Detecção e resposta a ameaças: EDR, XDR e MDR
Prevenir não é suficiente. Detectar cedo e responder rápido reduz o impacto de um incidente. Veja como os modelos se diferenciam.
Por mais que uma empresa invista em prevenção, parte dos ataques vai passar. Por isso, detecção e resposta a ameaças virou uma capacidade central de segurança: identificar atividade maliciosa cedo e reagir rápido reduz muito o impacto de um incidente. A diferença entre uma intrusão contida em minutos e uma que dura semanas costuma estar na detecção, não na prevenção.
O mercado descreve essa capacidade com várias siglas, e isso confunde. EDR, XDR e MDR resolvem o mesmo problema por caminhos diferentes. Este guia explica o que cada modelo significa, o papel do SIEM e dos casos de uso, como medir a eficácia da detecção e como uma empresa pode montar uma capacidade mínima de detecção e resposta sem precisar de uma estrutura gigante para começar.
Detecção e resposta, além da prevenção
Controles de prevenção, como firewall, WAF e hardening, reduzem a chance de um ataque ter sucesso, mas não eliminam o risco. Detecção e resposta parte de uma premissa realista: em algum momento algo vai passar, e o que importa é perceber a tempo e agir. Sem essa camada, incidentes passam despercebidos por dias ou semanas, e o custo cresce com o tempo de permanência do atacante.
A capacidade tem dois lados que andam juntos. A detecção identifica sinais de atividade suspeita a partir de logs e telemetria. A resposta define o que fazer quando um alerta relevante surge, da triagem à contenção. Uma sem a outra tem valor limitado: detectar sem responder gera alertas que ninguém trata, e responder sem detectar significa reagir tarde, depois do dano.
EDR, XDR e MDR: o que muda
As três siglas descrevem abordagens de detecção e resposta com escopos diferentes. A escolha depende do ambiente, da maturidade e de quem vai operar o dia a dia.
- EDR (endpoint detection and response): foca o endpoint (estações e servidores), com telemetria detalhada de processos, arquivos e rede do host.
- XDR (extended detection and response): correlaciona sinais de várias fontes (endpoint, rede, nuvem e aplicações) para dar contexto e reduzir pontos cegos.
- MDR (managed detection and response): é o modelo gerenciado, em que um time dedicado opera a detecção e a resposta de forma contínua para o cliente.
EDR e XDR são, antes de tudo, sobre escopo de telemetria: o quanto a detecção enxerga. MDR é sobre operação: quem cuida disso no dia a dia. Por isso as siglas não são excludentes. É comum uma empresa usar XDR como tecnologia e contratar MDR para operar a detecção que não consegue manter internamente.
O papel do SIEM e dos casos de uso
O SIEM (security information and event management) centraliza logs de várias fontes e permite correlacionar eventos para detectar padrões de ataque. Sozinho, porém, um SIEM não detecta nada: o que gera valor são os casos de uso, ou seja, as regras e cenários de detecção desenhados para o seu ambiente e alinhados a técnicas de ataque conhecidas.
Casos de uso mal definidos produzem ou ruído demais ou silêncio perigoso. O caminho é priorizar os cenários mais prováveis para o seu contexto, referenciando uma base como o MITRE ATT&CK, e refinar as regras com o tempo. Detecção boa é a que gera poucos alertas, mas alertas que merecem atenção.
- Centralizar logs essenciais de nuvem, rede, aplicações e endpoints
- Definir casos de uso para os cenários de ataque mais prováveis
- Referenciar o MITRE ATT&CK para orientar a cobertura de detecção
- Refinar regras continuamente para reduzir falsos positivos
- Reter logs o suficiente para investigar quando preciso
MTTD e MTTR: medir para melhorar
Duas métricas resumem a saúde de uma capacidade de detecção e resposta: o tempo até detectar (MTTD) e o tempo até responder (MTTR). Quanto menores, menor a janela em que um atacante age sem ser incomodado. Elas não precisam de instrumentação sofisticada para começar a fazer sentido: mesmo uma medição simples revela se a detecção chega em minutos ou só descobre o incidente depois do dano.
O objetivo não é perseguir um número perfeito, e sim enxergar tendência. Se o tempo de detecção cai a cada trimestre, a capacidade está amadurecendo. Se um tipo de incidente sempre demora a ser percebido, ali está a lacuna de cobertura a priorizar.
