WatchGuard EPDR : protection des postes, EDR et Endpoint Security

La réponse courte : WatchGuard EPDR n’a pas disparu, il a changé de nom. Depuis le 1er avril 2026, la gamme de protection des postes de WatchGuard s’organise en quatre niveaux, Endpoint Security Basic, Prime, 360 et Elite, et EPDR correspond désormais à Endpoint Security 360. Pour une PME, c’est encore le niveau que nous recommandons par défaut : antivirus nouvelle génération, EDR complet, et un service qui n’autorise à s’exécuter que les applications classées comme fiables. Tout s’administre depuis la console WatchGuard Cloud, la même que celle du pare-feu Firebox et de la MFA AuthPoint.

Ce guide ne refait pas le débat entre antivirus et EDR, traité dans EDR ou antivirus : pourquoi l’antivirus classique ne suffit plus, ni la question de la supervision humaine, abordée dans EDR managé au Maroc. Il explique la gamme WatchGuard telle qu’elle est publiée aujourd’hui, les modules, et la manière de choisir. Nous fournissons et déployons ces licences en tant que partenaire WatchGuard au Maroc.

Les anciens et les nouveaux noms

WatchGuard a annoncé sa nouvelle gamme en mars 2026, avec des noms en vigueur depuis le 1er avril 2026. Beaucoup de devis, de documentations et d’articles utilisent encore les anciens noms : voici la correspondance publiée par WatchGuard.

Ancien nom	Nouveau nom	En une phrase
WatchGuard EPP	Endpoint Security Basic	Protection des postes avec détection comportementale automatisée
(aucun, nouveau niveau)	Endpoint Security Prime	Un EDR complet, sans charge d’exploitation supplémentaire
WatchGuard EPDR	Endpoint Security 360	Prime, plus le contrôle des applications en refus par défaut
WatchGuard Advanced EPDR	Endpoint Security Elite	360, plus des outils d’investigation avancée
WatchGuard EDR	Inchangé	L’EDR seul, à côté d’une autre solution de sécurité
WatchGuard EDR Core	Inchangé	L’EDR inclus dans la Total Security Suite du Firebox

Une licence achetée avant le 1er avril 2026 et activée après affiche les deux noms dans le portail de WatchGuard. Sur un devis, vérifiez donc le niveau réel, pas seulement l’intitulé.

Ce que contient chaque niveau

Chaque niveau reprend le précédent et y ajoute des fonctions. Le tableau suit la comparaison publiée par WatchGuard.

Fonction	Basic	Prime	360	Elite
Réduction de la surface d’attaque	Oui	Oui	Oui	Oui
Protection contre les logiciels malveillants et les rançongiciels	Oui	Oui	Oui	Oui
Détection comportementale par intelligence artificielle	Oui	Oui	Oui	Oui
Protection contre les exploits	Non	Oui	Oui	Oui
Isolement et réponse sur le poste	Non	Oui	Oui	Oui
Alertes reliées à MITRE ATT&CK, analyse des causes	Non	Oui	Oui	Oui
Remédiations ThreatSync XDR	Non	Oui	Oui	Oui
Compatible avec le service MDR	Non	Oui	Oui	Oui
Zero-Trust Application Service	Non	Non	Oui	Oui
Détection et confinement des déplacements latéraux	Non	Non	Oui	Oui
Outils d’investigation avancée	Non	Non	Non	Oui

Le Zero-Trust Application Service est ce qui distingue 360. WatchGuard le décrit comme une classification de toutes les applications, programmes et exécutables : seuls ceux reconnus comme légitimes peuvent s’exécuter. Il n’est pas disponible avec Prime. Pour une PME sans équipe de sécurité, c’est une protection précieuse contre les rançongiciels inconnus, car le poste refuse ce qui n’a pas été validé au lieu d’attendre de le reconnaître comme malveillant.

