A diferença entre EDR, XDR e MDR não é de tamanho, é de natureza: EDR e XDR são categorias de tecnologia, MDR é categoria de serviço. Este guia explica o escopo de cada uma, o ponto cego de cada uma e a pergunta que realmente decide o investimento: você tem ferramenta, tem gente, ou tem os dois?
A diferença entre EDR, XDR e MDR não é de maturidade nem de tamanho. EDR e XDR são categorias de tecnologia: a primeira observa o endpoint, a segunda correlaciona endpoint, identidade, e-mail e nuvem na mesma linha do tempo. MDR é categoria de serviço: a camada humana que opera uma das duas, ou as duas.
Uma proposta chega com uma sigla dentro. Alguém do time de TI diz que a empresa precisa de XDR e o CFO pergunta o que muda em relação ao que já é pago hoje. A busca devolve, quase sempre, uma tabela de três colunas comparando as siglas como se fossem três produtos disputando o mesmo orçamento. Essa tabela está conceitualmente errada, e o erro custa dinheiro: é como comparar um carro, um carro com reboque e um motorista.
Corrigida a confusão, sobra a pergunta que decide o investimento: você tem ferramenta, tem gente, ou tem os dois? Este guia percorre o que cada camada enxerga, o que cada uma deixa passar, os limites que a documentação da Microsoft declara sobre cobertura contratada versus cobertura implantada, e os três cenários em que a empresa costuma se encontrar.
O erro que quase todo comparativo comete
Duas categorias de tecnologia e uma de serviço
A diferença entre as três siglas não é de tamanho nem de nível de maturidade. É de natureza.
EDR (Endpoint Detection and Response) é tecnologia. Coleta telemetria comportamental do endpoint, detecta comportamento suspeito nessa camada e permite responder no próprio host. Escopo: o endpoint.
XDR (Extended Detection and Response) também é tecnologia. Estende a mesma lógica para além do endpoint, correlacionando sinais de identidade, e-mail, aplicações em nuvem e cargas de trabalho, e costurando alertas dispersos em um único incidente. Escopo: múltiplos domínios correlacionados entre si.
MDR (Managed Detection and Response) não é tecnologia. É serviço. É a camada humana e de processo que opera EDR, XDR ou ambos: analistas que gerenciam a fila de incidentes, triam, investigam e executam a resposta ou conduzem o time do cliente por ela, inclusive fora do horário comercial. Escopo: a operação.
Por que a pergunta certa não é “qual sigla comprar”
EDR e XDR se comparam entre si, porque a decisão ali é de escopo de telemetria: enxergar só a máquina ou enxergar máquina, identidade, caixa de e-mail e nuvem na mesma linha do tempo. MDR responde a outra pergunta: quem senta na cadeira e trata o incidente. Uma empresa pode ter EDR sem MDR, XDR com MDR ou EDR com MDR. O que ela não pode é ter MDR sem tecnologia embaixo.
Para quem aprova o investimento, a consequência é direta: colocar as três siglas na mesma planilha leva à compra de mais plataforma quando o gargalo é operação.
EDR: o que o endpoint enxerga e o que ele não enxerga
Telemetria comportamental e detecção no host
O EDR parte de uma premissa explícita de assume breach. Em vez de apenas bloquear o que já é conhecido como malicioso, coleta telemetria comportamental do endpoint e mantém esse histórico disponível para investigação retroativa.
A documentação do Microsoft Defender for Endpoint detalha a coleta: processos, atividades de rede, kernel e memória, logon de usuário e mudanças em registro e sistema de arquivos, com retenção de seis meses. É o que permite ao analista voltar no tempo até o início do ataque.
Vale registrar o que ele não é: EDR não é log de auditoria. A documentação diz que a detecção não pretende gravar toda operação ocorrida no endpoint.
As ações de resposta que acontecem na máquina
O EDR fecha o ciclo agindo no próprio host: isolar o dispositivo da rede, colocar um arquivo em quarentena, rodar varredura, bloquear um indicador. O conjunto de ações varia conforme a oferta, então cheque o que a sua implantação de fato permite antes de assumir que “temos EDR”.
