PLATEFORME · EDR / XDR / IDENTITY / EMAIL
MDR Microsoft Defender : Defender Experts et MSSP français
Microsoft Defender (XDR) est la suite de sécurité étendue (eXtended Detection & Response) de Microsoft, qui regroupe Defender for Endpoint (EDR), Defender for Identity (UEBA Active Directory), Defender for Office 365 (email), Defender for Cloud Apps (CASB/SaaS) et Defender for Cloud (workloads). L'ensemble est piloté depuis le Microsoft 365 Defender portal et s'intègre nativement avec Microsoft Sentinel pour le SIEM. La plateforme est éditée par Microsoft (Nasdaq MSFT, Redmond), soumise au Cloud Act et FISA 702, et fait partie du parc installé majoritaire dans le tissu économique français — la majorité des ETI et grand comptes disposent déjà d'au moins un module Defender via leur abonnement M365.
Concrètement, Defender XDR offre l'une des couvertures multi-surfaces les plus profondes du marché : endpoint, identity, email, cloud et SaaS dans une console unifiée avec corrélation cross-domain native. Le service MDR éditeur s'appelle Microsoft Defender Experts (3 SKUs : Defender Experts for Hunting / for XDR / Suite P1/P2 lancée en janvier 2026), avec 5/5 containment actions supportées, 24/7 humain et un SDX dédié à partir de 500 sièges. Limite à signaler : le service est anglophone (chat translation EN/ES/JA/PT mais pas FR), et les données opérationnelles suivent le scope EUDB du client (EU possible si workspace EU, US sinon).
L'écosystème MDR français autour de Defender est dense : (1) le MDR éditeur Microsoft Defender Experts, vendu en direct ou via Commercial Executive Microsoft ; (2) les MSSP français certifiés Microsoft Verified MXDR (Devensys premier en France, Metsys avril 2024) — gage de capacité 24/7/365 auditée par Microsoft ; (3) les intégrateurs Microsoft historiques (Capgemini Defend, Sopra Steria RightSecurity, Almond CWATCH) qui opèrent Defender XDR en mode co-managé avec le tenant client ; (4) les acteurs assurance/PME (Stoik, Cyna, Dataxium) qui supportent Defender for Endpoint comme EDR par défaut ou en option.
L'écart par rapport à HarfangLab (EDR souverain) ou à CrowdStrike Falcon (EDR US référence) se joue sur trois axes : (1) intégration native M365 imbattable (la télémétrie identity/email/cloud est déjà dans Defender, sans connecteur) ; (2) tarification incluse dans certains plans M365 (Defender for Endpoint P1 inclus dans M365 E5) ce qui réduit le coût marginal ; (3) couverture juridictionnelle défavorable (Cloud Act, EU Data Boundary partielle). Pour un OIV LPM, Defender XDR reste inéligible en propre, dans l'attente de la qualification SecNumCloud Bleu (visée H1 2026 sur Azure et M365 core, sans couvrir Defender Experts).
01 — LA PLATEFORME
Microsoft Defender (XDR) en bref
Microsoft Defender (XDR) regroupe Defender for Endpoint (EDR), Defender for Identity (UEBA AD), Defender for Office 365 (email), Defender for Cloud Apps (CASB) et Defender for Cloud (workloads), pilotés depuis le Microsoft 365 Defender portal avec corrélation cross-domain native. Intégration native avec Microsoft Sentinel pour le SIEM. Éditeur Microsoft (Nasdaq MSFT), soumis au Cloud Act et FISA 702. MDR éditeur : Defender Experts (Hunting / XDR / Suite P1-P2 janvier 2026).
02 — CAPACITÉS
Ce que la plateforme fait
XDR multi-surfaces natif
Endpoint, identity, email, cloud, SaaS dans une console unifiée avec corrélation cross-domain native (rare sur le marché).
Defender for Endpoint
EDR référence du segment, leader Gartner MQ Endpoint Protection Platforms, intégré au sensor Windows par défaut.
Defender for Identity
UEBA Active Directory, détection d'attaques sur les identités (Pass-the-Hash, Kerberoasting, Golden Ticket).
Defender for Office 365
Anti-phishing, Safe Links, Safe Attachments, ATP — couverture email reconnue.
Inclus dans M365 E5
Plan M365 E5 inclut Defender for Endpoint P2 + for Identity + for Office 365 P2 + for Cloud Apps — coût marginal réduit.
Microsoft Verified MXDR
Programme de certification MSSP audité par Microsoft, atteint par Devensys (premier français) et Metsys.
Defender Experts (MDR éditeur)
3 SKUs : Hunting (TH seul) / XDR (MDR + TH) / Suite P1-P2 (lancement janvier 2026), 5/5 containment, SDX dédié si ≥500 sièges.
