Benchmark des logiciels DLP
Nous avons benchmarké Acronis DeviceLock DLP et ManageEngine DLP Plus sur des machines virtuelles Windows Server 2022 identiques avec 28 scénarios : 23 tests de fuite de données (dont 12 fichiers d’évasion adversariale), 3 tests de sécurité de l’agent et 2 tests avec une forte consommation de CPU et de mémoire.
Pour les autres produits DLP, Netwrix Endpoint Protector, Sophos Intercept X, Teramind DLP et Trellix DLP, nous avons examiné leurs fonctionnalités.
Résultats du benchmark DLP
Nous avons déployé chaque produit sur une infrastructure identique : 3 instances Contabo Cloud VPS 10 (4 vCPU, 8 Go de RAM, 150 Go SSD) sous Windows Server 2022 Datacenter avec Active Directory.
- Acronis l’emporte globalement avec une avance de 10 points, portée par une inspection de contenu plus approfondie, une intégration complète avec le SIEM, la conservation des preuves par copie fantôme et une bibliothèque de modèles de politiques plus riche.
- Un utilisateur qui copie des données de numéro de sécurité sociale depuis un tableur et les colle dans un formulaire web (Pastebin, Google Translate) contourne complètement ManageEngine. Changer le format du SSN de 578-12-3364 à 578 12 3364 le contourne également. Acronis bloque les deux.
- Les deux produits ont réussi tous les tests de violation de l’agent. L’agent DLP ne peut être arrêté, tué ni désinstallé par un compte d’utilisateur standard.
- Les deux produits ont continué à bloquer les téléversements sous une charge 100 % CPU et lors de transferts de fichiers en masse. Cette catégorie est documentée mais non notée, car les performances sous charge n’ont pas été un facteur de différenciation.
- Aucun des deux produits n’a détecté les données SSN encodées en base64. Tous deux ont bloqué l’usurpation d’extension, les archives chiffrées et la détection d’un seul SSN dans de grands documents.
Le score global est une somme pondérée de 8 catégories. Consultez notre méthodologie du benchmark DLP pour les pondérations et la logique de notation.
Tests de prévention des fuites de données
✓ : le DLP a bloqué la tentative, ✗ : le DLP l’a laissée passer
ManageEngine a bloqué 16 scénarios sur 23 (70 %). Acronis a bloqué 19 scénarios sur 23 (83 %). Les deux produits bloquent les canaux d’exfiltration standard (téléversements de fichiers, e‑mail, transferts web). Les différences apparaissent sur le collage dans le presse-papiers, les variantes de format SSN, l’exfiltration inter‑client et les canaux d’impression.
Correspondance avec le Top 10 de l’OWASP
Nos scénarios de fuite correspondent à des catégories de vulnérabilité bien documentées. La référence principale est A02:2021 Cryptographic Failures, anciennement nommée « Sensitive Data Exposure ». Cette catégorie couvre les SSN et les PII, qui restent en clair au niveau du terminal sans chiffrement ni tokenization, mode de défaillance que chaque scénario d’exfiltration de notre ensemble de tests cible. A04:2021 Insecure Design couvre les lacunes architecturales comme l’absence d’inspection du presse-papiers ou d’indexation inter‑client qui ne peuvent être corrigées par la seule configuration.
Nos tests adversariaux (encodage base64, variantes de format SSN, texte masqué HTML, fractionnement par formule entre cellules) s’alignent sur les techniques d’injection encodée et d’évasion de filtre documentées dans le OWASP Web Security Testing Guide et la XSS Filter Evasion Cheat Sheet. Les techniques diffèrent dans leur finalité (exfiltration de données vs injection de charge utile) mais partagent le même schéma sous‑jacent : obscurcir le contenu sensible pour que les filtres basés sur des signatures et des expressions régulières ne parviennent pas à le reconnaître.
Tests de sécurité de l’agent DLP
Les deux produits ont protégé contre les trois tentatives de violation. L’arrêt du service depuis PowerShell a été refusé. Le processus de l’agent n’a pas pu être terminé depuis le Gestionnaire des tâches. La désinstallation depuis Programmes & Fonctionnalités a échoué sans privilèges administratifs. Les utilisateurs standard ne peuvent pas désactiver l’agent DLP sur l’un ou l’autre produit.
Comportement sous forte consommation de CPU et de mémoire
Les deux produits ont continué à bloquer sous une charge 100 % CPU sans dégradation. Les téléversements groupés ont également été bloqués correctement. Cette catégorie est documentée à titre indicatif mais exclue de la notation, car aucun produit n’a montré de dégradation et cela n’a pas produit de différenciation entre eux.
Produits DLP benchmarkés
Les deux sections produit ci‑dessous documentent le benchmark pratique complet. Tous deux ont été installés sur des machines virtuelles Windows Server 2022 identiques et testés avec les mêmes 23 scénarios de fuite, 3 tests de sécurité de l’agent et 2 scénarios de forte consommation de CPU et de mémoire.
1. Acronis DeviceLock DLP
Installation
Acronis DeviceLock nécessitait un serveur SQL comme prérequis d’installation, et nous avons installé SQL Server 2022 Express.
Une fois la base de données prête, l’installation de DeviceLock a repris avec un certificat auto‑signé et une configuration de connexion à la base de données. Le déploiement de l’agent a utilisé un fichier MSI de 164 Mo copié via un partage réseau.
Tableau de bord & interface
DeviceLock s’administre via des applications Windows natives plutôt qu’une console web. L’interface principale est un composant logiciel enfichable MMC (Microsoft Management Console) avec une arborescence de navigation. Acronis fournit également un composant enfichable DeviceLock Group Policy Manager pour les environnements gérés par AD et un DeviceLock Enterprise Manager distinct pour les réseaux non AD, tous partageant les mêmes conventions d’interface.