O ponto cego estrutural do EDR
O EDR enxerga o que passa pelo host. Essa é a definição dele, não um defeito.
Ele não enxerga o logon anômalo feito de um dispositivo não gerenciado, nem a regra de encaminhamento criada silenciosamente numa caixa de e-mail, nem o consentimento indevido concedido a uma aplicação OAuth. Nada disso toca o endpoint. O resultado prático em PMEs é conhecido: o EDR vira a única fonte de verdade sobre “estamos sendo atacados?”, e o ataque que não passa pela máquina não aparece em lugar nenhum.
Onde entra o Microsoft Defender for Endpoint
No stack Microsoft, o produto de EDR chama-se Microsoft Defender for Endpoint, e não “Defender ATP”, nome descontinuado. Ele é o pilar de endpoint que alimenta o portal unificado do Defender.
Consequência de negócio: o EDR resolve bem o vetor mais comum de comprometimento inicial e é investimento defensável. Ele apenas não deveria ser o único ponto de observação de quem roda identidade, e-mail e arquivos na nuvem. O escopo dessa camada está em proteção de endpoint com EDR.
XDR: o que muda quando os domínios são costurados
O ataque que passa despercebido em cada sinal isolado
A correlação entre domínios não melhora um pouco a detecção. Ela torna detectável o que era indetectável.
Segunda-feira, 9h12. Um usuário do financeiro autentica no Microsoft 365 a partir de um IP que nunca usou, com senha e MFA corretos. Sinal isolado: baixo risco, pode ser viagem ou home office.
9h31. Uma regra de caixa de entrada move mensagens com as palavras “boleto”, “pagamento” e “fatura” direto para uma pasta arquivada. Sinal isolado: usuário organizando o e-mail.
11h47. Do endpoint desse mesmo usuário, uma ferramenta administrativa legítima enumera compartilhamentos de rede. Sinal isolado: comportamento comum de TI.
14h20. Um arquivo é sincronizado para um repositório de nuvem pessoal. Sinal isolado: shadow IT.
Nenhum desses quatro sinais, sozinho, abre um incidente tratado com urgência. Costurados no mesmo usuário e na mesma janela de horas, eles descrevem uma fraude de pagamento em andamento, provavelmente originada em roubo de sessão.
Microsoft Defender XDR e o motor de correlação
O nome atual da plataforma é Microsoft Defender XDR. O nome antigo, “Microsoft 365 Defender”, saiu de circulação; vê-lo numa proposta já diz algo sobre quem a escreveu.
A Microsoft descreve o Defender XDR como uma suíte que coordena nativamente detecção, prevenção, investigação e resposta entre endpoints, identidades, e-mail e aplicações, reunindo sinais de Defender for Endpoint, Defender for Office 365, Defender for Identity, Defender for Cloud Apps e Microsoft Entra ID Protection.
Os motores de correlação do portal agregam automaticamente alertas relacionados em incidentes, contêineres que contam a história completa do ataque, com linha do tempo, táticas e evidências. Sobre sinais de alta confiança, a plataforma executa interrupção automática de ataque: isolar o dispositivo, desabilitar a conta comprometida. A função da inteligência artificial aqui é concreta, agrupar sinais dispersos em um incidente único.
A ressalva que ninguém conta: correlação só existe sobre o que está licenciado e conectado
A documentação da Microsoft é literal: “Microsoft Defender XDR correlates signals from Microsoft security products that you have licensed and provisioned access to”. A plataforma correlaciona sinais dos produtos que você licenciou e provisionou.
XDR contratado não é igual a XDR cobrindo.
Se identidade, e-mail e aplicações em nuvem não estão conectados, a correlação entre domínios é correlação de um domínio só. O agravante é psicológico antes de ser técnico: a empresa acredita estar coberta e desliga o senso de urgência. Falsa sensação de proteção é pior que ausência de proteção.
Consequência de negócio: cobertura parcial custa o preço da plataforma completa e entrega a detecção da parcial. É a versão de segurança da analogia que uso com frequência, comprar a Ferrari e andar de Fusca. Só que aqui o preço do engano não é produtividade perdida, é incidente não detectado.
