EDR sur Mac en PME suisse : Defender, SentinelOne, CrowdStrike face à face

Un parc Mac non supervisé reste un parc non protégé

Sur macOS 14 (Sonoma), les protections natives — Gatekeeper, XProtect, System Integrity Protection — bloquent les menaces connues mais restent aveugles aux comportements anormaux post-infection. Un collaborateur d'une fiduciaire vaudoise qui exécute un script Python téléchargé depuis un Google Drive compromis ne déclenchera aucune alerte XProtect, pourtant la session Terminal ouverte en arrière-plan commence à exfiltrer des données. C'est exactement ce que détecte un EDR.

Périmètre du comparatif et critères retenus

Les trois plateformes évaluées — Microsoft Defender for Endpoint (MDE), SentinelOne Singularity et CrowdStrike Falcon — représentent plus de 60 % des déploiements EDR dans les PME européennes de 50 à 500 endpoints. Le comparatif porte sur cinq axes concrets :

• Architecture de l'agent macOS : impact kernel vs user-space, extensions système (SEXT), conformité Apple notarisation.
• Intégration MDM : déploiement via Apple Business Manager / Jamf / Intune, profils PPPC (Privacy Preferences Policy Control), KEXT legacy vs SEXT.
• Détection comportementale : couverture MITRE ATT&CK, latence de détection, faux positifs observés en production.
• Coût total CHF : licence + infrastructure + charge d'administration pour un parc de 50 Mac.
• Souveraineté des données et nLPD : localisation des données, durée de rétention, obligations de notification.

Architecture agent : ce qui tourne sur le Mac

Microsoft Defender for Endpoint

MDE sur macOS s'installe via un package .pkg signé et notarisé, déployable par MDM (profil de configuration MobileConfig). L'agent utilise exclusivement les System Extensions (SEXT) depuis macOS 11 — aucune dépendance KEXT résiduelle. Il injecte un Network Content Filter (NCF) sur le port loopback pour inspecter le trafic sans proxy inline. La charge CPU moyenne observée en production : 1 à 3 % en idle, jusqu'à 8 % lors d'un scan complet. L'intégration avec Microsoft Intune est native : le profil PPPC s'applique via un payload com.microsoft.wdav et le Full Disk Access se provisionne sans intervention utilisateur si le profil MDM est correct. Prérequis réseau : outbound TCP 443 vers *.endpoint.security.microsoft.com et *.ods.opinsights.azure.com.

SentinelOne Singularity

L'agent SentinelOne (version 23.x au moment de l'écriture) opère en user-space avec un SEXT pour le monitoring des processus et un Network Extension pour l'inspection de flux. Il n'utilise pas de proxy HTTPS inline par défaut, ce qui réduit les conflits avec Zscaler ou Cisco Umbrella souvent présents dans les PME. Le moteur de détection est dit « on-device » : les décisions de kill/quarantine se prennent localement sans round-trip cloud, ce qui est déterminant dans les scénarios de connectivité dégradée (télétravail VPN instable). Charge CPU : 2 à 5 % en idle. La console de management est hébergeable en région EU (Frankfurt) — point important pour la conformité nLPD si des données personnelles transitent dans les télémétries.

CrowdStrike Falcon

Falcon Sensor sur macOS est entièrement SEXT depuis le capteur 6.x. Il fonctionne en mode cloud-first : la détection comportementale repose sur l'analyse en temps réel dans le CrowdStrike Security Cloud, ce qui implique une latence réseau incompressible de 200 à 800 ms pour les décisions de blocage complexes. En compensation, l'empreinte locale est faible (CPU < 2 % en idle) et le délai de déploiement d'une nouvelle règle de détection se compte en minutes, pas en heures. Le déploiement MDM passe par un profil MobileConfig incluant les payloads PPPC, System Extension et Network Extension — CrowdStrike fournit un template pour Jamf Pro et un pour Intune. Réseau : TCP 443 sortant vers *.cloudsink.net et *.falcon.crowdstrike.com.

Déploiement MDM et conformité Apple Business Manager

Les trois EDR nécessitent quatre profils MDM distincts pour une installation silencieuse sans prompt utilisateur :

1. System Extension Allowed — autorise le Team ID de l'éditeur.
2. Privacy Preferences Policy Control (PPPC) — accorde Full Disk Access à l'agent.
3. Network Extension — autorise le Content Filter ou le Network Extension selon l'architecture.
4. Notifications — configure les alertes visibles si l'agent affiche des bandeaux.

