Co to jest MDR? I czym różni się od EDR, XDR i SOC.
MDR (Managed Detection and Response) to usługa, w której zewnętrzny zespół monitoruje Twoje środowisko, wykrywa zagrożenia i reaguje na nie w Twoim imieniu. Nie kupujesz kolejnego narzędzia, tylko efekt: ktoś patrzy na alerty i działa, gdy dzieje się coś złego. Porównujemy MDR z EDR, XDR i SOC i podpowiadamy, na co zwrócić uwagę przy wyborze dostawcy.
Paweł Mierzwa, CTO, CEO, Security ArchitectZaktualizowano
MDR w skrócie
EDR czy XDR same w sobie wykrywają i alarmują. Ktoś musi te alarmy przeczytać, ocenić i zareagować, także w nocy i w weekend. MDR dostarcza właśnie tę brakującą część: ludzi, procesy i dyżur, zwykle razem z narzędziem.
W dobrze zbudowanej usłudze MDR dostawca nie kończy na powiadomieniu. Ma uprawnienia, żeby od razu odizolować zainfekowany komputer albo zablokować przejęte konto, a potem przekazuje raport: co się stało i co zrobić dalej.
MDR, EDR, XDR i SOC: porównanie
| Pojęcie | Co to jest | Kto obsługuje | Co obejmuje |
|---|---|---|---|
| EDR | Narzędzie na stacjach i serwerach (Endpoint Detection and Response) | Twój zespół IT | Endpointy: procesy, pliki, połączenia sieciowe |
| XDR | Platforma łącząca dane z wielu warstw (Extended Detection and Response) | Twój zespół albo dostawca | Endpointy, poczta, chmura, sieć, tożsamość |
| SOC | Zespół i procesy bezpieczeństwa (Security Operations Center) | Własny zespół albo dostawca | Monitoring, analiza i obsługa incydentów |
| MDR | Usługa wykrywania i reagowania (Managed Detection and Response) | Dostawca | Narzędzie, analitycy, dyżur i reakcja w jednym |
Co zwykle obejmuje usługa MDR
Monitoring 24/7
Telemetria z endpointów, serwerów, poczty, chmury i systemów tożsamości trafia do platformy dostawcy, gdzie działają reguły detekcji.
Triage alertów
Analitycy sprawdzają alerty i odsiewają fałszywe alarmy. Do Ciebie trafiają tylko sprawy, które wymagają uwagi.
Reagowanie
Izolacja hosta, blokada konta, zatrzymanie procesu. W uzgodnionym zakresie dostawca działa od razu, bez czekania na Twoją zgodę.
Threat hunting
Aktywne szukanie śladów ataku, których nie wykryły reguły, na przykład po publikacji nowej podatności.
Raporty
Opis każdego incydentu oraz okresowe podsumowania dla działu IT i zarządu.
Wnioski po incydencie
Analiza przyczyny i zalecenia, żeby ten sam atak się nie powtórzył.
MDR czy własny SOC?
Własny SOC daje pełną kontrolę, ale wymaga co najmniej pięciu, sześciu etatów na dyżur 24/7, licencji i miesięcy przygotowań. MDR daje gotowy zespół i narzędzia od razu, za stałą miesięczną opłatę.
Wiele firm łączy oba modele. Wewnętrzny dział IT albo bezpieczeństwa zajmuje się codziennością i projektami, a dostawca MDR pilnuje alertów w nocy, w weekendy i w święta.
Na co zwrócić uwagę, wybierając dostawcę MDR
Reaguje czy tylko powiadamia
Część usług nazywanych MDR kończy się na mailu z alertem. Zapytaj, jakie działania dostawca wykonuje sam i w jakim czasie.
Czas reakcji w umowie
SLA powinno określać, w jakim czasie analityk zajmuje się krytycznym alertem, także w nocy.
Czyja jest platforma
Dostawca, który rozwija własną platformę, może ją dostroić do Twojego środowiska. Odsprzedawca cudzej licencji czeka na producenta.
Gdzie są dane
Zapytaj, gdzie przechowywane są logi, jak długo i kto ma do nich dostęp. Przy RODO i ustawie o KSC to nie jest detal.
Język i strefa czasowa
Podczas incydentu liczy się szybka rozmowa. Analityk, który mówi po polsku i pracuje w tej samej strefie czasowej, oszczędza cenne minuty.
Warunki wyjścia
Wieloletnia umowa bez możliwości wypowiedzenia to ryzyko. U nas obowiązuje 30-dniowy okres wypowiedzenia.
Najczęstsze pytania o MDR
Czy MDR to to samo co SOC jako usługa?
Prawie. Oba terminy opisują zewnętrzny zespół, który monitoruje i reaguje. MDR mocniej akcentuje reakcję i zwykle obejmuje technologię dostawcy, a SOC jako usługa bywa szerszy, na przykład obejmuje monitoring logów z SIEM, który firma już ma.
Czy MDR zastępuje antywirusa albo EDR?
MDR korzysta z agenta na stacjach i serwerach i dodaje do niego ludzi. U nas agent XenXDR jest częścią usługi.
Czy MDR ma sens dla małej firmy?
Tak, bo mała firma najczęściej nie ma nikogo, kto mógłby patrzeć na alerty. Dla mniejszych środowisk jest SOC Lite: monitoring przez całą dobę i reakcja w godzinach pracy.
Ile trwa wdrożenie MDR?
Typowe środowisko do 100 urządzeń uruchamiamy w jeden do dwóch tygodni.
Zobacz, jak działa nasza usługa MDR
Pokażemy konsolę XenXDR na danych demonstracyjnych i omówimy, jaki zakres usługi ma sens dla Twojej firmy.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com