FWaaS, EDR & BaaS : bâtir une offre cyber à destination de vos clients TPE/PME

Pourquoi l’antivirus et le pare-feu ne suffisent plus

La défense informatique d’une PME a longtemps reposé sur trois piliers simples : un boîtier pare-feu à l’entrée du bureau, un antivirus sur les postes et, pour les plus prévoyants, une sauvegarde qui tournait quelque part en cas de pépin. L’approche n’avait rien de naïve, elle correspondait à une époque où le système d’information tenait entre quatre murs, les attaques étaient plus rares, et les menaces – pour l’essentiel – reconnaissables par les antivirus.

Trois évolutions ont rendu l’ancien modèle obsolète et imposé de nouvelles réponses.

Le périmètre réseau, d’abord, a éclaté. Les salariés de vos clients se connectent depuis leur domicile, un train ou les locaux de leurs propres clients ; les applications métier ont migré vers le SaaS (Microsoft 365, Salesforce, Sage) ou vers des clouds publics. Le pare-feu posté à l’entrée du bureau continue de monter la garde, mais devant une porte que plus grand monde n’emprunte : l’essentiel du trafic de l’entreprise ne passe plus par lui.

Les menaces, ensuite, ont muté. Un antivirus classique reconnaît ce qu’il a déjà vu ; or les attaques actuelles sont construites précisément pour ne rien présenter de reconnaissable. Pour les repérer, il faut observer ce qu’un programme fait — son apparence ne dira rien.

Les rançongiciels, enfin, ont identifié le maillon qui fait plier les victimes : la sauvegarde. Dans l’étude Sophos 2024, 94 % des organisations interrogées ayant subi un rançongiciel déclarent que les attaquants ont cherché à compromettre leurs sauvegardes pendant l’attaque¹. Le procédé tient en deux lignes : un NAS monté en permanence, un partage SMB joignable depuis le poste infecté, et les sauvegardes sont chiffrées avec le reste. Lorsque l’opération réussit, la victime a deux fois plus de chances de payer la rançon, et sa facture de récupération est 8x plus élevée.

Les trois piliers d’origine n’ont pas disparu pour autant ; ils ont déménagé et changé de nom. Le pare-feu physique a migré vers le cloud, l’antivirus est devenu un agent capable d’analyser des comportements, et la sauvegarde s’est muée en service distribué dont les copies ne peuvent plus être effacées. On les appelle FWaaS, EDR et BaaS : trois solutions qui opèrent sur des surfaces distinctes — le réseau, les endpoints, la donnée. Pour un MSP ou un intégrateur IT, ils dessinent l’ossature d’une offre cyber cohérente à destination des TPE et PME.

Le modèle de menace d’abord, les outils ensuite

Une stratégie de défense se déduit du modèle de menace (threat model) de l’entreprise. Trois questions le résument : qui a intérêt à attaquer ce client, par quels chemins, pour quel gain ? Les entreprises du CAC40, OIV, sous-traitants de la défense ou établissements financiers font face à des adversaires motivés qui justifient une stratégie élaborée — donc coûteuse.

Cependant, la grande majorité des TPE/PME — sans profil particulier — sont victimes d’attaques opportunistes : scans en masse, qui ratissent large et passent à autre chose dès qu’elles rencontrent un obstacle. L’attaquant ne va pas dédier des ressources à forcer une porte bien fermée quand des milliers d’autres sont entrouvertes. C’est à ce modèle de menace que répondent les trois solutions présentées ici : le FWaaS pour avoir l’oeil sur les flux et les équipements exposés, l’EDR pour ce qui s’exécute sur les postes et le BaaS pour désamorcer l’impact d’un ransomware qui serait quand même passé à travers les lignes de défense.

FWaaS : le gardien du réseau

C’est quoi un FWaaS ?

