FortiEDR protège les postes et serveurs avant, pendant et après une infection, avec des réponses automatisées. Tour d'horizon du produit et des compétences à développer.
FortiEDR est la solution de détection et de réponse sur les points terminaux (EDR) de Fortinet. En 2026, le produit reste distinct et activement maintenu ; Fortinet le présente comme le socle de son offre FortiXDR et l'a rapproché de son agent FortiClient. Son rôle : bloquer les menaces sur les postes et serveurs, détecter celles qui passent malgré tout et y répondre, y compris automatiquement.
Un antivirus classique compare les fichiers à des signatures connues. Les attaquants contournent facilement ce contrôle : outils légitimes détournés, scripts exécutés en mémoire, vol d'identifiants, déplacements latéraux. Un EDR surveille le comportement du système en continu (processus, connexions réseau, accès au registre, modifications de fichiers), conserve cet historique et permet de reconstituer la chaîne d'une attaque.
Les recommandations du NIST sur la réponse aux incidents (SP 800-61 révision 3, publiée en avril 2025) placent la détection, l'analyse et le confinement au cœur du processus. Sur les postes, cela suppose une télémétrie fiable : sans elle, une équipe de réponse ne peut ni mesurer l'étendue d'une compromission ni vérifier qu'elle a bien été contenue.
FortiEDR combine plusieurs couches :
L'intérêt de cette seconde couche est de limiter les dégâts : si un code malveillant tente de chiffrer des fichiers ou d'exfiltrer des données, l'agent peut bloquer l'action en cours plutôt que de se contenter de lever une alerte.
Une fonction clé de FortiEDR est l'orchestration de la réponse au moyen de playbooks paramétrables. Selon la gravité et le type d'événement, la solution peut par exemple :
Les détections sont rattachées au référentiel MITRE ATT&CK, ce qui aide les analystes à comprendre à quelle étape d'une attaque correspond chaque événement. En pratique, les équipes commencent souvent par un mode de simulation, qui journalise sans bloquer, avant de passer en mode protection une fois les faux positifs traités. Cette transition doit être planifiée : une règle trop stricte peut interrompre une application métier.
La console de gestion peut être déployée dans le cloud, sur site ou en mode hybride, avec une gestion multi-locataires adaptée aux fournisseurs de services managés. L'agent couvre Windows, Windows Server, macOS et plusieurs distributions Linux, ainsi que des environnements VDI. Fortinet met en avant la prise en charge de systèmes Windows anciens, ce qui intéresse les environnements industriels ou hospitaliers où certains postes ne peuvent pas être mis à niveau. Les listes précises de versions évoluent : consultez la documentation de la version que vous déployez.
Deux évolutions récentes méritent d'être connues :
Il ne s'agit donc pas d'un renommage : FortiEDR conserve son identité, mais s'insère dans une offre plus large de sécurité des opérations.
Avant de généraliser un EDR, prévoyez :
Un EDR sans personne pour analyser ses alertes apporte peu. C'est souvent la capacité de l'équipe à trier, investiguer et décider qui fait la différence.
Exploiter un EDR demande des compétences d'analyste : lecture d'arbres de processus, compréhension des techniques d'attaque, conduite d'une investigation et d'une réponse à incident. Ces parcours y préparent :
FortiEDR apporte une visibilité fine sur les postes et la capacité de bloquer une attaque en cours. Son intégration à FortiClient et à FortiXDR simplifie son déploiement, mais sa valeur repose sur une configuration progressive et sur des analystes formés pour exploiter ce qu'il détecte.