Le panneau de gauche comporte trois branches : DeviceLock Service (paramètres de l’agent), Enterprise Server (gestion centralisée) et Content Security Server (moteur d’analyse de contenu). La console MMC se connecte à un client à la fois, mais le module DeviceLock Reports fournit des rapports graphiques sur l’ensemble du parc, notamment des graphiques d’activité utilisateur, des graphiques de relations, des dossiers utilisateur et des rapports prêts à l’emploi sur les périphériques.1
L’avantage architectural : chaque périphérique et protocole se divise en profils Regular (en ligne) et Offline (déconnecté). Un ordinateur portable peut avoir des règles strictes au bureau et des règles assouplies en déplacement. ManageEngine n’offre pas cette distinction.
Configuration des politiques
La base de données de contenu de DeviceLock contient plus de 50 groupes de contenu prédéfinis avec plus de 90 modèles regex et plus de 160 dictionnaires de mots‑clés. L’analyse morphologique prend en charge 7 langues pour la correspondance par mots‑clés.
Le groupe intégré « Social Security » est de type Mots‑clés (recherche l’expression « social security »), et non de type Modèle. La bonne approche : Ajouter un groupe > Modèle avec la validation intégrée « US Social Security Number », qui utilise une vérification de type Luhn. C’est ce modèle validé qui explique pourquoi Acronis a détecté les 8 variantes de format SSN alors que ManageEngine n’a attrapé que le format avec tirets.
Acronis prend en charge deux voies de distribution centralisée : la stratégie de groupe Active Directory (le composant enfichable DeviceLock GPO) et DeviceLock Enterprise Server, qui distribue les politiques aux agents par mode push (initié par le serveur) ou pull (planifié par l’agent ou à la demande). Dans notre laboratoire, nous avons utilisé l’exportation de fichier .dls par client via la console de gestion, qui est la voie manuelle ; l’approche de production repose sur la distribution par GPO ou Enterprise Server.
Tests de fuite
Acronis a bloqué 19 scénarios sur 23 (taux de blocage de 83 %). Les résultats marquants :
Collage dans le presse-papiers bloqué : Les données SSN collées dans pastebin.com et soumises via « Create New Paste » ont renvoyé ERR_CONNECTION_RESET. DeviceLock a inspecté le corps de la requête HTTP POST, y a trouvé du contenu SSN et a coupé la connexion. Le même test sur Google Translate : le collage d’un SSN complet (212-64-6345) a déclenché « Translation error ». La suppression des quatre derniers chiffres a permis la traduction. La règle se déclenche sur les modèles SSN valides, et non sur le site lui‑même.
Variantes de format SSN détectées : Acronis a bloqué les 8 représentations : avec espaces (578 12 3364), avec points (612.34.8876), sans séparateur (334721198), groupes inversés et formats mixtes. Le moteur de validation intégré reconnaît le numéro indépendamment du formatage.
Exfiltration inter‑client bloquée : ssn_data.xlsx récupéré depuis le dossier partagé et téléversé via WeTransfer depuis une autre machine a été bloqué. Acronis analyse le contenu au moment de l’exfiltration, pas au moment de la création.
Suppression de fichier bloquée : ManageEngine a autorisé les utilisateurs à supprimer des fichiers sensibles du bureau. Acronis l’a empêché. Cela signifie qu’Acronis protège contre la destruction de données, et pas seulement contre l’exfiltration.
Contournement de l’impression : L’impression n’a pas été bloquée lors de notre test (limitation de configuration). L’impression de confidential_report.docx depuis WordPad a réussi parce que les règles Content-Aware étaient configurées sous Protocoles. L’architecture à deux couches de DeviceLock exige une règle distincte sous Périphériques > Règles Content-Aware pour les imprimantes ; avec la règle côté Périphériques en place, le blocage de l’impression s’enclencherait également. Il ne s’agit pas d’une capacité absente, mais d’une étape supplémentaire que les administrateurs doivent mémoriser lorsqu’ils couvrent à la fois les canaux réseau et physiques.
Contrôle d’accès & AD
DeviceLock offre une intégration native à Active Directory par GPO. Il ajoute son propre composant logiciel enfichable (DeviceLock Group Policy Manager) à la console de gestion des stratégies de groupe, permettant la distribution des politiques via l’infrastructure AD standard. La différenciation par unité d’organisation est techniquement prise en charge : différentes UO peuvent recevoir des politiques DeviceLock différentes.
Dans notre laboratoire, nous avons utilisé la distribution de fichiers .dls plutôt que les voies de production GPO/Enterprise Server. Nous avons également constaté que la console demandait une réauthentification lors de la liaison d’utilisateurs/groupes AD aux règles Content-Aware sur les clients distants, ce que nous avons traité comme un artefact de cache d’informations d’identification de notre petit environnement de test. Comme alternative au GPO AD, DeviceLock Enterprise Server distribue les politiques par modes push ou pull, ce qui convient aux environnements non AD et aux déploiements ad hoc.
Intégration
Acronis domine sur l’intégration avec trois canaux d’exportation vers le SIEM (Syslog, SNMP, SMTP) prenant en charge les formats de journal CEF et JSON. La copie fantôme conserve une copie complète de chaque fichier bloqué ou surveillé sur le serveur pour la réponse aux incidents. Le Content Security Server inclut un module de découverte qui analyse les terminaux, les NAS et les partages de fichiers à la recherche de données sensibles égarées.
Le RBAC comporte trois niveaux (Full Access, Change, Read‑only) avec un commutateur distinct Shadow Data Access à chaque niveau. L’intégration programmatique repose sur le transfert SIEM (Syslog/SNMP/SMTP) et la livraison des journaux fantômes à un serveur central plutôt que sur une API REST publique.
Sécurité de l’agent
Acronis a protégé contre les trois tests de violation en tant qu’utilisateur standard. Stop-Service sur le service DeviceLock a renvoyé un accès refusé. Le Gestionnaire des tâches a refusé de terminer le processus de l’agent. La désinstallation depuis Programmes & Fonctionnalités a nécessité une élévation administrative et a été bloquée sans celle‑ci.