Le FWaaS (Firewall-as-a-Service), c’est le pare-feu nouvelle génération (NGFW) consommé en abonnement, hébergé dans le datacenter d’un prestataire, sans matériel à acheter ni à maintenir chez le client. Le prestataire opère l’infrastructure, applique les correctifs et tient les protections à jour, pendant que vous pilotez les règles, visualisez le trafic et consultez les journaux de vos clients depuis une console unique.

Tout boîtier non patché est une faille

Un pare-feu physique sur un site unique, c’est gérable. Sur des parcs clients de dizaines de sites, la réalité est différente : chaque boîtier a son propre cycle de mise à jour, ses règles locales accumulées au fil du temps, et son correctif qu’on n’a pas eu le temps d’appliquer entre deux interventions. Le Panorama de la cybermenace de l’ANSSI le confirme : les pare-feu comptent parmi les équipements de bordure les plus exploités comme vecteur d’intrusion³. Fortinet, Cisco, Ivanti, Check Point — tous ont vu leurs équipements servir de porte d’entrée, non pas parce que la technologie est mauvaise, mais parce qu’un boîtier non maintenu devient une faille comme n’importe quel logiciel laissé à l’abandon.

Le FWaaS déplace cet entretien chez le prestataire : les correctifs sont déployés sur l’infrastructure centrale sans intervention site par site, et les politiques de sécurité s’appliquent de façon homogène sur l’ensemble des accès — ce qu’une flotte de boîtiers physiques avec des versions de firmware différentes ne garantit pas.

Ce que le FWaaS voit — et bloque

Un firewall moderne ne filtre pas les paquets un par un comme un pare-feu de première génération : il raisonne par session. Chaque connexion est qualifiée dans son contexte — origine, destination, application transportée, comportement au fil du temps. C’est ce qu’on appelle l’inspection stateful : une réponse qui arrive sans demande préalable, un protocole légitime détourné pour exfiltrer des données, une session qui change de nature en cours de route — autant de signaux susceptibles de déclencher un blocage là où un simple filtrage par port laisserait passer.

Sur cette base, plusieurs couches de contrôle s’appliquent en parallèle :

• Filtrage web — bloque l’accès aux domaines malveillants ou illicites, y compris ceux qu’un algorithme de génération (DGA) fabrique à la volée pour échapper aux listes noires statiques.
• Inspection antivirale — analyse les fichiers en transit (téléchargements, pièces jointes, flux HTTP) par signature connue ou par comportement anormal, sans attendre qu’ils atterrissent sur un poste.
• Contrôle applicatif — reconnaît les empreintes de milliers d’applications, dont des botnets, des outils de téléchargement illégal ou des logiciels espions déguisés en utilitaires courants.
• IPS (Intrusion Prevention System) — bloque les vecteurs d’intrusion connus : chevaux de Troie, exploits ciblant des services exposés, etc.
• Anti-DoS — mesure en continu le volume et la fréquence des connexions par source, et coupe automatiquement les adresses ou sessions qui dépassent les seuils définis, avant que la saturation n’atteigne les applications en production.

Sa vraie force tient toutefois à la détection des comportements réseau inhabituels : une station qui se met soudain à balayer des plages d’adresses internes, une imprimante qui ouvre une connexion vers un hébergeur douteux, un volume sortant qui s’envole entre trois et cinq heures du matin.

Ce que le FWaaS ne voit pas

En revanche, il ignore tout de ce qui se joue à l’intérieur d’un poste tant qu’aucun paquet n’en sort. Une commande PowerShell lancée en local, un processus qui lit un fichier sensible, une clé de registre modifiée : rien de tout cela ne le concerne aussi longtemps que le réseau n’est pas sollicité. Et une exfiltration qui emprunte un canal chiffré parfaitement légitime — un OneDrive personnel, une session Slack ou un service de partage grand public — lui reste invisible sans inspection TLS, lorsque cette fonctionnalité est activée et compatible avec les contraintes techniques du parc, et sans inventaire applicatif sérieux.

→ Aller plus loin : FWaaS : fonctionnement et sécurité réseau · Pourquoi adopter un FWaaS ? · Comment choisir son FWaaS ?

