Gdy firma kupuje rozwiązanie z zakresu cyberbezpieczeństwa, zwykle słyszy trzy skróty: EDR, XDR i MDR. Dostawcy używają ich tak, jakby były oczywiste, a prezes lub dyrektor finansowy zostaje z pytaniem: czy potrzebujemy wszystkich trzech, czy wystarczy jedno, i czym to się różni od antywirusa, za którego już płacimy?
To pytanie ma znaczenie nie tylko techniczne. NIS2 i DORA wymagają od firm nie tylko posiadania ochrony, ale też wykazania, że incydenty są wykrywane i że się na nie reaguje. Zainstalowany program tego nie dowodzi. Ktoś musi obserwować, co pokazuje, i reagować, gdy zapali się czerwone światło.
W tym artykule wyjaśniamy, co naprawdę oznacza każdy ze skrótów, gdzie kończą się możliwości jednego rozwiązania, a zaczynają kolejnego, i jak wybrać ochronę dla firmy z około 50 osobami bez dedykowanego zespołu bezpieczeństwa.
Antywirus i EDR to nie to samo
Klasyczny antywirus porównuje pliki z sygnaturami znanego złośliwego oprogramowania i blokuje to, co rozpozna. Sprawdza się to przy masowo rozsyłanych, dawno znanych zagrożeniach. Nie działa już wobec atakujących, którzy korzystają z legalnych narzędzi systemowych, takich jak PowerShell, programy do zdalnej administracji i zwykłe skrypty administratorów, i nie zostawiają pliku, który dałoby się rozpoznać po sygnaturze.
EDR (Endpoint Detection and Response) patrzy nie na pliki, lecz na zachowanie. Agent na stanowisku lub serwerze rejestruje procesy, połączenia sieciowe i zmiany w rejestrze oraz szuka podejrzanych sekwencji: na przykład dokument Word uruchamia wiersz poleceń, który pobiera plik i próbuje wyłączyć kopie zapasowe. Każdy krok osobno wygląda niewinnie, ale cała sekwencja już nie.
Drugą ważną częścią EDR jest reakcja. Konsola pozwala odizolować komputer od sieci, zakończyć proces, cofnąć zmienione pliki i zobaczyć cały łańcuch zdarzeń: gdzie się zaczął i czego dotknął. Antywirus tego nie pokazuje, informuje tylko „wykryto i usunięto”.
Praktyczny wniosek: EDR generuje znacznie więcej informacji niż antywirus. Jeśli nikt tych informacji nie czyta, EDR staje się po prostu droższym antywirusem.
XDR: gdy jedno urządzenie to za mało
XDR (Extended Detection and Response) rozszerza tę samą zasadę poza stanowisko pracy. Dane z poczty, systemu tożsamości (na przykład Microsoft Entra ID), urządzeń sieciowych, usług w chmurze i serwerów łączy się w jeden obraz.
Dlaczego to ważne? Typowy współczesny incydent nie zaczyna się na komputerze. Najpierw pracownik dostaje e-mail, potem wpisuje hasło na fałszywej stronie logowania, następnie atakujący loguje się do Microsoft 365 z innego kraju, a dopiero po kilku dniach coś pojawia się na stanowisku. EDR widzi tylko ostatni krok. XDR łączy wszystkie cztery w jedno zdarzenie i pokazuje, że to jeden atak, a nie cztery niezwiązane alerty.
Bitdefender GravityZone, SentinelOne i CrowdStrike oferują dziś warstwę XDR jako rozszerzenie EDR. Różnica między nimi polega na tym, które źródła łączą bez dodatkowej pracy i ile wymagają konfiguracji. O wyborze między tymi trzema platformami piszemy w osobnym artykule.
Ważne zastrzeżenie: XDR jeszcze zwiększa strumień informacji. Im więcej źródeł, tym więcej korelacji i tym więcej alertów, które ktoś musi ocenić.
MDR: ludzie, którzy czuwają 24/7
MDR (Managed Detection and Response) to nie technologia, lecz usługa. Zespół analityków bezpieczeństwa dostawcy całą dobę monitoruje alerty platformy EDR lub XDR, oddziela prawdziwe incydenty od fałszywych, reaguje (izoluje urządzenie, blokuje konto) i kontaktuje się z Tobą tylko wtedy, gdy potrzebna jest Twoja decyzja.
Dlaczego to osobna usługa? Ponieważ atakujący pracują w nocy i w weekendy, dokładnie wtedy, gdy Twój informatyk nie patrzy na konsolę. Ataki ransomware uruchamia się zwykle w piątek wieczorem, aby do poniedziałkowego poranka zaszyfrować jak najwięcej. EDR, który w piątek wieczorem pokazuje czerwony alert, gdy nikt nie patrzy, nie zatrzyma incydentu.
