Les attaques modernes ne reposent plus uniquement sur un malware identifiable. Un attaquant peut détourner PowerShell, voler des identifiants ou exploiter un outil d’administration légitime sans déposer de fichier évident sur le disque.
C’est dans ce contexte qu’intervient l’EDR, ou Endpoint Detection and Response. SentinelOne fait partie de cette catégorie de solutions de protection endpoint capables de surveiller l’activité d’un poste ou d’un serveur, de corréler les événements et de répondre à une menace en cours d’exécution. Comment fonctionne son agent, que surveille-t-il et quelle valeur apporte-t-il à un SOC ? Voici une présentation technique, accessible et sans discours marketing.
Qu’est-ce qu’un EDR ?
Un Endpoint Detection and Response est une solution de cybersécurité conçue pour détecter, analyser et traiter les activités suspectes observées sur les endpoints d’une organisation : postes de travail, ordinateurs portables, serveurs, machines virtuelles et workloads cloud.
Contrairement à un antivirus classique, l’EDR ne se limite pas à vérifier si un fichier correspond à une signature connue. Il collecte et analyse de la télémétrie sur le comportement du système : création de processus, modification de fichiers, connexions réseau, changements dans le registre, mécanismes de persistance ou exécution de scripts.
Un EDR répond ainsi à trois objectifs opérationnels :
- Détecter une activité malveillante ou anormale.
- Comprendre la chaîne d’événements ayant conduit à l’alerte.
- Répondre rapidement pour contenir et remédier à l’incident.
Antivirus traditionnel, NGAV et EDR : quelles différences ?
| Fonction | Antivirus traditionnel | NGAV | EDR |
|---|---|---|---|
| Signatures | Fonction principale | Signal parmi d’autres | Signal complémentaire |
| Analyse comportementale | Limitée | Oui | Oui, avec contexte |
| Surveillance des processus | Faible | Partielle à avancée | Continue et détaillée |
| Corrélation | Non | Limitée | Fonction centrale |
| Investigation et hunting | Non | Rarement | Oui |
| Réponse et isolation | Très limitée | Selon le produit | Oui, selon la plateforme |
Lecture du tableau
L’antivirus recherche surtout des signatures et motifs connus. Le Next-Generation Antivirus ajoute du Machine Learning et des règles comportementales afin de bloquer des menaces inédites. L’EDR complète cette prévention par la télémétrie, la corrélation, l’investigation et les actions de réponse. SentinelOne réunit ces fonctions NGAV et EDR dans un même agent et une même console.
Comment fonctionne SentinelOne sur un endpoint ?
SentinelOne repose sur un agent installé localement sur chaque endpoint protégé. Cet agent observe l’activité du système, applique les politiques de sécurité et transmet de la télémétrie à la plateforme de gestion. Il ne regarde pas uniquement les fichiers : il construit une représentation dynamique de ce qui se passe sur la machine.
Surveillance des processus
Lorsqu’un processus démarre, l’agent peut notamment observer :
- l’exécutable, son hachage et sa signature ;
- le processus parent et les processus enfants ;
- la ligne de commande et le compte utilisateur ;
- les accès à d’autres processus et tentatives d’injection ;
- les services ou tâches planifiées créés.
Le lancement de PowerShell n’est pas malveillant en soi. En revanche, un traitement de texte qui lance PowerShell avec une commande encodée, suivi d’un téléchargement et de la création d’une tâche planifiée, constitue une séquence nettement plus préoccupante.
Fichiers, réseau et modifications du système
L’agent suit la création, la modification, le déplacement et la suppression de fichiers. Cette visibilité permet de repérer le dépôt d’un exécutable dans un répertoire temporaire, la modification massive de documents, un changement rapide d’extensions ou la suppression de copies instantanées.
La télémétrie réseau relie une connexion au processus qui l’a initiée. Selon le système et les fonctions activées, l’agent surveille également le registre, les services et les tâches planifiées.
Détection comportementale, IA et Machine Learning
SentinelOne combine plusieurs mécanismes de détection complémentaires.
Analyse statique
L’analyse statique examine un fichier avant ou au moment de son exécution. Un modèle peut prendre en compte sa structure, ses sections, ses imports, son entropie et d’autres caractéristiques techniques. L’objectif est d’estimer si le fichier ressemble à un malware, même si son hachage n’est pas répertorié.