L’EDR (et la supervision qui va avec)

C’est quoi un EDR ?

Endpoint Detection and Response, soit la détection et la réponse sur les terminaux. Il s’agit d’un agent logiciel installé sur chaque poste de travail et chaque serveur. L’agent surveille en continu le comportement du système, des processus qui démarrent aux fichiers modifiés en passant par les appels système et les clés de registre touchées, et lève une alerte, voire engage une action automatique, dès qu’il détecte un enchaînement anormal.

Analyse comportementale contre signatures

Là où l’antivirus classique compare chaque fichier à une base de signatures connues — une méthode rapide et discrète, redoutable contre les malwares déjà répertoriés mais aveugle au reste —, l’EDR collecte en continu une télémétrie fine sur chaque poste : processus actifs, connexions réseau, modifications de fichiers et de registre. C’est cette masse de données qui rend possible l’analyse comportementale — corrélation d’événements dans le temps, règles heuristiques et, selon les produits, modèles statistiques — plutôt que de s’arrêter à l’apparence d’un fichier. Qu’un processus Word lance PowerShell, lequel télécharge un script en mémoire, lequel ouvre une connexion vers une adresse inconnue, et l’EDR peut couper le troisième maillon de la chaîne sans avoir jamais rencontré les deux premiers..

Observer n’est que la moitié du travail. Le même agent sait isoler un poste du réseau en quelques secondes, mettre fin à un processus en cours, bloquer une connexion sortante ou placer un fichier en quarantaine. Cette capacité de réaction immédiate, plus encore que la détection, est ce qui le distingue d’un simple outil de supervision. C’est aussi l’argument qui parle le mieux à un dirigeant de PME : entre « nous avions reçu une alerte » et « le poste a été isolé avant que le chiffrement ne commence », la différence se compte en jours d’arrêt d’activité.

Ce que l’EDR ne protège pas

L’EDR a lui aussi ses angles morts, à commencer par tout ce qui ne peut pas héberger son agent : imprimantes réseau, caméras IP, objets connectés industriels, firmware BMC d’un serveur, NAS grand public. Sans agent sur l’hôte, pas de visibilité.

Il ne voit pas davantage ce qui se déroule hors du poste : un attaquant qui circule dans Microsoft 365 avec un jeton volé, un accès direct à un bucket S3 mal configuré, une exfiltration via un partenaire tiers. Toute attaque qui ne transite pas par un endpoint supervisé lui échappe, et c’est exactement là que le FWaaS et une bonne hygiène des identités (IAM) reprennent la main.

L’EDR détecte, l’humain tranche

Interpréter des comportements a une contrepartie. Dans bien des cas, le verdict est sans appel : un chiffrement de masse amorcé, un outil d’attaque répertorié, et l’agent bloque seul, immédiatement. Mais il arrive aussi qu’il ne puisse pas trancher. Une commande rundll32 qui charge une DLL depuis %TEMP%, un script PowerShell encodé en base64, la lecture massive de fichiers : ces signaux trahissent une attaque… ou bien c’est seulement un administrateur en train de travailler, un outil de sauvegarde ou un logiciel métier un peu atypique.

Un EDR correctement déployé génère donc, à côté des détections franches, une part d’alertes ambiguës qu’il faut qualifier. C’est le prix de la méthode : mieux vaut un détecteur qui sursaute trop souvent qu’un détecteur aveugle. On ne peut pas l’installer puis l’oublier ; il faut quelqu’un derrière la console pour séparer le signal du bruit, qualifier chaque alerte et décider d’isoler une machine ou de classer l’événement en faux positif. Déployer un EDR sans supervision, c’est poser une alarme sans personne au bout du fil.

Alors, qui supervise ?

