MDR pour MSP : comment proposer une cybersécurité 24/7 sans construire son propre SOC ?

Les clients attendent désormais de leur prestataire informatique un niveau de service digne d’un SOC. Une surveillance continue, des alertes analysées par des experts et une capacité d’intervention en cas d’incident, y compris la nuit, le week-end ou pendant les congés.

Pour la plupart des MSP, construire cette capacité en interne reste toutefois difficilement envisageable. Le recrutement d’analystes sur un marché en tension, l’organisation des rotations, le maintien des compétences et la continuité du service représentent des contraintes importantes. Sans un volume de clients suffisant, le modèle peut également être difficile à rentabiliser.

Le MDR (Managed Detection and Response) constitue une alternative à la création d’un SOC interne. Le MSP s’appuie sur une équipe spécialisée disponible 24/7 pour assurer la surveillance, l’investigation et les premières actions de réponse. Il conserve de son côté la relation client, le pilotage du service et le suivi des mesures correctives.

Le MDR permet ainsi au prestataire de proposer certaines capacités opérationnelles d’un SOC sans devoir en supporter seul toute l’organisation et les coûts. Comment intégrer ce service à son offre et répartir clairement les responsabilités ? Explications.

Pourquoi le 24/7 est difficile à gérer en interne

Construire un SOC, ou Security Operations Center, ne se résume pas à installer une console et à centraliser des alertes. Le prestataire doit aussi organiser les permanences, qualifier les événements, documenter ses procédures et maintenir les compétences de ses analystes.

Une supervision réellement disponible 24/7 nécessite plusieurs équipes capables de se relayer. Ces dernières doivent connaître les environnements surveillés, distinguer une activité légitime d’un comportement malveillant et appliquer les bonnes procédures d’escalade.

Cette organisation devient plus complexe à mesure que le nombre de clients augmente. Chaque entreprise possède ses propres applications, horaires de travail, comptes à privilèges et contraintes métier. Une règle pertinente chez un client peut ainsi générer de nombreuses alertes inutiles chez un autre.

À cela s’ajoute le maintien des plateformes techniques : SIEM, outils de collecte des événements, mécanismes d’automatisation ou solutions SOAR. L’investissement ne porte donc pas seulement sur les licences. Il concerne aussi le recrutement, la formation, les procédures et la continuité du service.

Dans un marché où les profils spécialisés en cybersécurité restent difficiles à recruter, cette organisation peut rapidement devenir hors de portée pour un MSP de petite ou moyenne taille.

MDR, EDR, XDR et SOC : qui fait quoi ?

Ces quatre notions sont liées, mais elles ne désignent pas la même chose.

• L’EDR collecte et analyse les événements provenant des postes de travail et des serveurs. Il peut détecter un comportement suspect, interrompre un processus ou isoler une machine.
• Le XDR étend cette analyse à plusieurs sources : postes, identités, messagerie, réseau ou environnements cloud, selon les capacités de la plateforme. Pour en savoir plus, vous pouvez consulter notre comparatif EDR et XDR qui présente les principales solutions destinées aux prestataires informatiques.
• Le MDR ajoute une couche de service humain. Des analystes surveillent les détections, les replacent dans leur contexte, qualifient les incidents et déclenchent les actions prévues dans le contrat.
• Le SOC désigne une organisation plus large. Il peut couvrir la supervision de plusieurs technologies, la gestion des incidents, le renseignement sur la menace, l’analyse forensique ou encore la coordination de crise.

Un service MDR peut donc fournir certaines capacités habituellement associées à un SOC, sans en reprendre l’ensemble des fonctions. Tout dépend des sources surveillées, des droits accordés au fournisseur et des engagements prévus dans le contrat.

Ce que le MSP peut déléguer au fournisseur MDR

Le premier rôle du fournisseur MDR est d’assurer une surveillance continue des événements remontés par les technologies couvertes par le service.

Ses équipes peuvent notamment prendre en charge :

• l’analyse des détections ;
• le regroupement des événements liés à une même activité ;
• l’élimination des faux positifs ;
• la qualification des incidents ;
• la recherche proactive de menaces ;
• l’application de premières mesures de confinement.

Selon les autorisations accordées, le fournisseur peut par exemple isoler une machine, bloquer un processus ou engager une autre action destinée à limiter la propagation d’une attaque.

La recherche proactive de menaces, souvent appelée « threat hunting », complète ce dispositif. Elle consiste à examiner la télémétrie disponible pour repérer des traces d’activité malveillante qui n’auraient pas immédiatement déclenché d’alerte.

