EDR et NDR : ce que votre endpoint ne verra jamais

Beaucoup d’entreprises pensent aujourd’hui être correctement couvertes dès lors qu’un EDR est déployé sur les postes et les serveurs. Le raisonnement est compréhensible : l’EDR est devenu un standard, il détecte des comportements suspects sur les endpoints, il remonte des alertes, et il joue un rôle central dans les stratégies de détection et de réponse. IBM rappelle d’ailleurs qu’un EDR protège les utilisateurs, les terminaux et les actifs IT grâce à une surveillance continue de l’activité locale.

Mais cette couverture a une limite structurelle : l’EDR ne voit que ce qui se passe sur l’équipement où il est installé.

les attaques modernes ne se limitent plus à un poste compromis. Elles avancent discrètement, utilisent des protocoles légitimes, cherchent à se déplacer d’un système à l’autre, et exploitent précisément les zones où la visibilité locale ne suffit plus. C’est pour cela que le NDR prend une place croissante dans les architectures de cybersécurité : non pas pour remplacer l’EDR, mais pour voir ce que l’endpoint seul ne peut pas voir.

Cette complémentarité entre vue “terrain” côté endpoint et vue “aérienne” côté réseau est bien décrite par IBM.

Un EDR excelle lorsqu’il s’agit d’observer ce qui se passe sur le poste ou le serveur lui-même.

Il permet notamment de détecter :

• l’exécution de processus suspects
• des comportements malveillants sur un endpoint
• des modifications anormales sur un système
• certaines tentatives d’élévation de privilèges
• des indicateurs de compromission visibles localement.

Autrement dit, l’EDR apporte une lecture fine de l’activité de l’équipement compromis. C’est sa force. Il donne une profondeur d’analyse essentielle au niveau du terminal, avec une capacité de réponse rapide sur le poste concerné.

Palo Alto rappelle lui aussi que l’EDR fournit une visibilité détaillée au niveau endpoint, là où le NDR observe d’autres signaux.

La limite de l’EDR n’est pas un défaut de qualité. C’est une limite de périmètre.

Même très bon, un EDR ne peut pas, à lui seul, offrir une compréhension complète de ce qui circule réellement dans le réseau. Il n’a pas, par nature, une vision globale :

• des communications entre machines
• des flux est-ouest internes
• de certains mouvements latéraux
• des comportements réseau qui paraissent légitimes vus depuis un endpoint isolé.

C’est précisément ce type de visibilité réseau que la CISA recommande de renforcer pour mieux détecter les rançongiciels et les activités latérales sur le SI.

Plusieurs avis CISA insistent explicitement sur l’intérêt d’outils capables de journaliser et signaler l’ensemble du trafic réseau, y compris les mouvements latéraux.

Un exemple parle mieux qu’un principe. Lors de la campagne Volt Typhoon, documentée par la CISA en 2023-2024, les attaquants ont maintenu une présence discrète dans des infrastructures critiques pendant plusieurs mois. Leur méthode reposait précisément sur l’utilisation d’outils légitimes du système (technique dite du « living off the land ») et sur des déplacements latéraux internes qui ne généraient pas d’alertes comportementales significatives au niveau des endpoints. C’est la surveillance du trafic réseau et non les alertes EDR qui a permis d’identifier les schémas de communication anormaux. C’est exactement le type de scénario que le NDR est conçu pour révéler.

En clair : un EDR peut très bien détecter qu’un poste exécute quelque chose d’anormal, mais il ne suffit pas toujours à comprendre comment une attaque se propage ni quelles communications réseau la rendent possible.

Le NDR observe le réseau lui-même. Il analyse les flux, les communications, les anomalies de comportement et les schémas de circulation. Palo Alto explique que le NDR s’appuie principalement sur l’analyse comportementale et du trafic pour identifier des activités suspectes qui échappent plus facilement aux approches basées sur les signatures seules (source Palo Alto).

C’est là que sa valeur devient évidente.

Le NDR peut révéler :

• des communications inhabituelles entre serveurs
• des déplacements latéraux entre zones du SI
• des flux suspects vers l’extérieur
• des comportements déviants sur des segments peu supervisés
• des compromissions silencieuses qui ne déclenchent pas forcément d’alerte endpoint immédiate.

IBM résume bien cette différence : l’EDR apporte une vue “au sol” sur l’équipement, tandis que le NDR fournit une vue d’ensemble sur le trafic réseau (source IBM).

On peut résumer la différence ainsi :

L’EDR vous dit ce qu’il se passe à l’intérieur d’une pièce.
Le NDR vous montre qui circule dans tout le bâtiment, à quel moment, entre quelles zones, et selon quelles trajectoires.

Les deux sont utiles.
Mais ils ne répondent pas à la même question.

• L’EDR aide à comprendre ce qu’un poste fait.
• Le NDR aide à comprendre ce que l’attaque fait dans l’environnement.