Le service fonctionne selon trois modes. Le mode Audit (appelé Learning dans les versions récentes) se contente de signaler, sans bloquer : WatchGuard le réserve à l’évaluation. Le mode Hardening laisse tourner les programmes inconnus déjà installés, mais bloque ceux qui arrivent d’internet, d’un support amovible ou d’un autre ordinateur tant qu’ils ne sont pas classés. Le mode Lock bloque tout programme inconnu en attente de classement. WatchGuard recommande de démarrer en Hardening pour laisser le classement se faire, puis de passer en Lock au bout de quelques semaines, en ajoutant des règles pour les logiciels autorisés.

Elite vise les équipes qui investiguent elles-mêmes : gestion centralisée d’indicateurs de compromission compatibles STIX et Yara, politiques de sécurité avancées, accès à distance au poste pour contenir et corriger un incident. Il s’adresse davantage à un prestataire ou à un service sécurité interne qu’à une PME seule.

Systèmes pris en charge

Produit	Windows (Intel et ARM)	macOS (Intel et ARM)	Linux	iOS et Android
Basic, Prime, 360	Oui	Oui	Oui	Oui
Elite, WatchGuard EDR	Oui	Oui	Oui	Non

La protection des smartphones ne remplace pas leur gestion : verrouillage, effacement à distance et séparation des données professionnelles relèvent d’un outil dédié, présenté dans gérer les smartphones de l’entreprise.

EDR et EDR Core : les deux cas à part

WatchGuard EDR est l’EDR seul. Selon WatchGuard, il peut coexister avec des solutions de sécurité traditionnelles : c’est la voie quand une entreprise veut garder son antivirus actuel jusqu’à l’échéance de sa licence, tout en ajoutant de la visibilité. Attention : d’après sa documentation, WatchGuard EDR signale les menaces détectées sans bloquer ni désinfecter les fichiers ; c’est une solution de transition, pas une protection complète.

WatchGuard EDR Core est inclus dans la Total Security Suite du Firebox, pour un nombre limité de postes qui dépend du modèle de pare-feu. Il s’administre dans WatchGuard Cloud et fonctionne uniquement en mode Audit, puisque les modes Hardening et Lock demandent le Zero-Trust Application Service. C’est un bon point de départ, mais il n’accepte aucun module, et WatchGuard recommande de passer à un niveau supérieur pour en bénéficier. Lors d’une mise à niveau, la licence EDR Core devient inactive ; elle se réactive si la licence supérieure expire. Le choix de la suite du Firebox est expliqué dans notre guide WatchGuard Firebox pour PME.

Les modules complémentaires

Module	Utilité	Compatible avec
Patch Management	Inventaire et déploiement des correctifs du système et des logiciels	Basic, EDR, Prime, 360, Elite
Full Encryption	Chiffrement complet des disques Windows et Mac	Basic, EDR, Prime, 360, Elite
Advanced Reporting Tool	Analyse et rapports avancés sur l’activité des postes	EDR, Prime, 360, Elite
SIEMFeeder	Envoi des événements vers un SIEM	EDR, Prime, 360, Elite
1-Year Data Retention	Conservation des données pendant un an	Basic, Prime, 360, Elite
Data Control	Repérage et classement des données personnelles sur les postes	EDR, Prime, 360, Elite, seulement dans certains pays européens

Patch Management est le module que nous ajoutons le plus souvent : bien des compromissions passent par une faille déjà corrigée par l’éditeur, mais dont le correctif n’a jamais été installé. Le chiffrement intéresse surtout les flottes d’ordinateurs portables. Le nombre de licences d’un module doit correspondre au nombre d’appareils concernés.

ThreatSync : relier les postes et le Firebox

ThreatSync est la couche XDR de WatchGuard, intégrée à WatchGuard Cloud. Elle regroupe les détections des postes, des Firebox et des points d’accès WatchGuard en incidents notés, et peut agir automatiquement grâce à des politiques d’automatisation.