Sans enrollment via Apple Business Manager (ABM), le profil PPPC peut être révoqué par l'utilisateur dans Préférences Système → Confidentialité. C'est le vecteur d'échec le plus fréquent dans les PME qui ont acheté des Mac en retail sans les enrôler via ABM : l'agent tourne mais sans Full Disk Access, il manque jusqu'à 40 % des événements de fichiers. Vérifier l'état MDM enrollment (profiles status -type enrollment) avant tout déploiement EDR.

Les CIS Benchmarks macOS (niveau 1 et 2) recommandent explicitement d'activer le Full Disk Access uniquement pour les processus approuvés via MDM supervisé — exactement le schéma décrit ci-dessus.

Détection : couverture MITRE ATT&CK et faux positifs

Ce que les trois couvrent bien

Sur macOS, les tactiques les plus courantes dans les incidents PME sont : T1059.006 (Python/AppleScript execution), T1543.004 (Launch Daemon persistence), T1071 (C2 via HTTPS). Les trois plateformes détectent fiablement ces techniques sur la base des tests publics disponibles (MITRE ATT&CK Evaluations Enterprise, dernière édition Turla).

Différences observées

• MDE : excellent sur les menaces Windows croisées (documents Office malveillants ouverts sur Mac, macro VBA), plus lent sur les scripts shell natifs macOS. Le taux de faux positifs est élevé sur les outils DevOps (Homebrew, pip, npm) sans tuning préalable.
• SentinelOne : meilleure détection comportementale locale pour les attaques fileless sur macOS. Le mode « Auto-Immunize » qui crée automatiquement des règles de protection peut bloquer des scripts légitimes dans les MSP ou les bureaux d'études — à passer en mode « Detect » pendant 2 semaines avant d'activer « Protect ».
• CrowdStrike : temps de réponse le plus rapide sur les IOC connus (threat intel partagée globalement), mais dépendance cloud : coupure réseau = réduction à la protection basée sur les règles locales statiques. Dans un scénario de ransomware sans accès internet (attaque sur VPN isolé), la fenêtre de vulnérabilité est réelle.

Coût total pour 50 Mac (estimation CHF 2024)

Les tarifs publics sont indicatifs ; la négociation channel réduit généralement de 15 à 30 % pour une PME via un revendeur certifié.

• MDE Plan 2 (inclus dans Microsoft 365 E3 ou en licence standalone) : environ CHF 6 à 8 par endpoint/mois. Pour 50 Mac : CHF 3 600 à 4 800/an. Si la PME est déjà sous M365 E3, le coût marginal est nul.
• SentinelOne Singularity Core : environ CHF 45 à 60 par endpoint/an. Pour 50 Mac : CHF 2 250 à 3 000/an. La tier « Control » (avec EDR complet et réponse automatisée) monte à CHF 70 à 90/endpoint/an (CHF 3 500 à 4 500/an).
• CrowdStrike Falcon Go / Pro : environ CHF 60 à 100 par endpoint/an selon le niveau. Pour 50 Mac : CHF 3 000 à 5 000/an. La tier Falcon Pro inclut EDR + threat hunting basique.

À ces coûts s'ajoute la charge d'administration : environ 0,5 jour/mois pour le tuning des alertes et la gestion des exclusions dans les trois cas, soit CHF 800 à 1 200/mois à factoriser si externalisé.

Cas pratique : MSP vaudois, 65 Mac répartis sur 8 clients

Contexte : Un MSP basé à Morges gère 65 Mac pour le compte de 8 PME clientes (cabinets comptables, PME industrielles, une clinique vétérinaire). Les Mac sont sous macOS 13 et 14, enrôlés via ABM. Le MSP utilise Mosyle Business comme MDM. Aucun EDR en place au 01.01.2024 — protection limitée à XProtect et Malwarebytes Pro sur quelques machines.

Incident déclencheur : En mars 2024, un collaborateur d'un client cabinet comptable ouvre un PDF joint à un e-mail de phishing. Un dropper Python s'exécute, ouvre une session reverse shell vers un C2 externe (port TCP 4444). Malwarebytes ne détecte rien. L'incident est découvert 72 heures plus tard lors d'un audit de logs réseau. Conformément à l'article 24 de la nLPD, le MSP notifie le PFPDT dans les 72 heures (violation de données personnelles de clients du cabinet).

Décision EDR : Le MSP évalue les trois plateformes sur 3 critères prioritaires : multi-tenant (gestion de 8 clients depuis une console unique), coût par endpoint sous CHF 70/an, et déploiement MDM via Mosyle sans agent manuel. SentinelOne est écarté pour absence de support natif Mosyle sur le multi-tenant à l'époque. CrowdStrike Falcon Pro est retenu à CHF 65/endpoint/an HT, soit CHF 4 225/an pour 65 endpoints.

