Un agent osquery sur macOS, Windows et Linux remonte l'état réel d'un poste — chiffrement du disque, pare-feu, verrouillage d'écran, ce qui est installé et ce qui tourne. Chaque règle est jugée sur nos serveurs, jamais sur l'appareil.
Ce n'est pas un MDM classique. Nous ne poussons pas de profils de configuration, nous ne verrouillons ni n'effaçons les machines, et nous n'en prenons pas le contrôle à distance. L'agent collecte ; le serveur décide conforme ou non ; la personne concernée apprend quoi corriger. Si vous avez besoin d'appliquer des règles, gardez votre MDM — Engarde vous dit s'il fonctionne vraiment.
Environ 88 contrôles aujourd’hui, sur les trois systèmes.
Chiffrement FileVault / BitLocker, Gatekeeper, démarrage sécurisé, mot de passe firmware.
Pare-feu, partages de fichiers, d'imprimante, d'écran, de connexion et Bluetooth restés actifs, RDP sans NLA.
Système supporté et à jour, Chrome / Edge / Firefox à jour, versions à CVE connue signalées.
Applications et fichiers malveillants connus, protection anti-rançongiciel, antivirus présent et actif.
Identifiants cloud en clair dans les répertoires personnels, version et configuration du gestionnaire de mots de passe.
Extensions de navigateur, daemons de lancement, extensions noyau, tâches planifiées, services et éléments de démarrage.
La personne lance un script shell (macOS, Linux) ou une ligne PowerShell (Windows), servie via un jeton d'enrôlement propre à votre organisation.
Il s'enregistre auprès d'Engarde, récupère son pack de requêtes, l'exécute via osquery et renvoie les lignes brutes en boucle. Il ne porte aucune règle.
L'évaluation conforme/non conforme, l'historique de posture et les détections vivent côté serveur — une règle peut donc changer sans toucher à un seul poste.
Une extension Chrome inventorie les autres extensions installées par votre équipe — permissions, portée, provenance — et Engarde attribue un score de risque au parc. Même logique que l'agent : le navigateur remonte, le serveur tranche.
La posture mobile — appareils compromis ou non chiffrés — vient de Google Workspace et non d'un agent, et nécessite le scope annuaire correspondant. Tant qu'il n'est pas accordé, l'application le dit, plutôt que de vous montrer une liste vide rassurante.
Installez l’agent sur une machine et regardez arriver le premier rapport de posture.
Demander un accès anticipéPas au sens de l'application de règles. Engarde ne pousse pas de profils de configuration, ne verrouille ni n'efface les machines et n'en prend pas le contrôle à distance. L'agent collecte, le serveur évalue conforme ou non, et la personne concernée apprend quoi corriger. Si vous avez déjà un MDM, Engarde en est le contrôle indépendant : il vous dit s'il fait vraiment ce que vous croyez.
C'est une fine surcouche multiplateforme autour d'osquery, proche dans sa forme d'orbit (Fleet). Il s'enrôle auprès d'Engarde, récupère un pack de requêtes, l'exécute via osqueryi et renvoie les lignes brutes en boucle. Il ne contient aucune logique conforme/non conforme, ce qui permet de modifier ou d'ajouter un contrôle sans rien redéployer sur les postes.
macOS et Linux partagent un même script shell qui détecte le système ; Windows dispose d'une ligne PowerShell. Les deux sont servis via un jeton d'enrôlement propre à votre organisation : la commande affichée dans l'application est déjà rattachée à votre tenant.
La posture mobile — appareils compromis ou non chiffrés — est lue depuis Google Workspace et non via un agent, et nécessite le scope annuaire correspondant. Tant qu'il n'est pas accordé, l'application signale le comportement comme indisponible plutôt que d'afficher une liste vide qui ressemblerait à un satisfecit.
Non. Il s'agit ici d'Engarde, l'éditeur SaaS de cybersécurité, sur engarde.cc — à distinguer des autres acteurs partageant le nom Engarde.