• La politique de remédiation par défaut isole du réseau tout appareil touché par un incident noté de 7 à 10, sur les postes, les Firebox et les points d’accès, en le laissant disponible pour l’analyse.
• Le blocage d’une adresse IP ou d’un domaine à l’origine d’une menace est appliqué par tous les Firebox du compte où ThreatSync est activé.
• Sur le poste, d’autres actions existent : arrêt d’un processus, suppression d’un fichier.

WatchGuard conseille de garder les politiques par défaut tant que l’on ne connaît pas les incidents propres à son environnement, et de prévoir des exceptions pour les adresses IP critiques, par exemple un serveur dont dépend toute l’activité. C’est exactement l’intérêt d’un écosystème unique : ce que le poste détecte peut être bloqué au niveau du réseau. Le même principe existe chez Fortinet, comme nous l’expliquons dans FortiGate ou WatchGuard pour une PME.

Les services humains de WatchGuard

Deux services s’ajoutent aux logiciels. Le Threat Hunting Service recherche l’usage anormal d’applications de confiance, typique des attaques qui utilisent les outils du système (« living off the land ») et des déplacements latéraux ; l’équipe sécurité de WatchGuard prévient lorsqu’elle en détecte. Le Managed EDR confie la surveillance et l’investigation des menaces aux experts de WatchGuard, en continu. De notre côté, nous assurons la supervision 24/7 des alertes et l’intervention chez nos clients.

Comment choisir

Votre situation	Notre recommandation
Firebox en Total Security Suite, peu de postes, budget serré	Démarrer avec EDR Core, puis passer à 360
Antivirus encore sous licence pour plusieurs mois	WatchGuard EDR en complément, puis 360 à l’échéance
PME sans équipe sécurité, postes et serveurs Windows	Endpoint Security 360, avec Patch Management
Besoin de visibilité EDR sans contrôle strict des applications	Endpoint Security Prime
Prestataire ou équipe sécurité qui investigue elle-même	Endpoint Security Elite
Petit poste isolé, risque faible	Basic, en connaissant ses limites

Pour situer WatchGuard face à d’autres éditeurs, lisez comment choisir un antivirus d’entreprise au Maroc.

Les erreurs que nous corrigeons

1. Un ancien antivirus laissé en place à côté d’Endpoint Security, avec des conflits et des ralentissements.
2. Le Zero-Trust Application Service laissé en Audit ou en Hardening pendant des mois, sans jamais passer en Lock.
3. Des serveurs oubliés dans le déploiement, alors que ce sont les cibles prioritaires.
4. EDR Core présenté comme une protection complète de tous les postes, alors qu’il couvre un nombre limité d’appareils.
5. Des alertes que personne ne lit dans WatchGuard Cloud.
6. Aucune politique ThreatSync relue, ou des politiques d’isolement modifiées sans exception pour les serveurs critiques.

Checklist avant de commander

• Inventaire des postes et serveurs par système : Windows, macOS, Linux, mobiles.
• Licences antivirus en cours et date d’échéance.
• Niveau choisi : Basic, Prime, 360 ou Elite, et modules.
• Postes couverts par EDR Core identifiés, le cas échéant.
• Politiques ThreatSync et exceptions définies avec le Firebox.
• Personne ou prestataire chargé de traiter les alertes, de jour comme de nuit.

Comment nous procédons

Nous commençons par un audit initial offert de votre parc et de votre protection actuelle. Nous choisissons ensuite le niveau et les modules, désinstallons proprement l’ancienne solution, déployons l’agent par groupes, puis faisons passer le Zero-Trust Application Service du mode Hardening au mode Lock une fois les applications métier classées. Les postes sont reliés à ThreatSync et au Firebox, et les alertes sont supervisées 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes.

Cette protection fait partie de notre offre de cybersécurité au Maroc, complétée par la MFA décrite dans WatchGuard AuthPoint. Les licences peuvent être fournies seules ou avec installation, via notre offre matériel informatique et licences. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.