Un client sur Crowdstrike m’a un jour demandé de me battre pour obtenir la licence qui permet d’exporter les logs EDR vers son SIEM. Il voulait tout centraliser, tout voir au même endroit.
J’ai fait chiffrer l’option avec l’éditeur. Passer sur cette licence multipliait le coût de son EDR par 2,5.
Il a renoncé. Trop cher.
Et honnêtement, il a eu raison. Pas parce que les logs EDR ne servent à rien. Dans son cas précis, le jeu n’en valait pas la chandelle.
Laissez-moi vous expliquer pourquoi, parce que la réponse n’est pas la même pour tout le monde.
L’EDR détecte mieux que le SIEM. Sans discussion
Un EDR, c’est l’agent installé sur chaque poste et chaque serveur qui surveille en continu ce qui s’y passe. Un SIEM, c’est la plateforme centrale qui collecte et est sensée correler des logs venus de partout.
Sur la détection pure des menaces qui touchent un poste de travail, l’EDR est très largement meilleur que le SIEM. On ne fera jamais aussi bien avec un moteur de corrélation générique qu’avec un moteur spécialisé, entraîné sur des millions de postes dans le monde entier.
En plus, l’EDR agit tout seul. Mise en quarantaine du poste, isolation réseau. Sans attendre qu’un analyste lève la main.
Alors pourquoi vouloir absolument envoyer ces logs bruts dans le SIEM ? Sur le papier, ça ressemble à payer deux fois pour la même chose.
La vraie raison de collecter ces logs : la réponse à incident
Quand vous investiguez un incident sérieux, vous cherchez souvent des traces vieilles de plus de 30 jours. Un incident que vous découvrez aujourd’hui peut avoir un point d’entrée posé plusieurs semaines, parfois plusieurs mois plus tôt.
Problème : la rétention native d’un EDR ne couvre pas cette profondeur. Passé un certain nombre de jours, les logs de l’agent disparaissent.
C’est là que le SIEM prend son sens. Pour garder la mémoire longtemps, et permettre de remonter le fil quand l’incident est déjà là et qu’il faut comprendre depuis quand vous êtes compromis. Pas pour la détection pure et dure donc.
Ça se résume à une question de budget. Et de maturité
Petit budget SIEM ? Ne payez pas l’ingestion complète des logs EDR. Ce n’est pas optimal. Vous paierez cher pour un bénéfice de détection quasi nul, et vous n’aurez de toute façon ni le temps ni les ressources pour exploiter cette masse de données.
Budget confortable, équipe qui a le temps d’investiguer et de croiser les sources ? Foncez. Totalement, ou partiellement selon vos priorités.
Parce que là où ça devient intéressant, c’est la corrélation entre sources.
Un mail de phishing arrive. Clic sur le lien. Téléchargement. Exécution depuis le poste. Si vous avez vos logs mail, proxy web et endpoint au même endroit, vous voyez la chaîne complète en une seule alerte. Certaines plateformes SOC savent même regrouper ces événements automatiquement.
Sans cette centralisation, vous avez trois signaux isolés, dans trois outils différents, que personne ne relie entre eux avant qu’il ne soit trop tard.
Il y a aussi le cas des menaces qui sortent de nulle part. Face à une vulnérabilité toute fraîche, les règles qu’on peut pousser sur un EDR restent souvent basiques : des combinaisons de ET, OU, SAUF. Pour aller chercher des anomalies plus fines, avoir des logs système centralisés permet à une équipe qui sait s’en servir d’être plus rapide que l’éditeur lui-même sur une technique inédite.
Mais cette dernière phrase compte double : “une équipe qui sait s’en servir”. Sans elle, vous payez pour du stockage inutile. Avec elle, vous démultipliez votre capacité de détection.
Le SIEM ne remplace pas l’EDR. L’EDR ne remplace pas le SIEM.
Ils ont deux jobs différents. L’EDR détecte et agit en temps réel sur le poste. Le SIEM garde la mémoire et corrèle dans la durée.
Mon client n’avait ni le budget ni l’équipe pour exploiter la corrélation. Payer plus cher pour stocker des logs que personne n’allait analyser, ça n’avait aucun sens. Il a bien fait de dire non.
Si vous êtes face à ce choix, posez-vous la question : qui va concrètement exploiter ces logs, et pour quel cas d’usage précis ?
Gardez votre budget pour autre chose si votre réponse est vague.