La réponse classique à cette question s’appelle le SOC (Security Operations Center), une équipe d’analystes mobilisée 24 heures sur 24 et 7 jours sur 7. Monté en interne, un tel dispositif réclame six à huit analystes rien que pour couvrir la semaine, les week-ends, les congés et la rotation jour/nuit, sans compter les outils (SIEM, SOAR, threat intelligence), la formation continue et un turnover notoirement élevé. Hors de portée d’une TPE ou d’une petite PME. La question n’est donc pas de savoir si ces organisations ont besoin d’une supervision, mais vers qui elles vont se tourner pour l’obtenir.

Si vous êtes déjà MSSP, la réponse va de soi : vous managez l’EDR comme le reste de votre offre de sécurité.

Si vous gérez déjà la sécurité de vos clients sans avoir encore formalisé une offre cyber managée, c’est une opportunité concrète. Vous ne rivaliserez pas forcément avec un grand SOC multidisciplinaire sur la profondeur d’analyse ou la couverture 24/7 — et ce n’est pas forcément l’enjeu pour vos clients TPE/PME. Ce que vous apportez, en revanche, aucun prestataire externe ne peut le reproduire : la connaissance du SI, des usages métier, des logiciels en place et des interlocuteurs. C’est un actif réel, à faire valoir dans votre positionnement. unyc travaille par ailleurs à une offre CERT qui permettra de prendre en charge les incidents majeurs en appui du partenaire, pendant que celui-ci conserve la relation client et la gestion au quotidien.

Pour ceux qui préfèrent ne pas internaliser la supervision, deux options existent : s’appuyer sur un EDR managé, ou déléguer à un MSSP partenaire qui assure la détection et la réponse (MDR) pendant que vous restez l’interlocuteur IT de référence.

Le BaaS (immuable)

C’est quoi un BaaS ?

Le Backup-as-a-Service consiste à confier la sauvegarde des données à un prestataire, assortie de deux garanties. La première est l’immuabilité : une fois écrite, une sauvegarde ne peut plus être ni modifiée ni supprimée pendant une durée définie. La seconde est l’isolement : les copies reposent sur une infrastructure séparée de la production, par air-gap logique ou physique. Si bien que même un attaquant ayant pris la main sur le compte administrateur de la plateforme de sauvegarde se heurte à un effacement techniquement hors de portée.

« Les répercussions financières et opérationnelles de la compromission des sauvegardes lors d’une attaque par rançongiciel sont colossales. Lorsque les attaquants parviennent à leurs fins, l’organisation est presque deux fois plus susceptible de payer la rançon. De plus, le coût total de la récupération est nettement plus élevé que pour les victimes dont les sauvegardes sont restées intactes. »
Sophos, The Impact of Compromised Backups on Ransomware Outcomes, 2024¹

La règle 3-2-1, devenue 3-2-1-1

Le raisonnement part d’une règle classique :

• 3 copies des données : la production, plus deux sauvegardes ;
• 2 supports différents : par exemple un stockage local rapide et un stockage objet distant ;
• 1 copie hors-site, géographiquement distante.

Dans l’étude Sophos 2025, parmi les organisations incapables de restaurer après une attaque, 38 % l’expliquent par des sauvegardes défaillantes ou corrompues⁵. Autrement dit, plus d’une victime sur trois possédait des sauvegardes et a quand même tout perdu. D’où le 3-2-1-1, ce dernier « 1 » imposant un test de restauration au moins trimestriel, idéalement dans un environnement isolé (sandbox), pour vérifier l’intégrité des données et le respect des objectifs de reprise.

RTO et RPO : les vrais indicateurs de performance

On a longtemps vendu la sauvegarde au gigaoctet ; c’est un mauvais critère. Les deux indicateurs qui comptent vraiment, ceux sur lesquels un client jugera son prestataire le jour d’un sinistre, sont le RTO et le RPO.

• RTO (Recovery Time Objective) : la durée d’interruption maximale acceptable. Si l’activité du client ne peut pas supporter plus de quatre heures d’arrêt, le RTO est de 4 h.
• RPO (Recovery Point Objective) : la perte de données maximale acceptable. Si l’on peut perdre au pire une journée de transactions, le RPO est de 24 h, et la fréquence des sauvegardes s’aligne dessus.

