SIEM e XDR são ferramentas: o SIEM coleta e correlaciona logs de todo o ambiente, e o XDR detecta e responde a partir de endpoint, identidade, e-mail e nuvem. O MDR é um serviço: pessoas operando essas ferramentas 24x7 para investigar e conter ataques. Quem tem ferramenta sem equipe 24x7 costuma precisar de MDR. Para o contexto completo, veja o que é um SOC.
SIEM em 1 minuto
Centraliza logs de firewalls, servidores, Active Directory, nuvem e aplicações, correlaciona eventos e gera alertas. Pontos fortes: visão ampla, retenção e evidência para auditoria. Limite: gera alertas, mas não responde sozinho. Saiba mais em o que é SIEM.
XDR em 1 minuto
Estende a detecção e resposta do endpoint (EDR) para outras camadas, como identidade, e-mail e nuvem. Pontos fortes: telemetria rica e resposta nativa, como isolar uma máquina ou derrubar uma sessão. Limite: cobertura concentrada no ecossistema do fabricante.
MDR em 1 minuto
Serviço gerenciado de detecção e resposta: analistas 24x7 fazem triagem, investigação, contenção e threat hunting usando as ferramentas do cliente ou do provedor.
Comparativo
| SIEM | XDR | MDR | |
|---|---|---|---|
| O que é | Ferramenta | Ferramenta | Serviço |
| Fontes de dados | Qualquer fonte de log | Endpoint, identidade, e-mail, nuvem | As ferramentas que opera |
| Resposta | Depende de integração ou SOAR | Nativa no ecossistema | Feita por pessoas, com playbooks |
| Quem opera | Sua equipe ou um provedor | Sua equipe ou um provedor | O provedor, 24x7 |
| Retenção e auditoria | Forte | Limitada | Conforme o contrato |
Onde entra o SOAR
O SOAR automatiza e orquestra a resposta: enriquece alertas, abre chamados e executa ações de contenção em várias ferramentas ao mesmo tempo.
Combinações comuns
- XDR + MDR: para quem quer resultado rápido com cobertura 24x7.
- SIEM + XDR + MDR: para setores regulados que precisam de retenção e evidência.
- SIEM próprio + MDR operando: para quem já investiu em SIEM e não tem equipe 24x7.
Erros comuns
- Comprar SIEM sem ter quem olhe os alertas.
- Contratar um "MDR" que só notifica e não contém.
- Não definir por contrato o que é detecção e o que é resposta.
Veja também MDR, MSSP ou XDR e conheça o CyberWatch, SOC 24x7 da Tripla.