Et dans les attaques modernes, cette deuxième lecture devient souvent décisive.

En 2026, les environnements sont plus distribués, plus hybrides et plus interconnectés qu’auparavant. Les entreprises doivent surveiller :

• des postes utilisateurs
• des serveurs internes
• des applications cloud
• des accès distants
• des flux internes parfois peu documentés
• des segments sensibles où les mouvements latéraux ont un impact majeur.

Dans ce contexte, le NDR n’est plus un outil “avancé” réservé à quelques grandes organisations. Il devient une réponse logique à un problème devenu courant : le manque de visibilité sur le réseau réel.

Le marché lui-même le reflète. IBM classe le NDR parmi les briques majeures de visibilité du SOC moderne, aux côtés de l’EDR et du SIEM (source IBM).

C’est sans doute le point le plus important.

Le mauvais débat consiste à demander : faut-il choisir entre EDR et NDR ?

La bonne question est : à partir de quel niveau de maturité ou d’exposition le NDR devient-il nécessaire en complément de l’EDR ?

Car ces deux briques ne se remplacent pas.

L’EDR :

• protège et analyse l’endpoint
• isole une machine compromise
• donne des preuves locales très utiles.

Le NDR :

• révèle les logiques de circulation
• éclaire les angles morts entre les endpoints
• renforce la détection des mouvements latéraux
• améliore la compréhension globale d’un incident.

Plutôt qu’une liste abstraite, voici une lecture opérationnelle : si votre organisation coche au moins deux des critères suivants, le NDR cesse d’être optionnel.

• Vous opérez sur plusieurs sites ou dans un environnement hybride on-premise / cloud
• Vous avez des segments réseau sensibles (production, R&D, finance, OT) avec peu de supervision interne
• Vous ne pouvez pas déployer un agent EDR sur une partie de votre parc (IoT, OT, équipements tiers)
• Vous avez déjà subi un incident où la propagation n’a été comprise qu’après coup
• Votre SOC manque de visibilité sur les flux est-ouest internes
• Vous avez des obligations de traçabilité ou de conformité sur le trafic réseau (NIS2, DORA, secteur santé)

Si vous en cochez trois ou plus, la question n’est plus « est-ce que le NDR nous apporte quelque chose » mais « combien de temps a-t-on déjà perdu sans lui »…

Un cas particulièrement structurant est celui des environnements OT (technologies opérationnelles) et des équipements IoT. Automates industriels, caméras, équipements médicaux, switches non managés : ces actifs ne peuvent tout simplement pas recevoir d’agent EDR. Ils sont pourtant connectés au réseau, exposés, et constituent des points d’entrée ou de rebond réels pour un attaquant. Dans ces environnements, le NDR n’est pas un complément : il est la seule source de visibilité disponible. C’est un argument décisif pour toute organisation qui opère une infrastructure mixte IT/OT, ou qui gère des équipements dont elle ne maîtrise pas entièrement la surface logicielle.

C’est aussi un sujet majeur pour les organisations qui veulent dépasser une cybersécurité « par silos » et retrouver une lecture plus cohérente de leur exposition.

Chez LOGIQE, nous considérons qu’un bon dispositif de cybersécurité ne repose pas sur une accumulation d’outils, mais sur une lecture lucide de ce que chaque brique voit réellement.

L’EDR reste indispensable. Mais croire qu’il suffit à lui seul à couvrir l’ensemble du risque revient souvent à surestimer la visibilité réelle du SOC.

L’apport du NDR est justement là :
redonner au système d’information une profondeur de lecture réseau que les outils endpoint ne peuvent pas produire seuls.

Dans une approche premium, il ne s’agit pas d’ajouter une couche technique pour suivre une tendance. Il s’agit de compléter intelligemment l’architecture de détection, en fonction des usages, des flux, des environnements et du niveau de criticité.

L’EDR et le NDR n’ont pas le même rôle.

L’un voit ce qui se passe sur l’endpoint.
L’autre voit ce qui se passe entre les endpoints, dans le réseau et à travers l’architecture.

Comprendre cela simplement, c’est déjà améliorer sa posture de sécurité.

En 2026, l’apport du NDR n’est plus théorique. Il répond à une réalité opérationnelle : les attaques utilisent les flux internes, les déplacements latéraux et les angles morts du réseau.

Quelle est la différence entre un EDR et un NDR ?

Un EDR surveille l’activité d’un poste ou d’un serveur, tandis qu’un NDR analyse les flux réseau et les communications entre systèmes.

Pourquoi un EDR ne suffit-il pas toujours seul ?

Parce qu’il ne voit pas l’ensemble des mouvements latéraux ni certains comportements réseau qui échappent à une lecture purement endpoint.

Dans quels cas le NDR devient-il particulièrement utile ?

Le NDR est particulièrement pertinent dans les environnements hybrides, multi-sites, on-premise ou complexes, où la visibilité sur les flux internes devient essentielle.