Un BaaS bien dimensionné vise un RTO agressif, par exemple la restauration d’un serveur en moins de deux heures, et un RPO ramené de quelques minutes à quelques heures grâce à la réplication continue (CDP, Continuous Data Protection). La traduction de ces objectifs en plan de sauvegarde, rétention et volume de stockage est traitée pas à pas, calculateur inclus, dans le guide Calculer le stockage d’un projet de sauvegarde.

Ce que le BaaS voit et ce qu’il ne voit pas

Le BaaS, lui, ne détecte rien et ne bloque rien : ce n’est pas sa vocation. Il sauvegarde, puis restaure le moment venu. Encore faut-il qu’il ait été correctement dimensionné, régulièrement testé et, surtout, mis en place avant l’incident. Il ne protège pas non plus contre l’exfiltration : restaurer une base de données n’efface en rien la copie que l’attaquant a déjà expédiée vers son propre serveur. Cette fuite-là doit être stoppée en amont, côté réseau et côté poste.

Pourquoi les trois fonctionnent ensemble

Lue en creux, la dernière colonne du tableau répond à la question posée en titre. Une attaque s’en prend d’abord au réseau (reconnaissance, accès initial, commande et contrôle), gagne ensuite le poste (exécution, élévation de privilèges, mouvement latéral) et n’atteint la donnée que si les deux premières phases sont passées inaperçues.

Chaque couche couvre ainsi ce que la précédente n’a pas su arrêter. Rien à voir avec un empilement d’outils concurrents : installer trois antivirus ne protège pas trois fois mieux, on ne récolte que des conflits et des faux positifs. Réunir un FWaaS, un EDR et un BaaS revient au contraire à couvrir trois surfaces distinctes — le réseau, le poste et la donnée — de sorte que la défaillance d’une couche laisse la suivante prendre le relais.

Une fondation solide, pas une forteresse complète

Même réunies, ces trois outils ne couvrent pas tout, et il vaut mieux que cette précision vienne de vous plutôt que d’un concurrent. Une part des attaques ne touche ni le réseau de l’entreprise ni ses postes. Un jeu d’identifiants volé par hameçonnage permet d’entrer dans Microsoft 365 comme un utilisateur légitime, sans jamais croiser le FWaaS ni l’EDR. Une fraude au virement se joue entièrement dans la messagerie ou par téléphone. Une application SaaS autorisée à la va-vite via OAuth peut siphonner des données depuis des services parfaitement légitimes. Et les équipements non gérés — le portable personnel d’un dirigeant, le poste d’un sous-traitant — restent en dehors de tout périmètre supervisé.

Combler ces angles morts relève d’autres disciplines et outils : la gestion des identités et des accès (IAM), avec MFA, moindre privilège et accès conditionnel ; la protection de la messagerie ; la surveillance des environnements cloud et SaaS ; la sensibilisation des utilisateurs. En cybersécurité, il n’existe pas de panoplie qui clôt le sujet une fois pour toutes ; c’est la logique de la défense en profondeur.

Le trio FWaaS, EDR, BaaS reste pour autant le point de départ : il couvre les scénarios les plus fréquents et les plus destructeurs, à commencer par le rançongiciel, et les couches suivantes s’appuient sur lui. Elles s’ajoutent à mesure que le modèle de menace du client l’exige et que sa maturité progresse.

L’audit Cyber

Lorsque des solutions sont déjà en place chez un client, on audite. Un outil déployé n’est pas un outil qui protège forcément : des licences EDR / antivirus inactives sur la moitié du parc, un firewall mal paramétré, des sauvegardes jamais testées restituent une fausse impression de sécurité. La liste qui suit reprend les points de contrôle classiques d’un audit de sécurité PME.