MDR: a camada que não é software
Quem tria, quem escala, quem responde às 3h da manhã
MDR é o que acontece depois que a tecnologia gera o incidente. É onde a maior parte das PMEs quebra.
Um incidente de alta severidade não escolhe horário. Às 3h de um sábado, o alerta existe, o painel está aceso, e não há ninguém olhando. A janela entre detecção e contenção é o intervalo em que o ataque avança. Ferramenta não fecha essa janela. Turno fecha.
MDR não substitui a ferramenta, opera sobre ela
A definição da Microsoft para o Defender Experts MDR descreve bem a categoria: analistas gerenciam a fila de incidentes 24 horas por dia, triam e investigam em nome do cliente e tomam a ação ou conduzem o time pela resposta. E uma frase ali desarma a objeção mais comum: o serviço aumenta o seu SOC em vez de substituí-lo. MDR não é terceirização de responsabilidade, é adição de capacidade. O SOC é onde essa operação acontece, tema de monitoramento de segurança e SOC.
Microsoft Defender Experts MDR e o que ele cobre (e o que não cobre)
O nome correto é Microsoft Defender Experts MDR. O Plan 1 é o serviço antes oferecido como Defender Experts for XDR, depois renomeado; o serviço é o mesmo, só o nome mudou. O Plan 2 estende a mesma operação a telemetria não-Microsoft coletada no Microsoft Sentinel, pré-requisito desse plano. Sentinel, nunca “Azure Sentinel”.
Dois limites declarados que raramente aparecem em material comercial:
- Cobertura depende de deployment, não de contrato. Os pré-requisitos oficiais exigem licenciar e implantar ao menos um produto elegível em modo ativo. Produtos em modo passivo podem ser não-acionáveis: cabe orientação de resposta, não ação de remediação em seu nome. É a ressalva do XDR aplicada ao serviço.
- Fronteiras de escopo. O serviço não é engajamento de resposta a incidente para comprometimento já ativo, e nenhum dos planos cobre cargas de Defender for Cloud.
Conhecer esses limites evita a pior conversa possível, a que acontece depois do incidente, quando se descobre que a cobertura contratada não era a cobertura implantada.
Tabela-resumo: escopo, natureza e o que cada sigla resolve
| EDR | XDR | MDR | |
|---|---|---|---|
| Natureza | Tecnologia | Tecnologia | Serviço |
| Escopo | Endpoint | Endpoint, identidade, e-mail, nuvem e aplicação | Opera EDR e/ou XDR |
| Responde a | “O que aconteceu nesta máquina?” | “Estes eventos dispersos são o mesmo ataque?” | “Quem trata isso, e quando?” |
| Ponto cego | O que não toca o host | O que não está licenciado e conectado | Não existe sem tecnologia embaixo |
| Exemplo Microsoft | Microsoft Defender for Endpoint | Microsoft Defender XDR | Microsoft Defender Experts MDR |
A pergunta prática: você tem ferramenta, tem gente, ou tem os dois?
Cenário 1: tem ferramenta, não tem operação
É o mais frequente nas empresas de 50 a 500 colaboradores. A licença existe, o agente está implantado, o painel funciona. O que não existe é fila tratada. Comprar mais plataforma não muda nada; o que muda o resultado é operação sobre a tecnologia já paga.
Cenário 2: tem operação, mas telemetria parcial
O time trata os alertas, mas a telemetria vem só do endpoint, ou o Defender XDR está no contrato com identidade e e-mail desconectados. O investimento correto é de escopo de telemetria, não de gente. Conectar os domínios já licenciados costuma ser a intervenção de maior retorno e menor custo do portfólio de segurança.
Cenário 3: não tem nenhum dos dois
Antivírus tradicional, backup razoável e esperança. A ordem importa: primeiro a tecnologia de detecção em modo ativo, depois a operação sobre ela. Contratar serviço sem telemetria é pagar por analista que não tem o que olhar.