Cette délégation donne accès à des compétences disponibles en continu. Elle ne transfère cependant pas toute la gestion de l’incident au fournisseur.

Ce que le MSP doit conserver dans son offre de service

Le MSP reste d’abord responsable du cadrage du service. Il doit savoir précisément quels postes, serveurs, utilisateurs et environnements sont surveillés, mais aussi identifier les actifs laissés en dehors du périmètre.

Il conserve également la connaissance du contexte client. Un fournisseur MDR peut détecter une connexion inhabituelle ou l’utilisation d’un outil d’administration. Le prestataire devra parfois confirmer s’il s’agit d’une opération planifiée ou d’un comportement réellement suspect.

La relation avec le client reste également de son ressort. Lorsqu’un incident est confirmé, le MSP doit expliquer la situation, présenter les actions engagées et préciser les prochaines étapes. Un rapport technique transmis sans mise en contexte ne suffit pas.

Enfin, le confinement ne règle pas toujours la cause de l’incident. Il peut encore être nécessaire de restaurer un système, modifier des accès, appliquer une mise à jour ou réinstaller un poste. Le MSP doit suivre ces actions et tracer les décisions, les exceptions et les validations dans ses outils de gestion.

Le MDR ne fait donc pas disparaître son rôle. Il déplace une partie de sa valeur vers le pilotage, la coordination et l’accompagnement du client.

Comment intégrer le MDR dans une offre MSP

Le MDR peut être intégré à une offre MSP de plusieurs façons.

• La première consiste à le proposer en option d’une offre existante de protection des postes. Cette approche facilite l’adoption auprès des clients déjà équipés d’un EDR compatible.
• Le service peut aussi rejoindre un forfait de cybersécurité plus large, qui associe par exemple protection des postes, sécurité de la messagerie, authentification multifacteur, sauvegarde et suivi des vulnérabilités.
• Le MSP peut également créer une offre distincte pour les clients qui ont besoin d’une surveillance continue. Le contrat précise alors les actifs couverts, les délais de notification et les conditions d’intervention.

Dans tous les cas, le prix ne doit pas reposer uniquement sur le coût des licences. L’intégration, le paramétrage, la gestion des contacts, le suivi des incidents, le reporting et les réunions de pilotage représentent également du travail récurrent.

La facturation peut s’appuyer sur le nombre de postes, le nombre d’utilisateurs ou un forfait mensuel par client. Le modèle retenu doit surtout rester compréhensible et pouvoir évoluer avec le parc supervisé.

Pour allez plus loin, vous pouvez consulter notre comparatif des solutions MDR pour MSP et comprendre les différences entre les offres référencées (postes de travail, messagerie, identités, réseau et environnements cloud.)

Les points à cadrer avant de vendre le service

La promesse d’une « cybersécurité 24/7 » reste trop vague si elle n’est pas accompagnée d’un périmètre précis. Avant de commercialiser l’offre, plusieurs éléments doivent être formalisés.

Le périmètre surveillé

Le client doit savoir si le service couvre les postes, les serveurs, les équipements réseau, les identités ou les applications cloud. Les actifs non équipés ou non intégrés doivent apparaître clairement dans les exclusions.

Les actions autorisées

Le contrat doit préciser si le fournisseur peut isoler immédiatement une machine ou s’il doit attendre la validation du MSP. Certaines actions peuvent également être réservées aux incidents dépassant un niveau de criticité défini.

Les délais d’intervention

Un délai de détection ne correspond pas à un délai de notification ou de remédiation. Les engagements doivent distinguer la qualification de l’incident, son escalade, sa prise en charge et l’application d’une première mesure de confinement.

Les contacts et la procédure d’escalade

Le processus doit pouvoir fonctionner à toute heure. Le fournisseur a besoin de contacts à jour et le MSP doit prévoir une procédure lorsque le client ou le référent habituel ne répond pas.

Le suivi après l’incident

Le contrat doit également indiquer qui prend en charge les opérations de remédiation : restauration, réinstallation, changement des accès ou mise à jour des systèmes. Ces interventions peuvent représenter une charge supplémentaire pour le MSP.

Le reporting

Le rapport doit démontrer le service rendu. Il doit présenter les incidents confirmés, les actifs concernés, les actions engagées et les recommandations formulées. Un simple volume d’alertes ne permet pas au client d’évaluer la qualité du service.

Tester l’offre avec quelques clients pilotes

Une fois l’offre et les responsabilités définies, le MSP peut la tester sur un périmètre limité. Il n’est pas nécessaire de déployer immédiatement le MDR sur l’ensemble de son parc.

