Qu’est-ce que le Stormshield Endpoint Security ?

Stormshield Endpoint Security : la réponse courte

Stormshield Endpoint Security, souvent abrégé en SES, est une solution de protection des terminaux professionnels. Elle installe un agent sur les postes de travail et, selon l’offre retenue et la matrice de compatibilité, sur certains serveurs. Cet agent surveille l’exécution des programmes, les comportements suspects, les accès aux ressources et les actions définies comme sensibles par l’entreprise. L’administrateur construit et diffuse les politiques depuis une console centralisée, ce qui évite de configurer chaque ordinateur séparément. L’objectif est de réduire la probabilité qu’un poste devienne le point d’entrée ou de propagation d’une attaque.

Besoin	Contribution de SES	Complément nécessaire
Malware sur un poste	Détection et blocage selon les politiques	Mises à jour et sauvegardes
Programme non autorisé	Contrôle d’exécution applicative	Inventaire des logiciels
Clé USB ou périphérique à risque	Contrôle des périphériques	Règles métier et exceptions
Alerte de sécurité	Remontée d’événements centralisée	Procédure de réponse
Compromission d’un compte	Protection indirecte du terminal	MFA et gestion des identités

Comment la protection des terminaux fonctionne-t-elle ?

Le principe est simple : l’agent SES applique localement les protections même lorsqu’un ordinateur est temporairement hors du réseau de l’entreprise. Il observe notamment les processus lancés, leurs interactions avec le système, les tentatives de modification de fichiers ou de registres, les communications autorisées et les périphériques raccordés. Lorsqu’une règle est enfreinte ou qu’un comportement correspond à un scénario de menace, la politique peut alerter, bloquer, isoler une action ou demander une validation. La qualité du résultat dépend moins du nombre de fonctions activées que de règles adaptées aux usages réels des équipes.

• Protection anti-malware et comportementale : elle cherche des indices de code malveillant et de comportements anormaux, y compris lorsque le fichier n’est pas encore identifié par une signature classique.
• Contrôle des applications : il peut autoriser, interdire ou encadrer l’exécution de catégories de logiciels, de scripts ou de programmes non approuvés.
• Contrôle des périphériques : il aide à gérer les supports USB, les stockages amovibles et d’autres équipements selon les règles de l’organisation.
• Politiques contextuelles : une règle peut varier selon le groupe d’utilisateurs, le type de poste, le réseau ou le niveau de sensibilité d’un service.
• Journalisation centralisée : les événements servent au diagnostic, à l’investigation et à l’amélioration progressive des politiques.

Protection préventive, détection et réponse : ne confondez pas les niveaux

Les termes EPP, EDR et XDR sont souvent employés de manière imprécise. Une protection de terminal, ou EPP, vise surtout à empêcher l’exécution ou la propagation d’une menace. Un EDR met davantage l’accent sur la collecte de télémétrie détaillée, la recherche d’incidents et les actions de réponse menées par un analyste. Certaines offres associent plusieurs fonctions, mais leur profondeur opérationnelle diffère. Ne déduisez donc pas qu’un produit répond à un besoin EDR complet parce qu’il génère des alertes : demandez précisément quelles données sont conservées, quelles investigations sont possibles et quelles actions de confinement sont disponibles dans votre édition.

Quelles attaques SES peut contrer, et où s’arrêtent ses capacités ?

SES est pertinent contre une grande partie des risques qui commencent sur un poste : pièce jointe malveillante, programme téléchargé, macro ou script non souhaité, périphérique amovible non maîtrisé, mouvement latéral facilité par un poste insuffisamment durci, ou chiffrement rapide de fichiers typique d’un rançongiciel. Une politique de contrôle applicatif bien construite réduit particulièrement la surface d’attaque : un utilisateur ne devrait pas pouvoir exécuter librement un programme reçu par courriel dans son dossier Téléchargements. Mais le produit ne peut pas corriger à lui seul une vulnérabilité non patchée, une authentification faible ou une sauvegarde inutilisable.