Déploiement en 5 étapes :

1. J-7 — Préparation MDM : Le responsable IT du MSP crée 4 profils Mosyle (SEXT, PPPC, Network Extension, Notifications) à partir du template CrowdStrike fourni dans leur portail partenaire. Vérification : tous les 65 Mac sont en statut « Supervised » dans ABM.
2. J-5 — Déploiement pilote : Déploiement sur 5 Mac de référence (un par profil client différent). Validation du Full Disk Access via profiles show -type configuration. Monitoring CPU pendant 48 h (max observé : 4 %).
3. J-2 — Exclusions métier : Ajout d'exclusions pour les outils comptables (EBP, Sage 50 sur VM Parallels) et les scripts de backup Time Machine personnalisés. Sans ces exclusions, 12 faux positifs ont été générés pendant le pilote.
4. J0 — Déploiement fleet complet : Push MDM silencieux sur les 60 Mac restants. Durée totale : 4 heures (dépend de la connectivité des clients). Aucune interaction utilisateur requise.
5. J+14 — Bilan et tuning : Revue des alertes sur 2 semaines : 3 vrais positifs (un script PowerShell via Parallels, deux tentatives de modification de LaunchDaemon), 7 faux positifs supplémentaires résolus par exclusion de paths. Passage en mode « Prevent » pour les 65 endpoints.

ROI observé : Le coût de l'incident de mars (investigation forensique externalisée + notification PFPDT + communication clients) a été estimé à CHF 18 000. Le budget EDR annuel représente 23 % de ce coût. L'incident de mars aurait été bloqué au niveau T1059.006 selon la simulation effectuée avec l'agent Falcon en mode replay.

Récapitulatif opérationnel

• Vérifier l'enrollment ABM avant tout : Un Mac retail non supervisé ne peut pas recevoir de profil PPPC immuable — l'EDR sera inefficace sans Full Disk Access persistant.
• MDE si déjà sous M365 E3/E5 : Le coût marginal est nul, l'intégration Intune est native. Tuner les exclusions DevOps dès J+3 pour réduire les faux positifs.
• SentinelOne pour la détection on-device : Idéal si la connectivité cloud est intermittente (sites industriels, télétravail rural). Commencer en mode Detect 2 semaines avant d'activer Protect.
• CrowdStrike pour les MSP multi-tenant : La console multi-client et la threat intel globale sont des avantages nets. Prévoir une fenêtre de vulnérabilité en cas de coupure réseau totale.
• Appliquer les profils CIS Benchmarks macOS (niveau 1 minimum) : Complémentaire à l'EDR, non substituable. Un endpoint durci réduit la surface d'attaque avant même que l'EDR ne détecte.
• Documenter les exclusions : Toute exclusion non documentée devient un angle mort. Tenir un registre avec justification métier, date, et responsable.
• Tester le déploiement MDM sur un groupe pilote : 5 machines représentatives suffisent pour détecter les conflits de Network Extension avec les proxies existants.
• Prévoir la procédure de notification nLPD : Si l'EDR génère une alerte de fuite de données, la nLPD impose une notification au PFPDT dans les 72 heures si des données personnelles sont concernées — anticiper la chaîne décisionnelle (DSI → RSSI → juriste → PFPDT).
• Signaler les incidents cyber au NCSC : Non obligatoire pour les PME hors secteur critique, mais recommandé — les données agrégées alimentent les alertes nationales.
• Revoir les licences annuellement : Le nombre d'endpoints fluctue (onboarding, offboarding). Une surlicence de 20 % est fréquente dans les PME en croissance — négocier une clause d'ajustement trimestriel avec le revendeur.

SynGuard accompagne les PME romandes dans le choix et le déploiement d'EDR sur Mac et Windows, en intégrant la gestion MDM et les exigences de conformité nLPD.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023, incluant les obligations de notification (art. 24).
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de contrôle suisse pour la protection des données, procédures de notification de violations.
• Centre national pour la cybersécurité (NCSC) — Recommandations, alertes et formulaire de signalement d'incidents pour les entreprises suisses.
• CIS Benchmark for macOS — Center for Internet Security — Référentiel de durcissement macOS (niveaux 1 et 2), complémentaire au déploiement EDR.
• NIST Cybersecurity Framework — nist.gov — Cadre de référence pour structurer la gestion des risques cybersécurité, incluant la fonction Detect couverte par les EDR.