Pour se défendre contre la falsification par un administrateur, Acronis propose la liste DeviceLock Administrators. Lorsqu’elle est configurée, les comptes figurant sur la liste peuvent désinstaller, modifier ou arrêter l’agent. Même les administrateurs locaux ne figurant pas sur la liste sont bloqués.
Comportement sous forte consommation de CPU et de mémoire
Sous une charge 100 % CPU (4 tâches PowerShell en boucle infinie), Acronis a continué à bloquer les téléversements sans dégradation. 100 fichiers téléversés consécutivement ont tous été analysés et bloqués correctement. Cette catégorie n’a pas été notée.
Analyse de contenu
L’analyse de contenu est le point fort d’Acronis. Le modèle SSN validé avec détection indépendante du format est la fonctionnalité la plus importante que nous ayons testée. Au‑delà des expressions régulières, Acronis documente plusieurs capacités2
Journalisation & alertes
DeviceLock propose trois visionneuses de journaux distinctes : Audit Log (toutes les tentatives d’accès et modifications de politiques), Shadow Log (copies des fichiers bloqués/surveillés) et UAM Log (surveillance de l’activité utilisateur avec captures d’écran et utilisation des applications).
Les canaux d’alerte incluent SMTP, les interruptions SNMP et Syslog. Quatre catégories d’alerte sont configurables : accès aux périphériques/protocoles, violations des règles Content-Aware, règles de pare‑feu et modifications administratives. L’exportation de rapports prend en charge HTML, PDF et RTF.
La copie fantôme est la fonctionnalité phare pour la réponse aux incidents. Lorsqu’un transfert de fichier est bloqué, le contenu complet du fichier est conservé sur le serveur. ManageEngine journalise l’événement mais jette le fichier. Aucun des deux produits ne dispose d’un flux de travail complet pour les incidents (affectation, escalade, suivi de l’état).
Choisissez Acronis DeviceLock DLP pour une solution intégrée, incluant sauvegarde, reprise après sinistre et gestion des terminaux.
Visitez le site web2. ManageEngine DLP Plus
Installation
ManageEngine DLP Plus s’installe à l’aide d’un assistant Windows standard. Aucune base de données externe n’est requise. L’ensemble du processus, serveur plus deux agents clients, a pris environ 15 minutes.
L’installation de l’agent a échoué silencieusement sur le Client 1 à cause d’un conflit de port 8383 qui n’a produit aucun message d’erreur visible. Le problème a été découvert en vérifiant manuellement l’état du service. L’installation d’une extension de navigateur est également requise pour le blocage des téléversements et doit être configurée séparément pour chaque navigateur (Chrome, Edge, Firefox, Brave).
Tableau de bord & interface
ManageEngine s’ouvre dans un navigateur web. Le tableau de bord affiche l’état des politiques, les incidents récents et une vue d’ensemble des périphériques avec des graphiques. La navigation utilise une barre latérale gauche. La création de politiques, la gestion des périphériques et les rapports sont accessibles en 2 à 3 clics.
Tous les clients sont visibles sur un seul écran. Comparée à la console MMC d’Acronis, l’interface semble moderne et fonctionnelle. ManageEngine ne propose pas le mode double profil Offline/Regular.
Configuration des politiques
ManageEngine fournit une base de données de contenu avec des règles prédéfinies pour PCI‑DSS, HIPAA, GDPR et des modèles propres à chaque pays. Les catégories incluent les numéros de carte de crédit (Visa, Mastercard, Amex), le SSN, le numéro d’identification fiscale pour plus de 20 pays, l’IBAN, les numéros de passeport et les données d’assurance maladie. Des règles regex personnalisées peuvent être créées.
Un problème opérationnel : chaque modification de politique nécessite un redémarrage du PC client avant de prendre effet. La première tentative a coûté 30 minutes de dépannage avant que l’obligation de redémarrage ne soit découverte dans la documentation. L’état de déploiement de la politique est resté à 0 % jusqu’au redémarrage manuel du client. Dans un environnement de production comptant des centaines de terminaux, cela constitue une lourde contrainte opérationnelle.
Tests de fuite
ManageEngine a bloqué 16 scénarios sur 23 (taux de blocage de 70 %). Les principales conclusions :
Impression bloquée automatiquement : L’impression de confidential_report.docx depuis WordPad a été bloquée. L’impression en PDF également. Contrairement à Acronis, ManageEngine couvre l’impression dans la même politique que les téléversements. Aucune règle distincte sur le périphérique n’est nécessaire.
Contournement par collage dans le presse-papiers : Les données SSN copiées depuis un tableur et collées dans pastebin.com ont été téléversées avec succès. ManageEngine n’inspecte pas le texte collé dans les formulaires web. Le collage dans Google Translate a également été contourné.
Après avoir basculé l’accès aux fichiers en mode « Autoriser uniquement dans les applications de confiance », le contournement par le presse-papiers a été comblé car les utilisateurs ne pouvaient plus ouvrir les fichiers sensibles avec des applications non fiables. Il s’agit d’une atténuation indirecte qui restreint les flux de travail légitimes, pas d’une inspection ciblée du presse-papiers.
Contournement par variantes de format SSN : ManageEngine a détecté le format standard avec tirets (XXX-XX-XXXX). Les variantes avec espaces, points et sans séparateur sont passées au travers.
Capture d’écran bloquée : ManageEngine a détecté et bloqué la capture d’écran alors qu’un fichier sensible était ouvert.
Téléversement d’image SSN bloqué : ssn_image.png (un fichier image contenant des numéros SSN) a été bloqué lors du téléversement. Il s’agit d’une détection basée sur les métadonnées/la classification, et non sur l’OCR.
Contournement de la suppression de fichier : Les fichiers sensibles ont pu être supprimés du bureau du client sans aucune intervention du DLP. Acronis a bloqué la suppression de fichier.
Contournement de l’exfiltration inter‑client : Une capture d’écran prise sur le Client 1, copiée dans le partage réseau et téléversée depuis le Client 2 via WeTransfer est passée. L’agent du Client 2 n’avait jamais indexé ce fichier.
