sont qualifiées, les attaques comprises, les actions coordonnées, l’impact limité.

Le MDR marque un changement fondamental de posture. On ne parle plus de “déployer des outils”, mais de maintenir une capacité de défense active dans le temps long. C’est pour cette raison qu’il s’impose comme une brique clé des architectures modernes, particulièrement pour les PME et ETI.

La cybersécurité n’est plus un état stable qu’on atteint une fois pour toutes. C’est un service continu. Face à des cyberattaques plus discrètes et plus sophistiquées, la réponse ne peut plus être uniquement technique. Elle doit être organisée, opérée et humainement assumée.

C’est exactement ce que permet un service MDR bien intégré.

Questions fréquentes sur le MDR

Combien coûte un service MDR ?

Le coût varie selon plusieurs facteurs : nombre d’endpoints (postes et serveurs), périmètre de surveillance (EDR seul ou logs réseau, cloud, authentification), niveau de service (24/7 ou heures ouvrées), capacité de réponse incluse.

Ordre de grandeur : entre 5 et 15 euros par endpoint et par mois pour un service professionnel. Une PME de 100 postes peut envisager un budget annuel entre 6 000 et 18 000 euros, largement inférieur au coût d’un seul analyste sécurité junior.

Quel délai de mise en place ?

Si l’EDR est déjà déployé, le MDR peut être opérationnel en quelques jours, le temps de connecter les sources et paramétrer les règles initiales.

Si l’EDR doit être déployé dans le cadre du projet, comptez 2 à 4 semaines selon la taille du parc. La phase de tuning se poursuit ensuite sur les premières semaines pour affiner les règles et réduire les faux positifs.

Comment mesurer l’efficacité d’un MDR ?

Plusieurs indicateurs complémentaires : Temps moyen de détection (MTTD - Mean Time To Detect), Temps moyen de réponse (MTTR - Mean Time To Respond), taux de faux positifs impactant vos équipes, nombre d’incidents détectés et traités avant qu’ils ne deviennent critiques, et qualité du reporting et des recommandations.

Un bon MDR détecte en quelques heures plutôt qu’en semaines, et réagit en minutes ou dizaines de minutes plutôt qu’en jours.

MDR et conformité réglementaire (RGPD, NIS2) ?

Le MDR contribue directement à plusieurs exigences : RGPD (obligation de sécurité des données personnelles, détection rapide des violations) et NIS2 (exigence de surveillance continue et capacité de réponse aux incidents pour les entités essentielles et importantes).

Attention : le MDR seul ne rend pas conforme. Il constitue une brique importante mais doit s’inscrire dans une démarche globale incluant gouvernance, politiques, sensibilisation et autres mesures organisationnelles.

Le MDR remplace-t-il l’équipe IT ?

Non. Le MDR ne remplace pas l’équipe IT, il la renforce sur le volet spécifique de la détection et réponse aux incidents.

L’équipe IT conserve la maîtrise de l’infrastructure, la connaissance fine du contexte métier, et la responsabilité des décisions stratégiques. Le MDR prend en charge la surveillance 24/7, l’analyse experte des alertes et la première réponse aux incidents, libérant les équipes IT pour leur cœur de métier opérationnel et les projets métier.