Le prestataire peut commencer avec quelques clients dont il connaît bien l’environnement et dont les postes sont déjà correctement administrés. Cette phase pilote permet de vérifier :

• l’installation des composants ;
• la remontée des événements ;
• le fonctionnement des contacts et des escalades ;
• le volume d’incidents à traiter ;
• le temps consacré au suivi ;
• la qualité des rapports fournis.

Le MSP peut ainsi mesurer la charge de travail qui reste à ses équipes et vérifier si le modèle tarifaire couvre réellement l’accompagnement réalisé.

Cette phase permet aussi d’ajuster les contrats et les procédures. Le prestataire peut préciser les niveaux d’escalade, les règles d’autorisation et les actions nécessitant l’accord du client.

L’intégration avec le PSA doit également être testée. Un incident confirmé doit pouvoir devenir un ticket, être affecté à la bonne équipe et rester accessible dans l’historique du client.

Le déploiement peut ensuite être élargi lorsque les responsabilités et les processus sont compris par toutes les parties. Cette progression limite les écarts entre la promesse commerciale et le service réellement délivré.

Comment ESET MDR for MSP s’inscrit dans ce modèle

ESET MDR for MSP associe les technologies de détection de l’éditeur à une surveillance humaine assurée en continu.

La solution comprend le tri des détections, la recherche de menaces et la réponse aux incidents. Les analystes s’appuient notamment sur la télémétrie disponible, des indicateurs de compromission, des indicateurs d’attaque et des flux de renseignement sur les menaces.

Des actions de confinement et d’éradication peuvent être réalisées lorsque le périmètre contractuel et les autorisations accordées le permettent.

Le service repose sur ESET Inspect, la composante EDR de l’écosystème ESET. Les détections peuvent être regroupées en incidents structurés, puis consultées avec les analyses et les réponses appliquées depuis la console.

Pour les MSP, l’offre s’inscrit dans un environnement conçu pour centraliser l’administration des clients. Le programme partenaires d’ESET prévoit également des fonctions d’automatisation et des intégrations avec des outils RMM et PSA. Son modèle de facturation peut s’adapter à l’évolution du nombre de postes protégés.

Le service ESET MDR comprend des rapports hebdomadaires et mensuels personnalisables, ainsi que l’accompagnement d’un responsable de compte technique francophone. Celui-ci aide le MSP à comprendre les incidents et à identifier les actions à mener, sans limitation de temps ni frais supplémentaires.

ESET annonce un temps moyen de réponse aux incidents parmi les plus faibles du marché, avec une moyenne de six minutes pour contenir une menace :

Pour en savoir plus, consultez la fiche dédiée publiée dans le Guide du MSP.

ESET MDR for MSP trouvera naturellement sa place chez les prestataires qui utilisent déjà l’écosystème ESET tel que ESET Protect ou qui cherchent à uniformiser la protection des postes sur l’ensemble de leur parc client.

Restez informé de l’actualité cybersécurité sur le Guide du MSP

Nouvelles solutions, évolutions du marché, conseils et retours d’expérience : retrouvez toute l’actualité de la cybersécurité pensée pour les MSP.

Consultez les derniers articles publiés sur le Guide du MSP.

Questions fréquentes sur le MDR pour MSP

Un service MDR remplace-t-il complètement un SOC ?

Non. Le MDR assure la surveillance, l’analyse et certaines actions de réponse sur un périmètre défini. Un SOC peut couvrir des fonctions plus larges, comme la supervision de multiples sources, l’analyse forensique, la gestion de crise ou la coordination avec les métiers.

Un petit MSP peut-il proposer un service MDR ?

Oui. L’externalisation permet d’accéder à une équipe disponible 24/7 sans devoir la constituer en interne. Le MSP doit néanmoins prévoir du temps pour l’intégration, le suivi des incidents, la communication et le reporting.

Quelle est la différence entre un EDR et un MDR ?

L’EDR est une technologie de détection et de réponse sur les postes et les serveurs. Le MDR est un service opéré par des analystes qui utilisent cette technologie pour surveiller, qualifier et traiter les menaces.

Qui assure la remédiation après un incident ?

Cela dépend du contrat. Le fournisseur MDR peut prendre en charge le confinement initial. Le MSP ou le client devra ensuite, selon les cas, restaurer les systèmes, corriger les accès, appliquer les mises à jour et vérifier le retour à un fonctionnement normal.

Comment facturer une offre MDR ?

Le service peut être facturé par poste, par utilisateur ou sous la forme d’un forfait mensuel. Le prix doit couvrir les licences, mais aussi l’intégration, le suivi des incidents, le reporting et l’accompagnement du client.