Analyse comportementale
L’analyse comportementale s’intéresse à ce que fait un processus après son lancement. Elle peut considérer comme suspects la suppression des copies VSS suivie d’un chiffrement massif, une injection de code, une création de persistance ou l’exécution d’un script obscurci depuis une application bureautique.
Ces modèles ne sont pas infaillibles. Ils doivent rester encadrés par des politiques, des exclusions maîtrisées et une validation humaine.
Storyline : reconstruire la chaîne d’attaque
Une alerte isolée apporte rarement suffisamment de contexte. Savoir que powershell.exe a été
exécuté ne permet pas, à lui seul, de conclure à un incident.
La technologie Storyline de SentinelOne corrèle les événements appartenant à une même chaîne d’exécution : processus parent et enfants, fichiers créés, lignes de commande, connexions réseau et mécanismes de persistance. Le résultat présente l’histoire de l’incident sans obliger l’analyste à relier manuellement des dizaines d’événements indépendants.
Modes Detect et Protect
Mode Detect
En mode Detect, l’agent identifie l’activité suspecte et génère une alerte, mais n’applique pas nécessairement toutes les actions de mitigation automatiquement. Ce mode est utile pour évaluer une politique, mesurer les faux positifs ou déployer progressivement la solution. Son risque est opérationnel : si personne ne traite rapidement l’alerte, l’attaque peut continuer.
Mode Protect
En mode Protect, la plateforme peut exécuter les actions prévues par la politique lorsqu’une menace atteint le niveau de confiance requis. Elle peut, par exemple, arrêter le processus malveillant ou placer le fichier en quarantaine. Une approche prudente consiste à tester une politique sur un groupe restreint en mode Detect, puis à activer Protect après validation.
La nomenclature et les actions disponibles peuvent varier selon la version, la licence, la politique et le système d’exploitation.
Capacités de réponse de SentinelOne
- Kill process : arrête le processus malveillant, sans nécessairement supprimer ses mécanismes de persistance.
- Quarantaine : empêche un fichier détecté d’être exécuté ou utilisé.
- Remédiation : supprime ou corrige les artefacts associés à la menace.
- Isolation réseau : coupe les communications ordinaires de l’endpoint tout en maintenant, lorsque cela est possible, sa gestion par la console.
- Investigation : permet de consulter la télémétrie, rechercher des indicateurs et, selon la licence, collecter des informations à distance.
Rollback : utile, mais pas infaillible
Sur les environnements compatibles, le rollback peut restaurer certains changements provoqués par une menace. Il présente un intérêt particulier face à un ransomware, mais ne remplace jamais une stratégie de sauvegarde indépendante. Il repose principalement sur des mécanismes Windows tels que VSS, possède des limites de rétention et ne peut pas annuler une exfiltration de données.
Quelques exemples réalistes de détection
Ransomware
Un processus modifie rapidement des centaines de fichiers, change leurs extensions et tente de supprimer les copies VSS. L’EDR corrèle ces comportements, arrête le processus selon la politique et alerte le SOC. L’endpoint peut ensuite être isolé et les changements restaurés lorsque le rollback est disponible.
PowerShell malveillant
Un document Office lance une commande telle que :
powershell.exe -EncodedCommand <contenu encodé>PowerShell contacte ensuite un domaine inhabituel et écrit un exécutable dans un répertoire temporaire. Chaque action pourrait être légitime prise séparément ; leur enchaînement constitue un signal fort.
Malware avec persistance
Un binaire inconnu est exécuté depuis le profil utilisateur, crée une tâche planifiée et communique périodiquement avec une adresse externe. Storyline relie ces événements et facilite l’identification du point d’entrée.
Mouvement latéral
Un compte administratif lance soudainement des connexions vers plusieurs machines et crée des services distants. L’EDR met en évidence les processus concernés, mais le SOC complète l’analyse avec les journaux d’authentification, Active Directory, le pare-feu et le SIEM.
Exemple d’investigation avec SentinelOne
Imaginons qu’un collaborateur ouvre une fausse facture reçue par e-mail. Le document déclenche PowerShell, qui télécharge une charge malveillante. SentinelOne génère une alerte comportementale.