- MTTD: tempo entre o início da atividade suspeita e a detecção
- MTTR: tempo entre a detecção e a contenção do incidente
- Meça por tipo de cenário para achar onde a cobertura falha
- Acompanhe a tendência, não apenas o valor isolado
Threat hunting e resposta automatizada
Detecção baseada só em regras enxerga o que já foi previsto. O threat hunting complementa isso: uma busca ativa por sinais de comprometimento que ainda não viraram alerta, partindo de hipóteses sobre como um atacante agiria no seu ambiente. Não substitui a detecção automática, mas encontra o que passou por ela.
Do outro lado está a automação de resposta, às vezes chamada de SOAR. Ela encadeia ações repetitivas, como enriquecer um alerta, abrir um chamado ou isolar um host, reduzindo o tempo entre detectar e agir. O cuidado é automatizar primeiro o que é repetitivo e de baixo risco de erro, mantendo decisão humana para ações de impacto amplo, porque uma ação automática errada amplia o problema em vez de conter.
- Threat hunting: busca ativa por sinais que os alertas não pegaram
- Parta de hipóteses alinhadas a técnicas do MITRE ATT&CK
- Automatize primeiro o repetitivo e de baixo risco de erro
- Mantenha aprovação humana para respostas de impacto amplo
Detecção e resposta na nuvem
Em ambientes de nuvem, a detecção depende de habilitar e coletar as fontes certas. Em AWS, serviços como CloudTrail, GuardDuty e Security Hub fornecem telemetria e achados que alimentam a detecção. O desafio costuma ser menos a falta de dados e mais a falta de casos de uso que transformem esses dados em alertas acionáveis.
Detecção e resposta na nuvem também exige atenção à identidade. Boa parte dos incidentes em nuvem passa por credenciais e permissões, então monitorar uso de credenciais, mudanças de política e acessos anômalos é tão importante quanto observar tráfego de rede.
Interno, MDR ou modelo híbrido
A decisão entre operar a detecção internamente ou contratar um MDR raramente é tudo ou nada. Detecção e resposta exige cobertura contínua, inclusive fora do horário comercial, e poucos times conseguem manter isso sozinhos sem desgaste. Ao mesmo tempo, quem conhece o ambiente é a sua equipe. O modelo híbrido, em que um parceiro opera a vigilância contínua e o time interno cuida do contexto e das decisões de negócio, costuma equilibrar custo e conhecimento.
- Operação interna: exige equipe, plantão e maturidade para sustentar
- MDR: transfere a vigilância contínua para um parceiro dedicado
- Híbrido: parceiro na vigilância, time interno no contexto e nas decisões
- Decida pela capacidade real da equipe, não pelo modelo ideal no papel
Como montar uma capacidade mínima
Uma empresa não precisa de um centro de operações completo para começar. Uma capacidade mínima de detecção e resposta cabe em poucos passos: garantir os logs essenciais, definir um punhado de casos de uso de alto valor e ter um plano simples de resposta para os incidentes mais prováveis. A partir disso, a cobertura cresce por prioridade.
- Habilitar e centralizar os logs essenciais do ambiente
- Definir poucos casos de uso de detecção de alto valor
- Ter um plano de resposta simples, com responsáveis claros
- Escolher o modelo de operação (interno, MDR ou híbrido) conforme a equipe
- Evoluir a cobertura por prioridade, sem tentar tudo de uma vez
Checklist prático
- Tratar detecção e resposta como complemento da prevenção
- Habilitar e centralizar os logs essenciais
- Definir casos de uso para os cenários mais prováveis
- Referenciar o MITRE ATT&CK para orientar a cobertura
- Monitorar identidade e uso de credenciais na nuvem
- Refinar regras para reduzir falsos positivos
- Medir o tempo de detecção e de resposta por cenário
- Prever busca ativa (threat hunting) além dos alertas automáticos
- Definir o que automatizar sem tirar decisão humana do que tem impacto
- Ter um plano de resposta com responsáveis claros
- Escolher entre operação interna, MDR ou híbrido conforme a equipe
Boas práticas
- Parta da premissa de que algo vai passar e prepare a detecção
- Prefira poucos casos de uso bons a muitas regras ruidosas
- Use o MITRE ATT&CK como referência de cobertura
- Meça tempo de detecção e resposta para orientar a evolução
- Dê atenção especial à identidade em ambientes de nuvem
- Considere o modelo híbrido quando faltar plantão para operação interna
- Garanta visibilidade antes de investir em automação avançada
- Comece com uma capacidade mínima e evolua por prioridade
Erros comuns
Investir só em prevenção, sem detecção
Incidentes passam despercebidos e o atacante permanece por semanas.
