MDR, EDR e XDR: qual faz sentido para a sua operação

O alerta crítico dispara às 3h07 de um domingo. O agente de endpoint fez o trabalho dele: detectou o movimento lateral, isolou parcialmente o processo, registrou tudo. E ninguém viu. O console ficou piscando em vermelho até a equipe chegar na segunda de manhã, quando o ransomware já tinha cifrado três servidores de arquivo. A ferramenta funcionou. A operação falhou. É exatamente aí que MDR, EDR e XDR param de ser sinônimos e passam a ser decisões diferentes.

A sopa de siglas, desfeita

A confusão começa porque as três siglas terminam em "DR" — detection and response, detecção e resposta — e são vendidas quase sempre no mesmo pacote comercial. Mas elas respondem a perguntas distintas. EDR e XDR são tecnologia: o que você instala, onde ele enxerga, como correlaciona. MDR é operação: quem opera essa tecnologia, em que horário, com qual capacidade de resposta. Misturar os dois é a raiz de quase todo projeto de detecção que vira prateleira cara.

EDR, endpoint detection and response, é a ferramenta que vive no endpoint — estações, servidores, notebooks. Ela vai muito além do antivírus tradicional: em vez de comparar arquivos com uma lista de assinaturas conhecidas, observa comportamento. Um processo do Word que abre um PowerShell que baixa um binário e tenta escrever na chave de inicialização do registro é uma cadeia suspeita mesmo que cada passo, isolado, seja legítimo. O EDR reconstrói essa cadeia, permite conter o host e dá ao analista a telemetria para investigar. É a base. Mas a base tem um ponto cego estrutural: só enxerga o endpoint.

XDR: quando o endpoint não conta a história toda

O atacante moderno não vive só no endpoint. Ele chega por um e-mail de phishing, autentica com uma credencial roubada, escala privilégio no Active Directory, se move pela rede e exfiltra dados por um serviço de nuvem. Cada uma dessas etapas deixa rastro em um sistema diferente — e nenhum deles, sozinho, denuncia o ataque.

XDR, extended detection and response, é a resposta a esse problema. O "X" é a extensão do olhar para além do endpoint: telemetria de rede, e-mail, identidade, nuvem e cargas de trabalho, correlacionada em um único plano. O valor não está em coletar mais log — está em conectar sinais fracos. Isolados, um login fora do horário, um e-mail com anexo incomum e um pico de tráfego de saída são ruído. Correlacionados na mesma linha do tempo, contra o mesmo usuário, são uma invasão em andamento. XDR reduz o tempo entre o primeiro sinal e a decisão de que aquilo é um incidente. Continua sendo tecnologia — poderosa, mais ampla que o EDR, e ainda assim inerte sem alguém para operá-la.

MDR: o time por trás do console

Aqui está o ponto que a maioria dos projetos ignora. Comprar a melhor ferramenta de detecção e deixá-la reportando para uma equipe que trabalha em horário comercial, já sobrecarregada, é comprar um alarme de incêndio e desligar a sirene à noite. O invasor sabe disso. Campanhas de ransomware são deliberadamente disparadas em madrugadas, feriados e vésperas de recesso — justamente quando a janela entre a detecção e a resposta humana é maior.

MDR, managed detection and response, é o serviço gerenciado que fecha essa janela. É a ferramenta somada a um time que opera 24 horas por dia, 7 dias por semana: analistas que triam o alerta, separam o falso positivo do incidente real, investigam a cadeia completa e — o que mais importa — executam a resposta. Isolar o host, revogar a sessão, bloquear a conta comprometida, conter antes que o movimento lateral vire criptografia em massa. Um MDR maduro não entrega um relatório para você agir de manhã. Ele age no momento, e depois te conta o que fez.

A diferença prática aparece nas métricas que importam: tempo médio de detecção e tempo médio de resposta. Um EDR ou XDR excelente pode derrubar o tempo de detecção para minutos. Mas se o tempo de resposta depende de alguém acordar, ler o alerta e decidir, ele volta a ser medido em horas. MDR é o que mantém os dois baixos ao mesmo tempo, inclusive às 3h de domingo.

Decidindo pelo que você tem, não pela sigla da moda

A pergunta certa não é "EDR, XDR ou MDR?". É "o que a minha operação consegue sustentar?". Três variáveis definem a resposta com honestidade:

• Time interno. Você tem analistas de segurança dedicados, ou uma equipe de TI que já cuida de rede, servidores e suporte e ganhou "segurança" como tarefa extra? Ferramenta de detecção sem analista treinado gera fadiga de alerta, e fadiga de alerta faz gente ignorar exatamente o alerta que importava.
• Cobertura 24/7. Ataque não respeita expediente. Se ninguém olha o console fora do horário comercial, a janela noturna é o seu maior risco — e é a que a ferramenta sozinha não resolve.
• Maturidade. Existe processo de resposta a incidente definido, testado, com papéis claros? Ou o plano é improvisar quando acontecer? Tecnologia acelera um processo que existe; ela não cria o processo.

Quem tem SOC próprio, maduro e com plantão pode extrair muito valor de investir em XDR e operar internamente. Quem tem uma equipe enxuta cuidando de tudo — a realidade da maioria dos órgãos públicos, hospitais e empresas de médio porte em setores regulados — não precisa de mais um console para vigiar. Precisa de resultado de segurança: alguém respondendo pela detecção e pela resposta, com SLA, no idioma certo e no horário em que o ataque realmente acontece.

Como a Certus opera isso

A Certus opera detecção e resposta como serviço gerenciado, no modelo MSSP, com tecnologia selecionada para o cenário de cada cliente — não um produto único empurrado para todo mundo, mas a combinação de EDR e XDR adequada ao ambiente, operada por um time nosso. Para quem não pode falhar — forças de lei, segurança pública, saúde, governo e infraestrutura crítica, onde uma brecha não é só prejuízo financeiro — o que entregamos não é a licença de uma ferramenta, é a operação por trás dela: triagem, investigação e contenção com engenharia local e suporte em português. Você pode conhecer o desenho completo do serviço na página de soluções de detecção e resposta gerenciada.

Antes de comparar siglas em uma tabela de fornecedor, vale mapear com honestidade o que a sua operação tem hoje de time, cobertura e maturidade — e onde fica a janela que o atacante vai procurar. Fale com um especialista da Certus para desenhar o modelo de detecção e resposta que faz sentido para a sua operação, não para o folheto.