Devis reçus pour 'SIEM managé' et 'MDR' : c'est quoi la différence, et lequel choisir pour une boîte de 12 personnes ?

Techniquement, le SIEM est centré sur les données, le MDR sur les processus et les comportements. Le SIEM passe les journaux d'événements multi-sources dans un moteur de corrélation. Le MDR descend au niveau du noyau de l'OS avec des sondes pour bloquer les injections mémoire ou les élévations de privilèges. Sans obligation légale de conservation des logs, le MDR va droit au but.

On a eu exactement le même dilemme l'an dernier pour notre équipe de 18 personnes. Le SIEM était à 2.100 dollars par mois plus les dépassements de volume de logs. Pour le MDR, on a signé à 1.100 dollars par mois pour 22 endpoints. Sur les six premiers mois, les 14 alertes suspectes ont toutes été gérées par le prestataire sans jamais réveiller notre équipe.

Regardez bien votre contrat de confidentialité ou la grille d'audit du client. S'il n'y a pas d'exigence formelle stipulant que « tous les logs système doivent être conservés au moins 1 an sur un SIEM », ne vous embêtez pas. Prenez direct un contrat MDR vous dormirez sur vos deux oreilles.

Certaines boîtes qui vendent du MDR se contentent en fait de coller deux stagiaires devant une console d'antivirus classique pour vous envoyer un mail dès qu'une alerte pop. Épluchez bien les SLA du devis : le temps d'intervention est de combien de minutes, et est-ce qu'ils ont l'autorisation d'isoler directement la machine du réseau en cas de menace, ou bien ils attendent votre validation ?

si vous prenez un siem vos dev vont en avoir marre des alertes au bout de deux semaines et vont tout mettre en sourdine. et le jour ou y a un vrai incident personne verra rien. partez sur du mdr et laissez gerer ceux dont c'est le metier.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Votre client exige-t-il ce monitoring dans le cadre d'un audit SOC 2 ou de la norme ISO 27001 ? Si c'est le cas, avez-vous vérifié au préalable si votre prestataire MDR dispose d'une certification SOC 2 Type 2 et lui avez-vous demandé les modèles de rapports mensuels de réponse aux incidents à fournir à l'auditeur ?

Nous vous recommandons d'intégrer formellement les temps de réponse (MTTD et MTTR) mentionnés dans l'engagement de niveau de service en tant que clauses contractuelles. La différence entre le délai de détection et le délai d'intervention a un impact direct sur votre responsabilité juridique en cas de crise.

du coup, si on prend une solution MDR est-ce qu'on doit quand même installer un antivirus classique sur les PC portables des employés ou est-ce que leurs agents gèrent les deux tout seuls ?

je suis dans la même situation, c'est pourquoi je pose la question. tous ceux qui se pressent sur SIEM managé et MDR se heurtent au même obstacle.

je suis aussi curieux de svoir si d'autres font autrement.

Je vais essayer. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

C'est confirmé par l'expérience.

Il faut faire une distinction ici. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Je suis aussi curieux de savoir si d'autres font autrement.

Séparons les concepts, ils sont souvent confondus. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Corrigez-moi si je me trompe.

Je vous conseille de ne pas vous presser. Essayer de faire cela seul est la voie la plus coûteuse.

N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je me permets une petite mise en garde. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Je vais expliquer comment c'est fait en pratique. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

L'erreur commise du côté de SIEM managé et MDR est généralement réversible, mais coûteuse. Je suis aussi curieux de savoir si d'autres font autrement.

Exact.

Le point le plus souvent négligé concernant SIEM managé et MDR est : Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Essayer de faire cela seul est la voie la plus coûteuse. J'espère que cela vous sera utile.