MDR piloté par l’IA : sécurité 24/7 sans SOC interne

En 2025, la cybersécurité ressemble de moins en moins à un entretien « fait maison ». Beaucoup d’équipes IT ont encore le réflexe de « gérer » avec quelques règles de pare-feu, un antivirus, et des alertes SIEM qu’on regarde quand on peut. Sauf que la mécanique a changé. Les attaques aussi. Et le résultat est brutal : la complexité dépasse les capacités d’une équipe généraliste, même compétente.

J’ai une conviction assez tranchée : le débat n’est plus “faut-il un MDR ?” mais “quel MDR et comment l’opérer intelligemment ?” Parce qu’un MDR efficace, en 2025, c’est une combinaison très précise : IA pour détecter vite et à grande échelle + humains pour enquêter, trancher et agir. C’est exactement le cœur de notre série « Intelligence artificielle dans la cybersécurité » : quand la machine accélère, l’expertise décide.

Pourquoi la cybersécurité moderne dépasse une équipe IT “généraliste”

La réponse simple : les attaquants se sont spécialisés, industrialisés et automatisés, pendant que l’IT interne continue souvent à faire dix métiers à la fois.

Un responsable IT de PME/ETI peut gérer l’ERP, la messagerie, les postes, le réseau, le support, la conformité… et en plus la sécurité. En face, l’adversaire a un objectif unique : pénétrer, chiffrer, exfiltrer, extorquer. Il travaille en continu, teste en continu, apprend en continu.

L’analogie qui dit tout : le moteur sous le capot

Il y a vingt ans, on pouvait « bricoler » : installer un antivirus, appliquer des correctifs, et surveiller quelques journaux. Aujourd’hui, l’architecture de sécurité ressemble plutôt à une voiture moderne impossible à entretenir sans outillage spécialisé. C’est la même logique : les protections sont plus puissantes, mais aussi plus techniques à configurer et à piloter.

Et c’est là que l’IA entre en scène : elle permet d’exploiter des signaux faibles (comportements, corrélations, anomalies) que l’humain ne peut pas repérer à la main à l’échelle d’une entreprise.

La réalité opérationnelle : la sécurité n’est pas un projet, c’est un service 24/7

La plupart des attaques sérieuses n’attendent pas le lundi 09h00. Elles se produisent la nuit, le week-end, pendant les congés (bonjour décembre), quand la vigilance baisse.

Or opérer un SOC interne 24/7/365 demande :

• Des analystes de niveaux différents (L1, L2, L3)
• Des procédures d’escalade et d’intervention
• Des outils (EDR/XDR, SIEM, SOAR)
• Des astreintes, des rotations, de la supervision

Pour beaucoup d’organisations, ce n’est pas “cher”. C’est hors-sujet par rapport à leur cœur de métier.

MDR, EDR, XDR : ce que vous achetez vraiment

Réponse directe : vous n’achetez pas un outil, vous achetez une capacité (détecter + investiguer + répondre) tenue dans le temps.

On confond souvent les acronymes, alors clarifions sans jargon.

EDR et XDR : les “voitures de course” de la détection

• EDR (Endpoint Detection & Response) : visibilité et réponse sur les postes/serveurs. Excellent pour repérer un comportement anormal (exécution suspecte, persistance, escalade de privilèges).
• XDR (Extended Detection & Response) : étend la corrélation à plusieurs couches (endpoint, identité, email, cloud, réseau). Très utile quand l’attaque traverse plusieurs environnements.

Problème : ces outils sont puissants uniquement si on sait les conduire. Sans expertise, on se retrouve avec :

• Trop d’alertes (fatigue d’alerte)
• Des réglages par défaut (donc contournables)
• Des délais de réaction trop longs

MDR : l’opération + l’expertise (et de plus en plus l’IA)

MDR (Managed Detection & Response), c’est l’engagement d’un prestataire qui opère pour vous la détection et la réponse, avec ses analystes, ses playbooks, ses outils et ses astreintes.