Scénario	Apport de SES	Limite à anticiper	Contrôle complémentaire
Rançongiciel lancé sur un poste	Blocage comportemental possible	Aucune garantie absolue	Sauvegardes restaurables
Logiciel non autorisé	Règle d’exécution ou d’interdiction	Exceptions métier nécessaires	Inventaire logiciel
Clé USB inconnue	Restriction ou traçabilité	Freine les échanges légitimes	Procédure d’exception
Hameçonnage réussi	Limite l’étape d’exécution	Le vol d’identifiants reste possible	MFA et filtrage mail
Faille d’un logiciel	Réduit certains exploits	Ne remplace pas un correctif	Gestion des patchs

Le risque le plus sous-estimé est organisationnel. Une alerte sans destinataire, sans délai de traitement et sans capacité d’isoler le terminal n’apporte qu’une visibilité tardive. Définissez donc ce qui se passe lorsqu’un poste est suspect : qui reçoit l’alerte, qui décide d’une coupure réseau, comment l’utilisateur poursuit son activité et quand les preuves sont sauvegardées. Pour une PME sans équipe de sécurité dédiée, un prestataire d’infogérance ou un SOC peut être plus décisif que l’ajout d’une règle technique supplémentaire.

Pour quels parcs et quels usages la solution est-elle adaptée ?

SES convient surtout aux organisations qui souhaitent administrer de façon homogène un parc de postes Windows et, selon la compatibilité confirmée, des serveurs ou d’autres systèmes pris en charge. Il est particulièrement intéressant lorsque les utilisateurs travaillent en mobilité, manipulent des données sensibles, utilisent des périphériques ou disposent de droits locaux qui ne peuvent pas être supprimés immédiatement. Une entreprise très petite, avec quelques appareils standardisés et déjà protégés par une suite de sécurité administrée incluse dans son environnement, doit comparer l’effort d’exploitation avant de multiplier les consoles.

Point à vérifier	Question concrète	Pourquoi c’est décisif
Systèmes d’exploitation	Chaque version de Windows et serveur est-elle supportée ?	Évite les angles morts
Postes distants	L’agent reçoit-il ses politiques hors VPN ?	Protège le travail hybride
Logiciels métiers	Scripts, macros et pilotes sont-ils compatibles ?	Réduit les interruptions
Console d’administration	Hébergement, droits et journalisation sont-ils définis ?	Conditionne l’exploitation
Écosystème sécurité	Les journaux vont-ils vers le SIEM ou SOC existant ?	Évite les silos
Licences	Postes, serveurs et fonctions sont-ils comptés séparément ?	Évite un budget incomplet

• À privilégier si vous avez besoin de règles différenciées par métier, de contrôle des usages locaux et d’une administration centralisée.
• À encadrer fortement pour les serveurs de production : les exclusions et fenêtres de maintenance doivent être validées avec l’exploitant applicatif.
• À comparer avec l’existant si votre suite collaborative ou votre MDM inclut déjà une protection de terminal administrée et une capacité de réponse adaptée.
• À éviter comme solution isolée si votre priorité est la surveillance 24 heures sur 24 sans équipe capable de qualifier les alertes.

Comment déployer SES sans perturber le travail ?

Un projet de sécurité des postes échoue rarement parce que l’agent ne s’installe pas ; il échoue lorsque les règles sont appliquées sans connaître les flux réels. Prévoyez une phase de cadrage avec l’informatique, les responsables applicatifs, les métiers sensibles et, si nécessaire, le prestataire de support. Cartographiez les versions de systèmes, les comptes à privilèges, les logiciels non standards et les postes hors réseau. Pour un parc d’environ 100 postes homogènes, un pilote et un réglage sérieux demandent souvent deux à six semaines ; les environnements industriels ou hospitaliers exigent fréquemment davantage.

1. 1Inventoriez les terminaux, systèmes, logiciels critiques, utilisateurs à privilèges et périphériques indispensables ; comparez-les à la matrice de compatibilité de l’édition envisagée.
2. 2Définissez des groupes de politiques distincts au minimum pour les postes bureautiques, administrateurs, nomades, serveurs et postes métiers sensibles.
3. 3Déployez l’agent sur un pilote de 10 à 30 terminaux représentatifs en mode d’observation lorsque la fonction le permet.
4. 4Analysez les événements pendant une période couvrant les usages courants, une mise à jour métier et les accès distants ; consignez chaque exception justifiée.
5. 5Activez les blocages par lots limités, avec une procédure de retour arrière vérifiée et un canal de support identifié.
6. 6Mesurez la couverture : terminaux actifs, agents à jour, politiques appliquées, alertes traitées et exceptions arrivées à échéance.

Combien coûte Stormshield Endpoint Security ?

Stormshield ne publie pas nécessairement un prix unique applicable à tous les contextes : la tarification dépend habituellement du nombre de terminaux, de la durée d’engagement, de l’édition, du support, des serveurs inclus et des services d’intégration. Demandez donc un devis détaillant les unités facturées et les fonctions incluses, plutôt qu’un montant global. Comme repère de marché très général, une licence de protection de terminal administrée se situe souvent entre 20 et 80 € HT par terminal et par an, selon le volume et le niveau de fonctions. Cette fourchette ne constitue ni un tarif SES ni une offre contractuelle.