Ferramenta sem operação não reduz risco
O custo de um alerta que ninguém abriu
A licença é paga integralmente todo mês. A detecção só vira redução de risco no instante em que alguém tria, decide e contém. Entre o alerta e a ação existe um intervalo, e esse intervalo é o número que importa. Empresa sem operação dedicada não o tem medido; tem o intervalo do próximo dia útil.
Não é falha do time interno. Uma PME de 50 a 500 colaboradores costuma ter de um a cinco profissionais de TI cobrindo suporte, infraestrutura, projetos e, no que sobra, segurança. É aritmética.
O relógio regulatório: três dias úteis da LGPD
A Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis, contados do conhecimento do incidente, para comunicação à ANPD e aos titulares quando houver risco ou dano relevante. Três dias úteis para saber o que aconteceu, quais dados foram afetados e o que foi feito.
Sem operação de detecção e sem trilha de investigação, a empresa não descobre o incidente a tempo nem monta a comunicação com a qualidade exigida. Detecção deixou de ser assunto de TI e virou exposição jurídica do CEO e do CFO. No conselho, ninguém pergunta quantos alertas foram correlacionados. Perguntam quantas horas a operação ficou parada e o que foi comunicado ao regulador.
Como a Qualiserve trata essa decisão
Operamos NOC próprio com mais de 20.000 dispositivos monitorados. Quem trabalha com fila de incidentes nessa escala fala de operação por prática, não por datasheet. Foi a transição que fizemos em nós mesmos em 2019, ao virar o modelo de break-fix reativo para serviços gerenciados proativos.
Por isso nossa conversa não começa por sigla nem por licença. Começa por três perguntas: o que está licenciado, o que está efetivamente implantado em modo ativo e quem responde quando o alerta dispara. O trabalho é operação sobre a plataforma Microsoft, dentro do território de segurança e governança que sustenta Defender, Sentinel, Entra ID, Purview, Intune e Zero Trust.
A decisão não é entre três siglas. É entre ter ferramenta, ter gente ou ter os dois. Ferramenta sem operação não reduz risco, reduz orçamento.
Antes de decidir por qualquer sigla, vale saber o que você já tem. Conduzimos um assessment de detecção e resposta que mapeia esses pontos, incluindo quem responde às três da manhã. Se o seu ponto de partida é o endpoint, comece por proteção de endpoint com EDR. Se prefere falar direto, o WhatsApp é 11 4941-1500.
Perguntas frequentes
XDR substitui o EDR?
Não. O XDR incorpora a telemetria de endpoint e a correlaciona com identidade, e-mail, nuvem e aplicações. O EDR segue como fonte de sinal do host dentro do XDR. Não é troca, é englobamento.
MDR substitui meu time de TI?
Não. A própria Microsoft descreve o Defender Experts MDR como um serviço que aumenta o seu SOC em vez de substituí-lo. O time interno segue dono do contexto de negócio e das decisões.
Posso ter MDR sem ter EDR ou XDR?
Não. MDR é operação sobre telemetria: sem tecnologia de detecção implantada, não há o que operar.
Tenho Microsoft 365 com Defender. Já tenho XDR?
Depende do que está licenciado e conectado. O Defender XDR correlaciona sinais dos produtos de segurança Microsoft que você licenciou e provisionou. Se identidade, e-mail e aplicações em nuvem não estão integrados, a correlação entre domínios não acontece.
Qual a diferença entre Microsoft Defender XDR e Microsoft Defender Experts MDR?
O primeiro é a plataforma de detecção e correlação. O segundo é o serviço gerenciado, com analistas operando os incidentes. Um é o que detecta; o outro é quem opera.
Meu antivírus já não faz isso?
Antivírus tradicional bloqueia o que é conhecido. O EDR detecta comportamento suspeito mesmo sem assinatura prévia e permite investigar e responder no host. São camadas complementares.
Por onde uma empresa de 50 a 300 colaboradores começa?
Pelo diagnóstico: o que já está licenciado, o que está implantado em modo ativo e quem responde quando o alerta dispara. Na maioria dos casos que vemos, a lacuna é operação, não ferramenta.