03 — SOUVERAINETÉ
Positionnement souveraineté
Microsoft Defender (XDR) est édité par Microsoft (US), hébergé sur Azure, et soumis au Cloud Act et FISA 702. L'EU Data Boundary couvre Defender XDR core lorsque le tenant est en région UE, mais les sous-services Defender for Endpoint, for Identity, for Cloud Apps et for Office 365 font transiter une partie des données vers les États-Unis. Le service Defender Experts (MDR éditeur) est exécuté par Microsoft global, anglophone, hors champ Bleu qui ne couvrira que Azure + M365 core. Pour un OIV LPM ou un acheteur sous exigence PDIS, Defender XDR reste inéligible en propre. La trajectoire SecNumCloud via Bleu (visée H1 2026) constitue une amélioration mais ne couvre pas le périmètre MDR Defender Experts. Pour les organisations sans contrainte régalienne, la profondeur d'intégration M365 et le coût marginal (souvent inclus dans le plan E5) priment souvent sur la considération juridictionnelle.
04 — FOURNISSEURS MDR (14)
Fournisseurs FR qui opèrent un service managé sur cette stack
Microsoft (Defender Experts)
MDR éditeur (Defender Experts for XDR / for Hunting / Suite P1-P2)Non-souverainL'editorial excerpt confirme : « 3 SKUs distincts : (1) Defender Experts for Hunting (TH seul), (2) Defender Experts for XDR (MDR + TH), 5/5 actions de containment supportées, 24/7 humain confirmé, co-managé (client garde console Defender) ».
Force spécifique → MDR éditeur natif, intégration cross-domain la plus profonde sur Defender XDR, SDX dédié à partir de 500 sièges. Limite : service anglophone (pas FR), data EUDB partielle, SDX absent sous le seuil 500 sièges.
L'editorial excerpt confirme : « plateforme principale Microsoft Sentinel + Defender XDR (1er français certifié MXDR Microsoft Verified) ».
Force spécifique → GTI <30 min publié avec pénalités contractuelles (rare), CANUT Lot 1 attribué décembre 2025, SOC 100% employés FR sur 5 sites.
L'editorial excerpt cite : « plateforme cœur = Microsoft Sentinel/Defender » et « Microsoft Verified MXDR (avril 2024) ».
Force spécifique → CERT propriétaire articulé au SOC, CTI OpenCTI native, capacité multi-SIEM/multi-EDR via N3 — BYO possible pour clients non-Microsoft.
L'editorial excerpt confirme : « RightSecurity MXDR sur Microsoft Sentinel + Defender XDR (BYO tenant client) pour comptes M365 ».
Force spécifique → Triplet PASSI + PDIS + PRIS via l'entité Annecy, 1 600 experts cyber FR, Qevlar AI intégré (sept 2025), profondeur sectorielle énergie/défense.
L'editorial excerpt précise : « la plateforme socle reste Microsoft Azure Sentinel + Defender (non souveraine technologiquement), complétée par les outils propriétaires ITERA et M&NTIS ».
Force spécifique → Triplet PASSI-LPM/PACS/PRIS hérité d'Amossys, 120+ experts H24/7, partenariat Qevlar AI.
L'editorial excerpt confirme : « Le service est entièrement bâti sur la stack Microsoft (Sentinel SIEM + Defender for Endpoint EDR) ».
Force spécifique → Grille tarifaire publique 25/50/75 €/asset/mois (rareté sur le marché FR), 2 offres Azure Marketplace.
L'editorial excerpt précise : « Stack par défaut très largement Microsoft (Sentinel SIEM, Defender XDR, MISA member) + CrowdStrike + Palo Alto + ServiceNow ».
Force spécifique → Leader ISG Provider Lens France 2025, 6 200+ cyber experts, PDIS en cours de qualification.
L'editorial excerpt cite : « stack opérationnelle dominée par Microsoft Sentinel/Defender (partenariat MISA renforcé) ».
Force spécifique → 4 qualifs ANSSI (PACS + PASSI + PDIS + PRIS), SOC France multi-sites, option FR-strict contractualisable.
L'editorial excerpt confirme : « EDR intégrés tous non-souverains : Microsoft Defender + SentinelOne (pilier — MSP Partner of the Year 2026) + Sophos + Bitdefender ».
Force spécifique → Pure-player SOC managé 100% indirect via canal MSP (~400 MSP partenaires, 3000+ entreprises), Label France Cyber 2024, hébergement OVH Roubaix.
L'editorial excerpt confirme : « 3 EDR US imposés au choix (CrowdStrike Falcon par défaut + SentinelOne + Microsoft Defender) ».
Force spécifique → MGA agréé Munich Re/TMHCC/SCOR, MDR inclus dans la police, SOC/CERT français 24/7, distribution 2000+ courtiers + partenariat MMA.
L'editorial excerpt cite : « mySOC orchestre stacks souveraines (HarfangLab, Gatewatcher) ET non-souveraines (CrowdStrike, SentinelOne, Microsoft Sentinel) selon le choix du client » — Defender s'inscrit dans cette logique de stack non-souveraine.
Force spécifique → Triple qualif ANSSI (PASSI + PDIS + PRIS), capital majoritairement français, containment direct via SOAR.