Périmètre réseau (là où commencent la plupart des intrusions) :

• règles de firewall any/any, règles inutilisées ou vieilles de plus de deux ans ;
• ports ouverts sans justification documentée ;
• VPN : split tunneling activé ? MFA exigée sur tous les accès distants ?
• filtrage DNS en place.

Identités et accès :

• inventaire des comptes à privilèges : qui est Domain Admin, et pourquoi ;
• comptes de service : date du dernier changement de mot de passe ;
• couverture MFA au-delà de la messagerie : VPN, RDP, consoles d’administration cloud ;
• comptes des salariés partis, à croiser avec la liste RH.

Postes et serveurs :

• couverture EDR/antivirus : 100 % du parc, ou y a-t-il des trous ? ;
• conformité des correctifs, en priorité sur les systèmes exposés à Internet et les CVE critiques ;
• recensement des droits administrateur locaux ;
• politique sur les supports amovibles/clés USB.

Sauvegarde et reprise :

• conformité à la règle 3-2-1-1 ;
• date du dernier test de restauration (et non de la dernière sauvegarde !) ;
• immuabilité et air-gap effectifs ;
• RTO et RPO connus et validés par le client lui-même.

Ce que les audits oublient :

• filtrage du trafic sortant : la plupart des parcs ne filtrent que l’entrant ;
• journalisation des requêtes DNS, précieuse en réponse à incident ;
• segmentation du réseau : un réseau à plat permet du mouvement latéral sans effort ;
• sécurité physique : salle serveur fermée, registre des visiteurs.

Conclusion — Souveraineté des données et conformité réglementaire

FWaaS, EDR, BaaS : tout cela se consomme « as a service », et la question suivra tôt ou tard : où sont les données, et sous quelle juridiction ? Le Cloud Act américain autorise les autorités des États-Unis à réquisitionner des données détenues par une entreprise américaine, y compris lorsque les serveurs se trouvent en Europe ; sauvegarder chez AWS, Azure ou Google Cloud expose donc, en théorie, à une requête extraterritoriale dont le client n’est pas averti. L’exposition dépend toutefois largement du modèle de chiffrement retenu : un chiffrement avec contrôle des clés par le client (BYOK, Bring Your Own Key) réduit significativement le risque pratique. L’Observatoire SecNumCloud 2026 relève que 24 % des organisations interrogées redoutent une telle réquisition pour elles-mêmes, et 39 % pour leur écosystème⁶. Pour la plupart des TPE et PME, le risque demeure toutefois théorique : leurs factures et leurs dossiers RH n’intéressent probablement aucune agence a trois lettres américaine. Deux critères pèsent davantage dans le choix d’un fournisseur :

• l’hébergement en France ou dans l’UE, pour la latence (sensible lors d’une restauration d’urgence), le support en français sur le même fuseau horaire, et la simplicité juridique en cas de litige ;
• le chiffrement des données, au repos comme en transit (AES-256 au minimum), si possible avec des clés gardées sous le contrôle du client (BYOK).

Quant à la certification SecNumCloud de l’ANSSI, le référentiel français le plus exigeant en matière de cloud de confiance, elle s’impose pour les secteurs régulés (santé, finance, opérateurs d’importance vitale, sous-traitants de la défense) ; la stratégie cyber nationale 2026-2030 en fait la clé d’accès au marché des données sensibles. Pour une TPE ou PME ordinaire, elle n’a rien d’indispensable. Ce qui compte alors se vérifie au contrat : hébergement France ou UE annoncé avec le nom du datacenter, DPA (Data Processing Agreement) signé, tests de restauration documentés et horodatés côté BaaS, et une clause sur les sous-traitants du fournisseur — certaines architectures dites souveraines s’appuyant en coulisses sur des services qui ne le sont pas.

Une dernière précision : la souveraineté tranche la question du cadre juridique, pas celle de la qualité d’exploitation. Un FWaaS hébergé en France mais mal configuré ne protège pas mieux qu’un FWaaS américain correctement réglé. Il faut tenir les deux exigences à la fois.