Wybierając ochronę przed ransomware i atakami na konta, firmy trafiają na trzy skróty: EDR, XDR i MDR. Pierwsze dwa to narzędzia, trzeci to usługa. Pytanie nie brzmi więc „które z nich jest najlepsze”, tylko: jakie narzędzie i kto będzie je obsługiwał.
Trzy modele w skrócie
| EDR | XDR | MDR | |
|---|---|---|---|
| Czym jest | Narzędzie do ochrony urządzeń | Narzędzie łączące urządzenia, pocztę, tożsamość, sieć i chmurę | Usługa zarządzanego wykrywania i reagowania |
| Kto analizuje alerty | Twój zespół | Twój zespół | Zespół dostawcy |
| Kiedy działa reakcja | Gdy ktoś zareaguje | Gdy ktoś zareaguje | W uzgodnionych godzinach, często całodobowo |
| Wymaga od firmy | Osób do obsługi konsoli | Osób do obsługi i integracji | Osoby kontaktowej i procedury eskalacji |
| Dla kogo | Firmy z własnym IT, które zaczynają od podstaw | Organizacje z rozbudowanym środowiskiem chmurowym | Firmy bez zespołu bezpieczeństwa lub bez pokrycia 24/7 |
Szczegółowe porównanie samych narzędzi znajdziesz w artykule EDR a XDR — różnice i zastosowania.
Pięć pytań, które pomogą wybrać
- Kto przeczyta alert w sobotę o 2:00? Jeśli nikt — samo narzędzie nie wystarczy. Zobacz, co oznacza alert EDR bez całodobowej analizy.
- Gdzie pracują Twoi użytkownicy i dane? Jeśli głównie w Microsoft 365 i zdalnie — sama ochrona urządzeń pokazuje tylko część obrazu.
- Ile alertów jest dziś w stanie obsłużyć Twój zespół? Dodanie źródeł bez ludzi do analizy zwiększa szum.
- Czy firma podlega UKSC? Obowiązek zgłoszenia incydentu poważnego w ciągu 24 godzin od wykrycia wymaga szybkiego wykrywania i dokumentowania zdarzeń.
- Jakich działań oczekujesz od dostawcy? Tylko powiadomienia, czy także samodzielnej izolacji urządzeń i blokady kont?
Przykładowe konfiguracje
Biuro rachunkowe, 20 osób, jeden zewnętrzny informatyk. EDR na wszystkich komputerach i serwerze, MFA do poczty i VPN, analiza alertów przez usługę zewnętrzną. Priorytet: prostota i reakcja poza godzinami pracy.
Firma produkcyjna, 150 osób, dwuosobowy dział IT. XDR obejmujący urządzenia, pocztę i tożsamość, logi przekazywane do zewnętrznego SOC, który analizuje zdarzenia i koordynuje reakcję. Dział IT wdraża zalecenia i zajmuje się administracją.
Jednostka publiczna podlegająca UKSC. Ochrona urządzeń i tożsamości, centralne gromadzenie logów w SIEM na potrzeby analizy i raportowania, monitoring w uzgodnionym zakresie godzin, procedury zgłaszania incydentów do CSIRT.
To przykłady ilustracyjne — właściwą konfigurację dobiera się po ocenie środowiska, ryzyka i budżetu.
Na co uważać przy wyborze
- Pokrycie — ochrona obejmuje tylko te urządzenia, na których działa agent. Sprawdź serwery i komputery spoza domeny.
- Zakres reakcji — w umowie MDR lub SOC powinno być jasno opisane, co dostawca robi sam, a co tylko rekomenduje.
- Dostęp do danych — czy po zakończeniu umowy masz dostęp do historii zdarzeń?
- Raportowanie — czy otrzymujesz informacje przydatne podczas audytu i przy zgłoszeniach incydentów?
Pomagamy dobrać i wdrożyć EDR lub XDR, a analizę alertów i koordynację reakcji zapewniamy w ramach SOC i monitoringu bezpieczeństwa. Chcesz porozmawiać o swoim środowisku? Umów bezpłatną konsultację.