Un chiffre à retenir, parce qu’il a structuré le marché : Gartner a prévu qu’environ 50% des organisations auraient adopté un MDR d’ici fin 2025. Ce n’est pas une mode : c’est la conséquence logique du déficit de compétences et de la complexité.

Et aujourd’hui, le MDR “moderne” est presque toujours assisté par IA : tri intelligent des alertes, scoring, corrélation multi-sources, détection d’anomalies, enrichissement par renseignement sur la menace.

Pourquoi l’IA rend le MDR réellement efficace (et pas juste “plus rapide”)

Réponse directe : l’IA sert à filtrer, relier et prioriser ; l’humain sert à comprendre, décider et assumer l’action.

C’est cette coopération qui crée de la valeur. Sans IA, les équipes se noient dans le bruit. Sans humains, on prend de mauvaises décisions… très vite.

1) Moins de bruit, plus de signal

Dans une entreprise moyenne, les événements de sécurité se comptent en millions par jour (authentifications, accès, processus, emails, API). L’IA permet de :

• Regrouper des signaux faibles qui, isolés, semblent “normaux”
• Détecter des anomalies comportementales (ex. compte admin actif à 03h12 depuis un nouvel appareil)
• Prioriser ce qui ressemble à une chaîne d’attaque, pas à un incident isolé

Phrase simple à garder en tête : une alerte n’est pas une attaque ; une séquence corrélée, souvent oui.

2) Détection plus tôt dans la kill chain

Les attaques par ransomware modernes évitent le bruit initial : elles vivent “bas et lentement”, puis accélèrent. L’IA aide à repérer :

• Une élévation de privilèges anormale
• Des accès latéraux inhabituels
• Des exfiltrations progressives (petits volumes, mais réguliers)
• Des scripts d’administration détournés (living off the land)

Le gain ne se mesure pas seulement en minutes. Il se mesure en dommages évités (chiffrement, arrêt de production, fuite de données).

3) Réponse guidée, mais contrôlée

Un bon MDR utilise l’automatisation (souvent via SOAR) pour exécuter des actions rapides et répétables :

• Isoler un poste
• Révoquer une session
• Bloquer un hash / un domaine / une IP
• Forcer une réinitialisation MFA

Mais je préfère une approche prudente : automatiser les gestes à faible risque, et faire valider humainement les actions à impact business (couper un serveur critique, bloquer un compte direction, etc.). C’est là que l’IA doit rester un copilote.

Les 5 questions qui évitent de choisir un MDR “sur le papier”

Réponse directe : un MDR se juge à l’opérationnel : couverture, délais, profondeur d’investigation et capacité d’intervention.

Voici les questions que je recommande en comité IT/Sécurité (et qui font gagner du temps dès l’appel d’offres).

1) Qu’est-ce qui est couvert, exactement ?

• Postes, serveurs, environnements cloud, identités, messagerie
• Filiales, télétravail, mobiles
• Journaux disponibles et qualité des sources

Un MDR “endpoint only” peut être suffisant… ou complètement aveugle si votre risque principal est l’identité ou le cloud.

2) Quels sont les délais : détection, qualification, réponse ?

Demandez des engagements concrets :

• Temps moyen de prise en compte
• Temps moyen de qualification
• Modalités d’escalade (qui appelle qui, quand)

En cybersécurité, la vitesse est une fonctionnalité.

3) L’IA est-elle un vrai moteur, ou un argument commercial ?

Posez des questions simples :

• Comment l’IA réduit-elle le volume d’alertes ?
• Quels types d’anomalies détecte-t-elle ?
• Comment évitez-vous les faux positifs coûteux ?
• Quelle part est automatisée, quelle part est analysée ?

Le bon signe : le prestataire sait expliquer sans incantation, avec des exemples.

4) Qui fait quoi pendant l’incident ?

Clarifiez la responsabilité :

• Le MDR peut-il isoler un poste sans votre validation ?
• Qui déclenche le plan de crise ?
• Qui gère la communication interne, la conformité, les preuves ?