Contrôle d’accès & AD
L’intégration AD fonctionne : la console a découvert le domaine dlptest.local et synchronisé automatiquement les utilisateurs et les UO après la saisie des informations d’identification. Les politiques basées sur les groupes ont été testées en créant deux groupes d’ordinateurs manuels (Finance-Clients et IT-Clients) avec des règles différentes. Le Client 1 (Finance) avait des restrictions strictes d’accès aux fichiers tandis que le Client 2 (IT) n’avait aucun blocage. La différenciation a fonctionné correctement.
Les groupes d’utilisateurs AD n’ont pas pu être mappés directement aux groupes d’ordinateurs. Le système attend des groupes d’ordinateurs AD, pas des groupes d’utilisateurs. Cela signifie que l’affectation de politiques basée sur les groupes nécessite un regroupement manuel des ordinateurs plutôt que l’extraction des groupes depuis Active Directory.
Intégration
ManageEngine Endpoint DLP Plus n’a pas d’intégration native avec un SIEM. La documentation d’aide officielle3 , la page des fonctionnalités et le guide de l’utilisateur ne mentionnent pas Syslog, CEF ou le transfert vers un SIEM. D’autres produits ManageEngine (DataSecurity Plus, ADAudit Plus, Endpoint Central) prennent en charge Syslog, mais DLP Plus en tant que produit autonome ne le fait pas.
Le RBAC est disponible et plus granulaire que celui d’Acronis : 4 rôles prédéfinis (Administrator, Endpoint DLP Manager, Technician, Guest), des rôles personnalisés avec des autorisations au niveau du module (Full Control, Write, Read, No Access), une affectation basée sur la portée (restreindre les administrateurs à des groupes d’ordinateurs spécifiques) et la prise en charge de l’authentification à 2FA (Email OTP ou Google Authenticator). Malgré un meilleur RBAC, le score global d’intégration est inférieur car l’intégration SIEM et la copie fantôme sont absentes.
Sécurité de l’agent
ManageEngine a protégé contre les trois tests de violation en tant qu’utilisateur standard. Stop-Service sur le service de l’agent DLP a renvoyé un accès refusé. Le Gestionnaire des tâches n’a pas arrêté le processus de l’agent. La désinstallation depuis Programmes & Fonctionnalités a nécessité une élévation administrative et a été refusée sans celle‑ci.
Contrairement à Acronis, ManageEngine ne propose pas de liste d’administrateurs nommés pour restreindre la désinstallation au niveau administrateur. Tout compte disposant de droits d’administrateur local peut désinstaller l’agent depuis Programmes & Fonctionnalités. Pour les déploiements en production, cela signifie que les droits d’administration des terminaux doivent être strictement contrôlés par l’appartenance aux groupes Active Directory et la politique d’administration locale, car il n’existe aucune restriction au niveau du produit.
Comportement sous forte consommation de CPU et de mémoire
Sous une charge 100 % CPU, ManageEngine a continué à bloquer les téléversements sans dégradation. Les 100 fichiers d’un test de téléversement groupé ont tous été analysés et bloqués correctement.
Analyse de contenu
L’analyse de contenu de ManageEngine est basée sur les expressions régulières et les mots‑clés. Elle analyse correctement plusieurs formats de fichiers (xlsx, docx, csv, json, html, py, log) et scanne à l’intérieur des commentaires de code, des entrées de journal et des champs de données structurés. L’usurpation d’extension ne la trompe pas. Les fichiers ZIP chiffrés sont bloqués à partir de l’analyse des métadonnées/de l’en‑tête.
Les limites : seul le format SSN standard avec tirets (XXX-XX-XXXX) est détecté. Pas de décodage base64, pas d’analyse des PDF chiffrés. ManageEngine propose l’empreinte numérique de documents et l’OCR via Endpoint Central, mais le moteur regex n’inclut pas de validation SSN indépendante du format comme Acronis. La bibliothèque de règles est riche (20+ pays, plusieurs cadres de conformité).
Journalisation & alertes
La page Sensitive File Audit enregistre les événements avec des détails utiles : nom de l’ordinateur, utilisateur connecté, type d’événement, nom de fichier, domaine web, application d’entreprise, statut de l’événement et la règle de classification spécifique qui s’est déclenchée. Ce niveau de détail est suffisant pour une enquête.
ManageEngine dispose d’une fonctionnalité utile de signalement des faux positifs : lorsqu’un fichier est bloqué, l’utilisateur voit une option « Signaler ce blocage comme faux positif ». Le signalement apparaît dans la page Override Audit de la console d’administration. Acronis gère les exceptions via des règles côté administrateur et une portée utilisateur/groupe dans la console de gestion plutôt qu’un bouton orienté utilisateur final.
Les canaux d’alerte sont limités au courrier électronique SMTP. Il n’y a pas de transfert SNMP ni Syslog. L’exportation des rapports ne prend en charge que CSV et PDF. Des rapports planifiés sont disponibles. Il n’y a pas de copie fantôme ni de collecte de preuves. Pas de flux de travail pour les incidents.
Méthodologie et environnement du benchmark DLP
Nous avons provisionné 3 instances Contabo Cloud VPS 10 exécutant Windows Server 2022 Datacenter.
Active Directory : Domaine dlptest.local avec deux UO (Finance, IT), quatre utilisateurs de test (user.finance1, user.finance2, user.it1, user.it2) et un dossier partagé sur \vmi3184661\share.
Tests séquentiels : ManageEngine a été installé en premier, testé sur les 8 catégories notées, puis complètement désinstallé. Acronis a été installé sur les mêmes machines virtuelles et testé avec des scénarios et des fichiers identiques. Les deux produits ont été confrontés au même environnement. Tous les tests ont été effectués par la même personne.