1. Qualifier l’alerte
L’analyste examine la criticité, l’endpoint, l’utilisateur, l’heure de début, le moteur ayant généré la détection, le statut de mitigation et le mode Detect ou Protect appliqué. Il vérifie immédiatement si la menace est encore active.
2. Examiner la Storyline
outlook.exe
└── winword.exe
└── powershell.exe
├── connexion vers un domaine externe
├── création de update.exe
└── création d’une tâche planifiéeCette relation parent-enfant indique que PowerShell n’a probablement pas été lancé pour une administration habituelle.
3. Analyser les indicateurs et rechercher l’étendue
L’analyste examine la ligne de commande, le hachage de update.exe, le domaine contacté, le
chemin du fichier et le compte utilisateur. Il recherche ensuite ces indicateurs sur les autres endpoints.
Si plusieurs machines ont contacté le même domaine, l’incident devient potentiellement une campagne.
4. Contenir l’endpoint
Si l’activité est confirmée, l’analyste isole le poste du réseau. Il évite de l’éteindre immédiatement pour ne pas perdre les éléments volatils. Les comptes potentiellement compromis doivent faire l’objet d’une réinitialisation des mots de passe, d’une révocation des sessions et d’un contrôle du MFA.
5. Neutraliser et remédier
L’analyste arrête le processus, place le fichier en quarantaine et lance la remédiation adaptée. Il vérifie que la tâche planifiée et les autres mécanismes de persistance ont disparu. Un rollback peut être envisagé si des fichiers ont été modifiés et si l’endpoint est compatible.
6. Identifier la cause initiale
La suppression du malware ne suffit pas. L’équipe doit déterminer comment le document est arrivé, pourquoi il a pu être ouvert et si une vulnérabilité ou une mauvaise configuration a facilité l’exécution.
7. Documenter et améliorer la détection
Après validation technique, les indicateurs sont ajoutés aux recherches du SIEM, les règles sont ajustées et les équipes concernées reçoivent les recommandations nécessaires.
Quel intérêt pour un SOC ?
Dans un SOC, SentinelOne apporte une télémétrie directement liée aux endpoints. Il accélère la qualification des alertes, la reconstruction des chaînes d’attaque, la recherche d’indicateurs et le containment. Son intégration avec un SIEM reste importante : l’EDR voit précisément l’endpoint, mais pas toujours tout le contexte du réseau, de la messagerie, du cloud ou des systèmes d’identité.
Avantages d’un EDR
- visibilité détaillée sur les endpoints ;
- détection d’attaques inconnues ou sans fichier ;
- corrélation comportementale des événements ;
- réponse rapide et parfois automatisée ;
- capacités de threat hunting et d’investigation.
Limites à prendre en compte
- risque de faux positifs et besoin d’ajustement ;
- impact sur les ressources à surveiller ;
- dépendance à la qualité des politiques et exclusions ;
- besoin d’analystes capables de traiter les alertes ;
- visibilité absente sur les machines non couvertes ;
- fonctions variables selon la licence et le système ;
- rollback incapable d’annuler un vol de données.
Un EDR ne remplace ni les sauvegardes, ni le durcissement, ni la gestion des vulnérabilités, ni la segmentation réseau. Il constitue une couche essentielle d’une défense en profondeur.
Conclusion
SentinelOne illustre l’évolution de la protection endpoint : passer d’une logique centrée sur les signatures à une surveillance continue des comportements. Sa valeur ne réside pas uniquement dans sa capacité à bloquer un malware, mais dans le contexte fourni aux analystes : quel processus a démarré l’activité, quels fichiers ont été modifiés, quelles connexions ont été établies et quelles actions permettent de contenir l’incident.
Correctement configuré et intégré à un SOC, un EDR comme SentinelOne améliore la détection et la réponse face aux ransomwares, scripts malveillants et mouvements latéraux. Son efficacité dépend toutefois de la couverture du parc, de la qualité des politiques et de la capacité de l’organisation à agir sur les alertes.
Renforcer la détection sur vos endpoints
Découvrez mes compétences en intégration EDR et analyse de logs, ainsi que l’offre Detection & Protection pour structurer la collecte, les règles de détection et la réponse aux alertes.
Échanger sur votre protection endpoint
SentinelOne : comprendre le fonctionnement d’un EDR moderne