Contrairement à un antivirus traditionnel, un NGAV a une grande partie de son code et ses connaissances basées dans un cloud (cloud computing) ce qui permet d'exploiter instantanément le code et ses connaissances (bases de signatures, etc.) à jour par tous les utilisateurs. De nombreuses charges et de nombreux ralentissements sont supprimés ou sensiblement allégés dont ceux des :

• Serveurs de l’éditeur du NGAV.

• Canaux de distribution.

• Infrastructures des modèles de sécurité autour des dispositifs des « postes de travail » (« endpoints ») :

• Ordinateurs

• Ordinateurs portables

• Smartphones

• Services de sécurité informatique et maintenance des centres de calcul et des réseaux d’entreprises.

• Mises à jour des logiciels.

• Mises à jour des bases de données de signatures.

• Gestions des infrastructures.

Un NGAV présente les fonctionnalités suivantes :

• Détection classique des menaces connues.

• Détection des menaces inconnues.

• Détection des attaques sans fichier contenant un code de l'attaque).

• Architecture cloud sans impact sur les performances des « postes de travail » (« endpoints »).

• Aucun logiciel ou matériel supplémentaire.

• Implémentation et mises à jour automatiques, rapides, simples et homogènes sur tout le parc informatique.

Si l’objectif reste le même (réduire les risques grâce à la prévention des cyberattaques), leur fonctionnement et le moment où elles interviennent diffèrent :

Un NGAV est l’outil de prévention du dispositif de sécurité des « endpoints ». Il vise à empêcher les cybermenaces de s’introduire dans le réseau. Un NGAV constitue une première ligne de défense, indispensable en entreprise, mais n’est pas infaillible. Aucune solution, quel que soit son degré de sophistication, n’offre une protection absolue.

Solutions NGAV vs solutions EDR

L’une ne va pas sans l’autre.

La terminologie « Next generation antivirus » et l'acronyme « NGAV » apparaissent publiquement dans un écrit de cybereason.com publié le 01.06.2017, mais la démarche intellectuelle des éditeurs de solutions de sécurité et de tentatives de prévenir les élucubrations des concepteurs et éditeurs d'attaques et virus est antérieure.

Les technologies des antivirus pour le grand public utilisent également les approches préventives et curatives des NGAV, mais avec l'obligation de mises à jour en continu, instantanées et homogènes, sans interruption de l'activité.

Les EDR sont complètement autre chose : ils ne s'adressent qu'aux grandes installations informatiques disposant de nombreux points de terminaison, voire de nombreux centres de calcul géographiquement distribués, et d'un service informatique. Les EDR sont des outils d'observation et d'intelligence (compréhension) des manoeuvres tentées pour conduire une attaque qui n'aurait pas été bloquée par l'antivirus de nouvelle génération et lui fournir de nouveaux paramètres (de nouvelles pistes) à bloquer / filtrer ou de fournir ces informations au service informatique de l'entreprise et à l'éditeur du NGAV pour analyse (ou décréter qu'il s'agit d'une manoeuvre inhabituelle, mais légitime) et, toujours, enrichir les bases de connaissances du NGAV.