Jeu de données de test
8 fichiers de base et 12 fichiers d’évasion adversariale, tous contenant des numéros de sécurité sociale américains (SSN) comme type de données sensible principal :
Fichiers de base : ssn_data.xlsx (tableur SSN), credit_cards.csv (numéros de carte de crédit), confidential_report.docx (SSN avec le mot‑clé « CONFIDENTIAL »), health_records.docx (données HIPAA), source_code.py (informations d’identification dans le code), ssn_image.png (SSN dans une image pour l’OCR), confidential_archive.zip (archive chiffrée), normal_file.docx (fichier propre pour le contrôle des faux positifs).
Fichiers adversariaux (12) : Fichier journal avec SSN intégré, CSV au nom de fichier innocent avec colonne SSN cachée, JSON avec SSN dans des champs de données, commentaires Python avec SSN, 8 variantes de format SSN (avec espaces/avec points/sans séparateur), SSN encodé en base64, HTML avec SSN en texte masqué, SSN fractionné par formule dans des cellules de tableur, usurpation d’extension (.txt en .jpg, .xlsx en .png), ZIP protégé par mot de passe, aiguille dans une botte de foin (1 SSN dans 80 lignes de texte propre).
Exemples de tests de fuite
Chaque test suit le même schéma : tenter d’exfiltrer un fichier sensible par un canal spécifique et enregistrer si l’agent DLP le bloque ou l’autorise.
Test de fuite de base (téléversement) : Ouvrir un navigateur sur le client, accéder à WeTransfer, sélectionner ssn_data.xlsx sur le bureau, cliquer sur téléverser. Si l’agent DLP bloque le téléversement, le navigateur affiche une erreur ou la connexion est réinitialisée. S’il l’autorise, le fichier est téléversé avec succès vers WeTransfer.
Test d’évasion de canal (presse-papiers) : Ouvrir ssn_data.xlsx dans le Bloc‑notes, sélectionner tout le texte, copier (Ctrl+C). Ouvrir un navigateur, accéder à pastebin.com, coller (Ctrl+V) dans la zone de texte, cliquer sur « Create New Paste ». Un produit DLP doté de l’inspection du presse-papiers tue la requête HTTP POST avant qu’elle ne soit achevée. Un produit sans inspection du presse-papiers autorise le collage car les données n’ont jamais quitté le poste sous forme de fichier.
Test d’évasion de contenu (variantes de format) : Créer un fichier texte contenant 8 représentations SSN différentes : standard (578-12-3364), avec espaces (578 12 3364), avec points (578.12.3364), sans séparateur (578123364), inversées (3364-12-578), et des formats mixtes. Téléverser le fichier vers WeTransfer. Un produit DLP doté de modèles SSN validés reconnaît tous les formats. Un produit uniquement regex détecte les formats couverts par ses expressions régulières.
Test de fuite indirecte (inter‑client) : Sur le Client 1, faire une capture d’écran des données sensibles affichées à l’écran. Sauvegarder la capture. La copier dans le partage réseau (\server\share). Sur le Client 2, récupérer le fichier du partage et le téléverser vers WeTransfer. Un produit qui scanne au moment du téléversement bloque quelle que soit l’origine du fichier. Un produit qui s’appuie sur la pré‑indexation rate les fichiers qu’il n’a jamais vus.
Test de charge CPU : Exécuter 4 tâches PowerShell en boucle infinie pour saturer les 4 vCPU : 1..4 | ForEach-Object { Start-Job { while($true){} } }. Confirmer que le CPU est à 99-100 % dans le Gestionnaire des tâches. Pendant que le CPU est bloqué, tenter de téléverser ssn_data.xlsx vers WeTransfer. Si l’agent DLP bloque toujours le téléversement sous pleine charge, le comportement sous charge est acceptable. Nettoyer avec Get-Job | Stop-Job; Get-Job | Remove-Job.
Scores par catégorie du benchmark DLP
Chaque catégorie a un score maximum égal à son poids attribué. Les poids totalisent 50 et le total brut est ramené sur 100 pour le score final. Les scores sont des entiers directement liés aux résultats mesurés ou aux fonctionnalités documentées, et non des évaluations subjectives.
La journalisation et les alertes contribuent au plus grand écart isolé (+6). Acronis exporte vers SMTP, SNMP et Syslog, propose trois visionneuses de journaux (Audit, Shadow, UAM) et conserve le contenu complet des fichiers via la copie fantôme. ManageEngine dispose de SMTP, d’un seul journal d’audit et d’aucune copie fantôme. L’intégration ajoute encore +3 grâce à la prise en charge SIEM d’Acronis, au module de découverte et au double profil hors ligne, qui n’existent pas dans ManageEngine DLP Plus autonome. La configuration des politiques ajoute +2 grâce aux 90+ modèles prédéfinis d’90 et à l’analyse morphologique par mots‑clés en 9 langues. Les tests de fuite ajoutent +1, reflétant directement le taux de blocage de 83 % contre 70 %.
ManageEngine récupère +2 pour l’installation, +4 pour le tableau de bord (interface web moderne avec graphiques vs composant enfichable MMC sans tableau de bord) et +1 pour le contrôle d’accès (2FA, rôles personnalisés, administration basée sur la portée). La sécurité de l’agent est à égalité à 6 chacune, les trois tests de violation ayant été réussis.
Méthodologie de notation (justification des pondérations)
8 catégories notées sur des échelles entières proportionnelles à leur poids. Le score maximum possible de chaque catégorie est égal à la valeur de son poids. Les poids totalisent 50 et le total brut est ramené sur 100 pour le score final. Les pondérations ont été attribuées par le réviseur principal en fonction des catégories qui produisent une différenciation significative et de celles qui sont directement liées aux opérations quotidiennes du DLP.
Chaque score est dérivé des résultats mesurés (taux de blocage des tests de fuite) ou de la matrice de fonctionnalités documentée dans la section Comparaison des fonctionnalités, et non d’une évaluation subjective. Le comportement sous forte consommation de CPU et de mémoire a été testé séparément mais exclu de la notation, car les deux produits ont eu des performances identiques sous charge.