Poste de coût	Ordre de grandeur	Question à poser
Licences terminaux	Selon volume et édition	Postes et serveurs séparés ?
Mise en œuvre	Quelques jours à plusieurs semaines	Pilote et réglage inclus ?
Exploitation	Temps interne ou forfait SOC	Qui traite les alertes ?
Formation	Quelques heures à plusieurs jours	Administrateurs et support inclus ?
Renouvellement	Annuel ou pluriannuel	Hausse tarifaire encadrée ?

Le coût caché n’est pas toujours la licence : c’est le temps passé à rétablir une application bloquée, à investiguer des alertes sans contexte ou à maintenir des exceptions permanentes. À l’inverse, économiser sur la phase de paramétrage peut coûter bien plus cher lors d’un incident. Comparez les offres à périmètre égal : nombre de postes et de serveurs, durée de support, fonctions de réponse, conservation des journaux, accompagnement au déploiement et éventuel service de supervision. Un contrat moins cher mais sans responsable pour les alertes critiques n’est pas automatiquement moins coûteux.

Quelles règles de gouvernance et de conformité prévoir ?

Une plateforme de sécurité des terminaux produit des journaux susceptibles de contenir un identifiant de poste, un nom d’utilisateur, des horaires, des événements applicatifs et parfois des éléments utiles à une enquête. Ces données ne sont pas nécessairement excessives au regard de la sécurité, mais elles doivent être encadrées. Documentez la finalité, les personnes habilitées, la durée de conservation, les transferts éventuels et les mesures de sécurité de la console. En France, le RGPD impose une approche proportionnée ; une analyse d’impact peut être nécessaire lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes.

• Attribuez des rôles séparés : administration des politiques, lecture des alertes, validation des exceptions et gestion de la plateforme ne relèvent pas forcément de la même personne.
• Définissez une rétention cohérente avec vos obligations, vos capacités de stockage et le délai moyen de découverte d’un incident.
• Informez les utilisateurs selon les règles internes et le droit du travail applicable, sans transformer l’outil de sécurité en instrument de surveillance disproportionné.
• Testez la restauration opérationnelle : réinstallation de l’agent, récupération d’un poste isolé, application d’une politique connue et remontée des journaux.
• Conservez les preuves de pilotage : politiques validées, exceptions, comptes rendus d’incidents, taux de couverture et revues périodiques.

Comment décider si SES est le bon choix pour votre organisation ?

La bonne question n’est pas « quel antivirus est le plus complet ? », mais « quel risque concret voulons-nous réduire, avec quelles ressources ? ». SES est un candidat solide si vous cherchez à homogénéiser la protection des postes, à contrôler certains usages à risque et à administrer ces règles de manière centralisée, notamment dans un contexte français ou européen où la souveraineté, le support et l’écosystème peuvent compter. Il sera moins suffisant seul si vous devez mener en continu des investigations complexes, surveiller tous les signaux du système d’information ou répondre à des incidents la nuit et le week-end.

Une protection de poste est efficace lorsqu’elle réduit les risques sans devenir une usine à exceptions que personne ne relit.

Avant de signer, organisez une démonstration sur vos scénarios plutôt que sur une présentation générique : blocage d’un exécutable non autorisé, traitement d’une alerte, ajout d’une exception temporaire, visibilité d’un poste nomade, export de journaux et désinstallation contrôlée. Évaluez aussi la qualité du support, la fréquence des mises à jour, les prérequis de la console et l’intégration avec votre annuaire, votre outil de déploiement et votre SIEM éventuel. Le choix est validé si l’équipe qui exploitera la solution sait expliquer, en quelques minutes, ce qu’elle bloque, ce qu’elle surveille et qui agit en cas d’alerte.

Ce qu'il faut retenir

Stormshield Endpoint Security répond à un besoin précis : réduire et administrer le risque sur les postes de travail par des règles de protection centralisées. Son efficacité ne se juge ni à son seul nombre de fonctionnalités ni au taux d’agents installés, mais à la couverture effective du parc, à la qualité des politiques et à la rapidité de traitement des alertes. Testez-le sur vos postes atypiques, chiffrez son coût sur trois ans et conservez les protections complémentaires : sauvegardes, correctifs, MFA et réponse aux incidents.