Un MDR n’est pas une baguette magique : c’est une équipe d’intervention à distance, qui doit être alignée avec vos processus.

5) Comment prouve-t-on la valeur au bout de 90 jours ?

Exigez des livrables utiles :

• Rapports d’incidents avec chronologie (timeline)
• Tendances : top TTP, top actifs à risque
• Recommandations priorisées (durcissement, MFA, segmentation)
• Indicateurs : MTTD/MTTR, volume d’alertes, taux de faux positifs

Si au bout de trois mois vous n’avez que des “tickets”, vous payez surtout une boîte mail.

Exemple concret : “petite anomalie” qui cache une attaque sérieuse

Réponse directe : les attaques modernes se voient rarement comme une alerte unique ; elles se lisent comme une histoire.

Scénario réaliste (et courant) :

1. Un utilisateur reçoit un email de relance “facture de décembre” avec une pièce jointe.
2. Le poste exécute une macro ou un binaire déguisé.
3. L’attaquant récupère un token, puis tente une connexion sur un service cloud.
4. Il explore les partages, identifie un serveur de sauvegarde mal isolé.
5. Il exfiltre un petit volume de données RH/compta.
6. Il prépare le chiffrement, puis déclenche pendant le week-end.

Un SOC/MDR assisté par IA peut relier :

• L’événement email + comportement endpoint
• L’anomalie d’identité (connexion inhabituelle)
• La latéralisation réseau

Et déclencher des actions simples mais décisives : isoler le poste, révoquer les sessions, forcer MFA, bloquer l’exfiltration, ouvrir une investigation.

Ce n’est pas spectaculaire. C’est précisément ce qu’on veut : que l’attaque s’éteigne avant de devenir un incident.

MDR en 2026 : vers le MXDR, et ce que ça change pour vous

Réponse directe : la trajectoire est claire : plus de sources, plus d’automatisation, plus d’IA… et une exigence accrue de gouvernance.

On voit déjà apparaître des approches “MXDR” (multidomain XDR), avec une couverture encore plus large : OT/IoT, SaaS, identité, données, voire fraude. Pour les entreprises, la question pratique devient : comment éviter l’usine à gaz ?

Mon point de vue : mieux vaut un MDR bien intégré, avec des responsabilités nettes, qu’un empilement d’outils “pilotés” par personne. L’IA peut aider à intégrer, mais elle ne remplace pas les choix d’architecture ni les arbitrages métier.

Une sécurité efficace, c’est une sécurité opérée. Les outils sans opérationnel sont des tableaux de bord sans pilote.

Ce que vous pouvez faire dès maintenant (même avant de signer)

• Cartographiez vos actifs critiques (5 à 10 maximum) : AD/Entra ID, messagerie, sauvegardes, ERP, production.
• Fixez votre niveau d’appétence au risque : quelles actions automatiques sont acceptables ? lesquelles exigent validation ?
• Préparez un runbook d’incident avec numéros, rôles, et priorités (même simple).
• Assainissez les fondamentaux : MFA partout, comptes admin séparés, sauvegardes immuables ou isolées, segmentation minimale.

Ces gestes augmentent immédiatement la valeur d’un MDR, parce que le MDR travaille mieux quand l’environnement est cohérent.

La question à se poser n’est plus “MDR ou pas ?”

Un MDR piloté par l’IA répond à un besoin très concret : tenir une posture de détection et réponse 24/7, avec un niveau d’expertise difficile à recruter en interne, surtout pour les PME et ETI.

Si votre équipe doit déjà tout faire, la meilleure décision n’est pas d’ajouter un outil. C’est d’ajouter une capacité opérée, mesurable, et alignée sur vos risques. Et de traiter l’IA comme ce qu’elle est : un amplificateur d’efficacité, pas un substitut à la responsabilité.

Si vous deviez trancher avant la fin d’année : préférez-vous continuer à surveiller des alertes, ou réduire réellement votre probabilité de compromission en confiant la détection-réponse à un binôme IA + experts ?