Comparaison des fonctionnalités
Installation & déploiement
ManageEngine se déploie 6x plus vite et ne nécessite aucune dépendance externe. Acronis nécessite SQL Server et un certificat, mais fournit un kit de déploiement plus large (composant enfichable de stratégie de groupe, push/pull Enterprise Server, export manuel .dls).
Journalisation & preuves
La copie fantôme est le plus grand écart. Lorsqu’Acronis bloque un transfert de fichier, le contenu complet du fichier est conservé sur le serveur pour une analyse judiciaire. ManageEngine journalise les métadonnées de l’événement mais jette le fichier réel. Aucun des deux produits ne dispose d’un flux de travail complet pour les incidents (affectation, escalade, suivi de l’état).
Capacités d’analyse de contenu
Acronis dispose d’une analyse de contenu plus approfondie sur chaque méthode. Les 90+ modèles regex et les 160+ dictionnaires de mots‑clés avec analyse morphologique en 9 langues lui confèrent une surface de détection plus large. ManageEngine propose l’OCR via la plateforme Endpoint Central et l’empreinte numérique de documents via son module de classification, mais Acronis publie des chiffres précis (33 langues OCR, plus de 5 300 types de fichiers) alors que ManageEngine ne le fait pas. Aucun des deux produits n’utilise l’apprentissage automatique ou le NLP pour la classification.2 4 5 6
Limites
Deux produits benchmarkés en pratique : Le benchmark couvre ManageEngine DLP Plus et Acronis DeviceLock DLP. Les quatre autres produits examinés (Netwrix, Sophos, Teramind, Trellix) n’ont pas été retestés avec la même méthodologie de 28 scénarios ; leurs sections reflètent des examens de fonctionnalités antérieurs. Les scores comparatifs (76/100 et 66/100) concernent donc uniquement les deux produits testés en pratique, et non l’ensemble des six.
Aucun test USB ou support amovible : Le contrôle des périphériques USB est l’un des cas d’usage les plus courants du DLP. Les deux produits le prennent en charge, mais notre infrastructure (instances VPS cloud) ne possède pas de ports USB physiques. Le blocage USB, l’application du chiffrement et les listes blanches de périphériques n’ont pas été testés.
Seuls les modèles SSN ont été testés : Tous les tests de fuite ont utilisé le numéro de sécurité sociale américain comme type de données sensible. La détection de carte de crédit (validation Luhn), les modèles HIPAA et les règles spécifiques au RGPD n’ont pas été testés séparément, bien que les deux produits incluent des modèles prédéfinis pour ceux‑ci.
Produits DLP précédemment examinés
Nous avons eu accès à des essais des quatre produits ci‑dessous lors d’un cycle de recherche antérieur. Les conclusions reflètent la couverture fonctionnelle et les tests de l’époque, pas un nouveau test de 2026. Les captures d’écran proviennent de l’environnement d’examen initial. Lorsque des fournisseurs ont publié des mises à jour après l’examen initial, celles‑ci sont signalées en ligne.
Netwrix Endpoint Protector
Netwrix Endpoint Protector est une solution DLP axée sur les canaux, construite autour du contrôle des périphériques, de l’inspection approfondie des paquets et de l’eDiscovery. L’examen a couvert le flux de création de politiques, la couverture des périphériques et les fonctionnalités administratives.
Fonctionnalités efficaces : Contrôle granulaire de plus de 30 types de périphériques, inspection approfondie des paquets pour les transferts de fichiers réseau, politiques prédéfinies et personnalisées, droits effectifs pour la création de politiques, eDiscovery pour les données au repos, chiffrement USB, notifications et alertes pour les actions bloquées, notifications client personnalisables, piste d’audit et protection contre la falsification.
Fonctionnalités inefficaces : Pas de gestion des périphériques (MDM proposé en supplément, non inclus dans l’essai de base).
Couverture des canaux : Endpoint Protector permet un contrôle granulaire de plus de 30 types de périphériques, y compris les périphériques USB, Bluetooth, smartphones et plus encore. Les administrateurs peuvent configurer le contrôle d’accès pour des périphériques spécifiques afin de les autoriser ou de les bloquer lorsqu’ils se connectent aux ordinateurs clients. L’inspection approfondie des paquets permet à l’administrateur de gérer les transferts de fichiers réseau via la messagerie web, les lecteurs et les applications tierces. Lorsqu’elle est activée, la protection Content Aware (CAP) et les paramètres de contrôle des périphériques fonctionnent en conformité avec les analyses DPI.
Classification des données : La protection Content Aware inclut des politiques prédéfinies réparties en trois groupes selon le système d’exploitation du client (Windows, Mac, Linux). Il existe 86 politiques prédéfinies pour Windows couvrant les transferts de fichiers par type de contenu (graphiques, archives, programmation), la conformité HIPAA et la conformité GDPR. Des politiques personnalisées peuvent être définies en fonction des points de sortie de la politique, des utilisateurs et de l’action choisie pour la politique. L’eDiscovery détecte les données sensibles au repos et permet le chiffrement, le déchiffrement et la suppression sur la cible.
Administration : Les droits effectifs permettent la création de politiques basées sur un utilisateur, un périphérique ou un type de fichier spécifique. Les droits globaux sont des droits de contrôle des périphériques qui s’appliquent de manière générale, et les administrateurs peuvent définir différents droits d’accès pour différents périphériques. Pour créer une politique, l’administrateur choisit parmi des options prédéfinies ou personnalisées, et les politiques peuvent être ordonnées par priorité. Les classes personnalisées permettent d’attribuer un « Trusted Device (TD) » en fonction d’informations sur le périphérique telles que le numéro de série et le type.
Notifications et alertes : Lorsqu’un administrateur tente de joindre un fichier .xlsx nommé « Confidentiel » contenant des informations de numéro de sécurité sociale dans WhatsApp, Endpoint Protector bloque l’action et notifie l’administrateur. Les journaux d’événements sont visibles dans la fenêtre Content‑Aware Report avec des détails incluant l’événement, l’heure, l’utilisateur, le périphérique, la destination et le fichier.