Comprar um SIEM sem definir casos de uso
A ferramenta coleta logs, mas não detecta nada de útil.
Excesso de regras ruidosas
Fadiga de alertas faz a equipe ignorar o que realmente importa.
Não medir tempo de detecção nem de resposta
Impossível saber se a capacidade melhora ou onde estão as lacunas.
Automatizar resposta de alto impacto sem revisão
Uma ação automática errada amplia o problema em vez de conter.
Ignorar identidade na detecção em nuvem
Acessos e credenciais comprometidas passam sem alerta.
Logs com retenção curta demais
Investigação inviável quando o incidente é descoberto depois.
Quando procurar apoio especializado
O serviço de Detecção e Resposta a Ameaças da GUARDIASEC estrutura fontes de log, casos de uso de detecção e fluxos de resposta com SIEM e XDR, priorizando visibilidade acionável. A operação contínua no modelo MDR pode ser conduzida pela sua equipe ou por um parceiro.
Perguntas frequentes
Qual a diferença entre EDR, XDR e MDR?
EDR foca a detecção no endpoint, com telemetria detalhada de estações e servidores. XDR amplia o escopo e correlaciona sinais de várias fontes, como endpoint, rede, nuvem e aplicações, para dar mais contexto. MDR é o modelo gerenciado, em que um time dedicado opera a detecção e a resposta de forma contínua. EDR e XDR descrevem o alcance da telemetria; MDR descreve quem opera. Por isso eles se combinam com frequência.
Preciso de um SIEM para ter detecção e resposta?
Um SIEM ajuda muito a centralizar logs e correlacionar eventos, mas a peça que realmente detecta são os casos de uso desenhados para o seu ambiente. Sem regras e cenários bem definidos, o SIEM apenas guarda dados. É possível começar com uma capacidade mínima usando as fontes nativas da sua nuvem e poucos casos de uso de alto valor, e evoluir a partir daí.
Detecção e resposta na nuvem é diferente?
Os princípios são os mesmos, mas as fontes mudam. Na nuvem, a detecção depende de habilitar serviços como CloudTrail, GuardDuty e Security Hub em AWS e de monitorar identidade e uso de credenciais, já que boa parte dos incidentes em nuvem passa por permissões e acessos. O foco é transformar a telemetria disponível em casos de uso acionáveis.
O que são MTTD e MTTR?
São duas métricas que medem a eficácia da detecção e resposta. MTTD (mean time to detect) é o tempo médio entre o início de uma atividade suspeita e o momento em que ela é detectada. MTTR (mean time to respond) é o tempo médio entre a detecção e a contenção do incidente. Quanto menores, menor a janela em que um atacante age sem ser percebido. Acompanhar a tendência dessas métricas, por tipo de cenário, mostra se a capacidade está amadurecendo e onde estão as lacunas de cobertura.
Preciso de uma equipe funcionando o tempo todo para ter detecção e resposta?
Detecção e resposta exige cobertura contínua, porque ataques não respeitam horário comercial, mas isso não significa que a sua empresa precise montar uma equipe própria de plantão. Muitas organizações não conseguem sustentar essa operação internamente sem desgaste. O modelo gerenciado (MDR) transfere a vigilância contínua para um parceiro, e o modelo híbrido combina esse parceiro com o time interno, que conhece o ambiente e toma as decisões de negócio. A escolha depende da capacidade real da equipe.
O que é threat hunting?
Threat hunting é a busca ativa por sinais de comprometimento que ainda não geraram um alerta automático. Em vez de esperar uma regra disparar, o analista parte de hipóteses sobre como um atacante agiria no ambiente, muitas vezes orientado por técnicas do MITRE ATT&CK, e procura evidências nos logs e na telemetria. Ele complementa a detecção baseada em regras, encontrando o que passou por ela, mas não a substitui: as duas abordagens juntas cobrem mais do que qualquer uma sozinha.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.