MDR może świadczyć sam producent platformy albo Twój partner od wsparcia IT, korzystający z narzędzi producenta. Obie opcje mają sens; różnica polega na tym, jak dobrze dostawca zna Twoje środowisko. Analityk producenta widzi tylko alerty; partner, który utrzymuje Twoje serwery, wie, że nocny skrypt na serwerze księgowym to nie atak, lecz zamknięcie miesiąca.
Jak wybrać według wielkości firmy i zespołu
O wyborze decyduje nie wielkość, lecz to, kto będzie czytał alerty i kiedy. Z naszego doświadczenia firmy można z grubsza podzielić tak.
Do 20 pracowników, bez informatyka
Potrzebujesz EDR z zarządzanym monitoringiem. Nie potrzebujesz konsoli, potrzebujesz kogoś, kto jej pilnuje i reaguje. Tutaj MDR jest zwykle częścią usługi wsparcia IT, a nie kupowany osobno.
Od 20 do 100 pracowników, jeden informatyk lub zewnętrzny partner
Typowa firma z 50 pracownikami. Informatyk jest zajęty bieżącym wsparciem i nie ma czasu (a często i specjalizacji), by badać alerty bezpieczeństwa. Potrzebujesz EDR, a jeśli korzystasz z Microsoft 365, XDR z sygnałami z tożsamości i poczty oraz MDR od partnera. Informatyk wewnętrzny pozostaje osobą podejmującą decyzje, a nie dyżurnym obserwatorem.
Powyżej 100 pracowników lub działalność regulowana
Gdy obowiązują Cię NIS2 lub DORA, XDR staje się koniecznością, bo musisz wykazać, że incydenty są wykrywane w całej infrastrukturze, a nie tylko na komputerach. MDR z jasnym SLA i raportami z incydentów to to, co pokażesz podczas audytu.
| Pytanie | Antywirus | EDR | XDR | MDR |
|---|---|---|---|---|
| Blokuje znane wirusy | Tak | Tak | Tak | Tak |
| Widzi podejrzane zachowanie | Nie | Tak | Tak | Tak |
| Łączy pocztę, tożsamość, serwery | Nie | Nie | Tak | Zależy od platformy |
| Kto reaguje w nocy | Nikt | Twój dział IT | Twój dział IT | Analitycy dostawcy |
Co obejmuje opieka MDP CLOUD
W naszej usłudze wsparcia IT monitoring bezpieczeństwa nie jest osobną pozycją. Wdrażamy agenta EDR lub XDR na każdym stanowisku i serwerze (Bitdefender GravityZone, SentinelOne lub CrowdStrike, zależnie od środowiska klienta), nasz zespół obserwuje alerty, a reakcja rozpoczyna się w ciągu 30 minut.
W praktyce oznacza to:
- wdrożenie agenta i konfigurację polityk dopasowanych do charakteru pracy firmy, aby legalne aplikacje nie były blokowane;
- przegląd alertów i oddzielanie fałszywych alarmów, żeby klient otrzymywał tylko to, co wymaga jego uwagi;
- izolację urządzenia i blokadę konta po potwierdzeniu incydentu, jeszcze zanim do Ciebie zadzwonimy;
- miesięczny raport o wykrytych zdarzeniach, który można dołączyć do dokumentacji NIS2 lub DORA;
- koordynację z kopiami zapasowymi, aby po incydencie było z czego odtwarzać.
W przypadku serwerów to samo zapewnia nasza usługa opieki nad serwerami, a nasze serwery w chmurze wynajmujemy z już zainstalowaną ochroną GravityZone.
Od czego zacząć
- Sprawdź, co jest obecnie zainstalowane: antywirus czy EDR. Jeśli nie wiesz, to najpewniej antywirus.
- Odpowiedz na pytanie, kto zobaczy alert w sobotę o 3 w nocy. Jeśli odpowiedź brzmi „nikt”, brakuje nie technologii, lecz MDR.
- Zapisz, gdzie są Twoje dane: komputery, serwery, Microsoft 365, usługi w chmurze. Jeśli nie tylko na komputerach, rozważ XDR.
- Jeśli działasz w sektorze regulowanym, sprawdź, czy obecne rozwiązanie tworzy raporty, które możesz pokazać podczas audytu.
- Skontaktuj się z nami. Ocenimy Twoje obecne środowisko i zaproponujemy, co wchodzi w zakres wsparcia IT bez dodatków, a licencje na Bitdefender GravityZone lub inną platformę dobierzemy do liczby Twoich urządzeń.