Autres fonctionnalités : La synchronisation avec Microsoft AD et Microsoft Entra ID est prise en charge. Les notifications client peuvent être personnalisées. Les listes de refus et d’autorisation aident à définir le contenu sensible via les types de fichiers, le contenu personnalisé, les emplacements de fichiers, les emplacements d’analyse, les modèles regex, les domaines, les URL et les domaines de messagerie. Le chiffrement des périphériques USB peut être automatisé.
Choisissez Netwrix Endpoint Protector pour une solution DLP complète avec des capacités robustes de contrôle des périphériques
Visitez le site webSophos Intercept X
Sophos Intercept X fournit des capacités DLP dans le cadre d’une suite de sécurité des terminaux plus large. L’examen s’est concentré sur la configuration des politiques personnalisées, la protection contre la falsification et l’expérience administrative via Sophos Central.
Fonctionnalités efficaces : Protection efficace des e‑mails, des périphériques et des applications, protection contre la falsification fonctionnelle, intégration Active Directory, classification personnalisable des données, recherche de fichiers et balises avec hachages, piste d’audit complète.
Fonctionnalités inefficaces : Certaines fonctionnalités comme la protection des périphériques nécessitent des politiques personnalisées au lieu de fonctionner immédiatement. Pas d’analyse du comportement des utilisateurs ni de gestion des périphériques.
Couverture des canaux : Tant pour les périphériques que pour les e‑mails, les politiques de base par défaut n’ont pas empêché les transferts de fichiers. L’équipe d’examen a réussi à les bloquer en utilisant des politiques personnalisées. La fonction de contrôle des applications a restreint le transfert de fichiers vers d’autres plateformes telles que Google Drive. Les utilisateurs peuvent être inclus ou exclus directement des politiques via des exceptions basées sur l’e‑mail ou l’IP. Neuf types de périphériques amovibles peuvent être surveillés et contrôlés, moins que chez des concurrents tels qu’Endpoint Protector.
Classification des données : La classification automatisée des données a été inefficace, classant les e‑mails à risque comme étant de faible gravité. Les paramètres de personnalisation sont disponibles et détaillés. Les données classifiées sont vérifiables via une liste complète de fichiers avec l’état de classification.
Administration : La protection contre la falsification a empêché les périphériques de trafiquer le logiciel agent et a exigé un mot de passe pour désinstaller le fichier agent. Cette fonctionnalité a fonctionné pendant les tests de l’examen. Sophos Central a enregistré avec succès les pistes d’audit des activités des utilisateurs. Des hachages de fichiers sont proposés via la fonction de découverte pour identifier les fichiers à risque.
Note sur le Shadow IA : Depuis janvier 2026, Sophos a ajouté Workspace Protection pour la gouvernance du Shadow IT et du Shadow IA. Workspace Protection est adjacente aux fonctionnalités DLP de terminal couvertes ici, et ne les remplace pas.7
Teramind DLP
Teramind DLP est une solution DLP pilotée par des politiques avec un positionnement fort sur l’analyse comportementale. L’examen s’est concentré sur la couverture des canaux, la profondeur de personnalisation et la charge administrative.
Fonctionnalités efficaces : Protection efficace pour les périphériques, les e‑mails et les applications, personnalisation détaillée de la classification des données, piste d’audit complète, intégration Active Directory, recherche de fichiers.
Fonctionnalités inefficaces : La classification des données a eu du mal à distinguer les données confidentielles des données non confidentielles. Les politiques personnalisées sont difficiles à gérer. Pas de protection contre la falsification, pas d’OCR dans l’essai gratuit.
Couverture des canaux : Les politiques de blocage USB ont été efficaces mais ont également empêché la copie de fichiers non confidentiels vers des périphériques amovibles. Les types de périphériques n’étaient pas mentionnés dans les politiques relatives aux périphériques amovibles. Les politiques de messagerie sont efficaces mais empêchent les utilisateurs internes d’envoyer des e‑mails comme effet secondaire. La politique de protection des applications restreint tous les transferts de données vers des applications telles que Google Drive. Des e‑mails ou domaines spécifiques peuvent être exclus des politiques.
Classification des données : La classification des données a été inefficace car elle n’a pas pu faire la distinction entre les données confidentielles et non confidentielles lors des tests d’essai. Les options de personnalisation sont détaillées mais nécessitent une bonne connaissance de la plateforme. Les données classifiées sont vérifiables.
Administration : La protection contre la falsification a été inefficace, car les utilisateurs pouvaient trafiquer le fichier agent. L’activité de chaque utilisateur était surveillée avec des alertes envoyées à l’e‑mail de l’administrateur. L’identification des données par OCR n’est pas incluse dans l’essai gratuit.
Mise à jour de l’agent Mac. Depuis janvier 2026, l’agent Mac de Teramind ne prend en charge l’enregistrement d’écran que lorsqu’une règle de comportement est violée, réduisant ainsi l’utilisation du stockage et améliorant la confidentialité tout en capturant les preuves pertinentes.8
Trellix DLP
Trellix DLP (anciennement McAfee Total Protection for DLP) couvre un large éventail de canaux réseau et de terminaux mais montre des incohérences dans certains domaines. L’examen s’est concentré sur la couverture des canaux, les politiques prédéfinies vs personnalisées et les capacités administratives.
Fonctionnalités efficaces : Large couverture des canaux, protection complète des e‑mails et des applications, règles de données personnalisables, piste d’audit, protection contre la falsification, filtrage web.
Fonctionnalités inefficaces : Pas d’intégration Active Directory dans l’essai, pas de recherche de fichiers, pas d’analyse du comportement des utilisateurs, pas de prise en charge complète de l’OCR pour la détection et la prévention web.
