EDR, XDR, MDR — czym się różnią i co wybrać

EDR, XDR i MDR to trzy skróty, które w ostatnich latach zdominowały rozmowy o wykrywaniu zagrożeń. Brzmią podobnie, często pojawiają się w jednym zdaniu — i właśnie dlatego łatwo je pomylić. A różnica jest istotna, bo dotyczy dwóch różnych rzeczy: zakresu tego, co system widzi, oraz tego, kto faktycznie na te sygnały reaguje.

Najkrócej jak się da: EDR patrzy na urządzenia końcowe, XDR rozszerza ten obraz na całe środowisko, a MDR to usługa — ludzie, którzy robią to za Ciebie. Poniżej rozkładamy każdy z nich na czynniki pierwsze.

EDR — wszystko zaczyna się od urządzenia końcowego

EDR (Endpoint Detection and Response) to następca klasycznego antywirusa. Zamiast tylko porównywać pliki z bazą znanych sygnatur, EDR nieustannie rejestruje, co dzieje się na urządzeniu: uruchamiane procesy, połączenia sieciowe, zmiany w rejestrze, zachowania aplikacji. Na tej podstawie wykrywa podejrzane wzorce zachowań, a nie tylko znane złośliwe pliki — dlatego radzi sobie z atakami bezplikowymi i zagrożeniami, których nikt wcześniej nie widział.

Kluczowe jest drugie słowo — Response. EDR nie tylko alarmuje, ale pozwala zareagować: odizolować zainfekowaną maszynę od sieci, zatrzymać złośliwy proces, cofnąć zmiany. To wszystko dzieje się jednak w granicach jednego typu źródła — urządzeń końcowych. Więcej o samej warstwie ochrony piszemy na stronie ochrony urządzeń końcowych.

XDR — ten sam pomysł, szerszy horyzont

Problem z podejściem czysto endpointowym polega na tym, że współczesny atak rzadko rozgrywa się tylko na jednym laptopie. Zaczyna się od phishingu w poczcie, przechodzi przez konto użytkownika, rozlewa po sieci, sięga do chmury. Jeśli każde z tych źródeł ma osobne narzędzie i osobną konsolę, analityk widzi rozsypane puzzle, a nie obraz.

XDR (Extended Detection and Response) rozwiązuje to, zbierając telemetrię z wielu warstw — urządzeń końcowych, sieci, poczty, chmury i tożsamości — do jednego miejsca i korelując ją. Zamiast dziesięciu oddzielnych alertów z pięciu narzędzi dostajesz jeden incydent z pełną historią: skąd atakujący wszedł, co zrobił dalej, co jest zagrożone. To skraca czas wykrycia i reakcji, bo analityk nie musi ręcznie „sklejać” zdarzeń między systemami.

W praktyce u wielu dostawców EDR i XDR to warstwy tego samego systemu, zarządzane z jednej konsoli — na przykład w platformie Sophos Central (od lipca 2026 platforma nosi nazwę Sophos Fusion — wyjaśniamy zmianę). Włączasz ochronę endpointów, a następnie rozszerzasz obraz o kolejne źródła, bez wymiany narzędzia.

MDR — technologia to nie wszystko, potrzebni są ludzie

EDR i XDR to technologie. MDR (Managed Detection and Response) to usługa — i to jest fundamentalna różnica. Nawet najlepsza platforma XDR wymaga kogoś, kto patrzy na alerty, odróżnia realny incydent od szumu i reaguje o trzeciej w nocy, gdy Twój zespół śpi.

MDR dostarcza właśnie to: zewnętrzny zespół Security Operations Center (SOC), który 24 godziny na dobę monitoruje Twoje środowisko, prowadzi threat hunting, a w razie ataku podejmuje działania w Twoim imieniu — zgodnie z wcześniej ustalonymi zasadami. Dla większości firm, które nie mają własnego całodobowego SOC (a to zdecydowana większość), MDR jest jedynym realnym sposobem, by mieć ochronę na poziomie, który technologia XDR w ogóle umożliwia. Piszemy o tym szerzej przy zarządzaniu usługami bezpieczeństwa.

Kiedy który wybrać?

To nie jest wybór „albo — albo”, tylko kwestia dopasowania do skali i zasobów:

• EDR — sensowne minimum dla każdej firmy, która chce wyjść poza zwykły antywirus. Sprawdza się, jeśli masz zespół IT zdolny reagować na alerty.
• XDR — gdy chcesz widzieć cały łańcuch ataku, a nie tylko końcówkę, i masz do skorelowania kilka źródeł (poczta, sieć, chmura, tożsamość).
• MDR — gdy nie masz własnego całodobowego SOC albo chcesz, by ktoś realnie reagował za Ciebie. Można je dołożyć zarówno do EDR, jak i XDR.

W praktyce EDR i XDR często są fundamentem technologicznym, a MDR — warstwą usługową na wierzchu. Wiele firm zaczyna od EDR, rozszerza do XDR, a obsługę zleca w modelu MDR, bo utrzymanie własnego SOC jest nieopłacalne. Jeśli te skróty przewijają się też przy temacie SIEM i zgodności z NIS2 — to nie przypadek: udokumentowana, całodobowa reakcja jest dokładnie tym, czego oczekują regulatorzy i ubezpieczyciele.