L'editorial excerpt indique : « Plateforme mixte : Sekoia + HarfangLab (souverains FR) + Splunk + MS Defender + SentinelOne (US non-souverains) selon choix client ».
Force spécifique → Triplet ANSSI PASSI-LPM + PRIS Élevé + PACS, SLA chiffrés publiés.
L'editorial excerpt précise : « Stack hybride QRadar (IBM) + Microsoft Sentinel/Defender + CrowdStrike Falcon ».
Force spécifique → ESN nantaise historique entreprise à mission, 40 analystes répartis sur 5 sites FR, SLA de remédiation publiés (30 min plan / 24h remédiation).
L'editorial excerpt cite : « EDR/XDR partenaires : CrowdStrike, Trend Micro, WithSecure, Microsoft Defender ».
Force spécifique → ETI bordelaise indépendante, 750+ collaborateurs, offre 4 paliers (Starter/Starter365/Gold/Platinum).
05 — CAS D'USAGE
Quand cette stack est pertinente
- 01Grand compte ou ETI avec base installée M365 E5 cherchant à activer Defender XDR sans coût marginal
- 02ETI mid-market cherchant un MSSP français Microsoft Verified MXDR (Devensys, Metsys)
- 03PME M365 voulant un MDR francophone clé en main avec pricing par actif (Dataxium)
- 04Co-managé Defender Experts via Commercial Executive Microsoft pour ≥500 sièges
- 05Bundle assurance cyber où Defender for Endpoint est l'EDR par défaut (Stoik option)
06 — ARBITRAGE
Avantages & réserves honnêtes
Microsoft Defender XDR offre la couverture multi-surfaces la plus profonde du marché (endpoint + identity + email + cloud + SaaS dans une console unifiée), une intégration native M365 imbattable et un coût marginal réduit pour les clients M365 E5 (modules inclus). Vs CrowdStrike Falcon, l'avantage tient à l'intégration cross-domain native et au coût marginal ; Falcon garde un léger avantage sur la maturité EDR pure et le track record du SOC (Falcon Complete). Vs HarfangLab, l'écart est principalement juridictionnel (souveraineté FR pour HarfangLab) et de profondeur multi-surfaces (Defender XDR couvre identity/email/cloud nativement, HarfangLab reste centré endpoint). La vraie réserve est juridictionnelle : Cloud Act + FISA 702 + EU Data Boundary partielle + service Defender Experts anglophone exécuté globalement. Pour un OIV LPM, la pile reste inéligible en propre dans l'attente de Bleu (H1 2026, sans couvrir Defender Experts). Pour une organisation sans contrainte régalienne, Defender XDR est souvent le choix par défaut pour un parc M365.
07 — NON CONCERNÉS
Fournisseurs qui n'opèrent pas sur cette stack
Cette page ne liste pas les concurrents directs de Defender (CrowdStrike Falcon, SentinelOne Singularity, HarfangLab, Sophos Endpoint, Bitdefender GravityZone), traités sur leurs pages dédiées. Les pure-players souverains qui n'opèrent pas Defender (OWN.security, SPIE ICS, Linkt 6e Sens, Hexanet, Axians Solar SOC) ne sont pas inclus : leur stack par défaut est HarfangLab + Sekoia.io. Les MSSP SentinelOne-centrés (SNS Security, AISI principalement) ne mentionnent pas Defender comme stack par défaut. ITrust (éditeur Reveelium) ne couvre pas Defender en stack managée, malgré une compatibilité technique générique.
08 — À RETENIR
Conclusion
Pour un acheteur Microsoft Defender, le choix se structure ainsi : (1) pour un grand compte cherchant le MDR éditeur natif avec ≥500 sièges, Microsoft Defender Experts reste l'option la plus intégrée — sous réserve de la limite linguistique (service anglophone) ; (2) pour une ETI mid-market voulant un MSSP français Microsoft Verified MXDR, Devensys et Metsys sont les deux références ; (3) pour un grand compte ou ETI cherchant un intégrateur Microsoft historique avec qualifications ANSSI, Capgemini, Sopra Steria RightSecurity, Almond CWATCH et Orange Cyberdefense couvrent le segment ; (4) pour une PME M365 cherchant un tarif transparent et clé en main, Dataxium offre la grille la plus lisible ; (5) pour une PME ETI bundle assurance, Stoik supporte Defender for Endpoint en option dans son contrat ; (6) pour un MSP avec canal indirect, Cyna est positionné explicitement sur ce segment. La couche juridictionnelle (Cloud Act, EUDB partielle) doit être pesée par les directions cyber sous LPM ou PDIS — dans ce cas, basculer sur HarfangLab + Sekoia.io reste l'arbitrage par défaut.
Vous cherchez un MDR sur Microsoft Defender (XDR) ?
On vous met en relation avec 3 fournisseurs FR qui opèrent vraiment un MDR managé sur Microsoft Defender (XDR) (pas juste « compatible »). Réponse sous 24h ouvrées, gratuit.