Couverture des canaux : Trellix peut détecter lorsqu’un utilisateur configure Outlook pour envoyer des fichiers sensibles via des comptes de messagerie personnels et peut mettre en quarantaine les e‑mails contenant des informations sensibles. La libération des e‑mails mis en quarantaine peut être fastidieuse, nécessitant une approbation manuelle de l’expéditeur, du responsable de l’expéditeur ou du propriétaire des données par notifications e‑mail plutôt qu’un flux de travail automatisé. Trellix ne prend pas entièrement en charge le filtrage des données sensibles synchronisées avec les appareils mobiles via ActiveSync pour certains groupes d’utilisateurs.
La surveillance et le contrôle des périphériques sont possibles, mais Trellix ne prend pas en charge une politique unifiée sur tous les canaux, ce qui limite la flexibilité dans les environnements comportant plusieurs types de périphériques. Les administrateurs peuvent configurer des contrôles d’accès pour les périphériques USB et autres, mais la mise en œuvre des politiques peut être incohérente sur les canaux plus récents tels que les appareils mobiles.
La prise en charge avancée, comme le chiffrement des périphériques USB, nécessite des abonnements supplémentaires. Pour les applications, Chrome n’est pas entièrement pris en charge et les utilisateurs peuvent contourner les politiques DLP dans certains scénarios, par exemple lors du téléversement de fichiers depuis un réseau Wi‑Fi public.
Classification des données : Les politiques prédéfinies de Trellix couvrent les cadres réglementaires courants, notamment PCI DSS et GDPR, bien que les modèles de politiques soient moins complets et précis que ceux de certains concurrents, créant des lacunes de détection potentielles.
L’administrateur peut créer des politiques personnalisées à l’aide de mots‑clés, d’expressions régulières et de l’empreinte numérique de fichiers. Trellix ne prend pas en charge les fonctionnalités avancées telles que l’apprentissage automatique ou la protection basée sur le risque comportemental. L’OCR est limité aux documents graphiques pour la découverte, pas pour la prévention.
Administration : Les administrateurs peuvent attribuer des droits en fonction des utilisateurs ou des groupes, mais Trellix manque d’administration déléguée basée sur les rôles, ce qui limite la possibilité d’attribuer des rôles spécifiques pour la gestion des politiques et le traitement des incidents. Le chiffrement USB et l’application des politiques DLP sur les terminaux sont standard, mais des options avancées telles que la protection adaptative aux risques et l’analyse comportementale native sont soit limitées, soit nécessitent une intégration tierce.
Des alertes sont générées pour les transferts de données sensibles par e‑mail, mais la personnalisation limitée des rapports et les capacités de gestion des incidents peuvent nécessiter une supervision manuelle supplémentaire.
Ajouter comme source préféréeÀ quoi sert un logiciel DLP ?
Un logiciel DLP surveille et contrôle flux de données sensibles sur les terminaux, le réseau et les services cloud d’une organisation. Il empêche les transferts de données non autorisés via des canaux tels que les téléversements de fichiers, les pièces jointes aux e‑mails, le copier‑coller dans le presse‑papiers, l’impression, les clés USB et la capture d’écran.
Les produits DLP combinent généralement trois méthodes de détection : l’inspection du contenu (analyse du contenu des fichiers à la recherche de modèles comme les SSN ou les numéros de carte de crédit), l’analyse du contexte (évaluation du canal, de l’utilisateur et de la destination) et l’application des politiques (blocage, alerte ou journalisation en fonction des règles).
Capacités courantes du DLP
Conclusion
Pour les équipes qui ont besoin d’une intégration SIEM, d’une preuve par copie fantôme ou d’une détection SSN multi‑format, Acronis est le produit le plus solide. Il a bloqué 83 % des scénarios de fuite, empêche la suppression de fichiers, transfère les événements vers Syslog/CEF et conserve le contenu complet des fichiers pour une analyse judiciaire via la copie fantôme.
Pour les équipes qui privilégient un déploiement rapide et une interface utilisable, ManageEngine s’installe en 15 minutes sans aucune dépendance. Le coût : pas d’intégration SIEM, pas de copie fantôme, pas d’inspection du presse‑papiers et un taux de blocage inférieur de 13 points de pourcentage.
FAQ
Acronis DeviceLock a détecté les données SSN collées dans Pastebin et Google Translate en inspectant le corps des requêtes HTTP POST. ManageEngine DLP Plus n’inspecte pas le collage dans le presse-papiers. L’activation du mode « Autoriser uniquement dans les applications de confiance » comble indirectement cette lacune en restreignant les applications pouvant ouvrir des fichiers sensibles.
Non. Les deux produits protègent contre les tentatives d’arrêt du service, d’arrêt du processus et de désinstallation par des utilisateurs standard. Les trois tests de violation ont été réussis sur les deux. Pour se défendre contre les comptes d’administrateur local, Acronis propose la liste DeviceLock Administrators pour restreindre qui peut désinstaller, arrêter ou modifier l’agent. ManageEngine n’a pas de mécanisme équivalent au niveau du produit, de sorte que les droits d’administration doivent être contrôlés via Active Directory.
Acronis a détecté les SSN avec des espaces, des points et sans séparateur. ManageEngine n’a détecté que le format standard avec tirets (XXX-XX-XXXX).
Disponibilité des essais fournisseurs. ManageEngine et Acronis DeviceLock DLP ont fourni des essais fonctionnels sous Windows Server 2022 dans notre fenêtre de recherche. Les quatre autres produits (Netwrix, Sophos, Teramind, Trellix) nécessitaient des approbations de démonstration menées par les ventes qui n’ont pas abouti à temps, nous appuyons donc sur les examens fonctionnels antérieurs pour ceux‑ci. À mesure que de nouveaux essais deviendront disponibles, nous réexécuterons le benchmark complet de 28 scénarios sur ces produits et actualiserons les conclusions ci‑dessous.
Citez ce benchmark
Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.
@misc{sari2026,
author = {Sarı, Ekrem},
title = {{Benchmark des logiciels DLP}},
year = {2026},
month = apr,
howpublished = {\url{https://aimultiple.com/dlp-review}},
note = {AIMultiple. Consulté le 30 Avril 2026}
}Liens de référence
Soyez le premier à commenter
Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.