O que é MDR (Managed Detection and Response) e como funciona
MDR (Managed Detection and Response) é um serviço gerenciado em que um provedor especializado monitora o ambiente 24x7, detecta e investiga ameaças e orienta ou executa a resposta a incidentes em nome da empresa. Diferente de uma ferramenta, o MDR entrega operação: pessoas, processos e tecnologia (SIEM, EDR/XDR, SOAR e threat intelligence) funcionando juntos, com SLA contratual.
Como funciona um serviço de MDR na prática
Um MDR maduro segue o mesmo ciclo em cada caso:
- Coleta: logs e telemetria de endpoints, servidores, nuvem, identidade, e-mail, rede e aplicações chegam ao SIEM.
- Detecção: regras mapeadas ao MITRE ATT&CK, análise comportamental e threat intelligence geram alertas.
- Triagem: alertas relacionados são agrupados e o ruído conhecido é descartado.
- Investigação: o analista monta o contexto do caso, confirma ou descarta o incidente e define a severidade.
- Notificação: a empresa recebe o que aconteceu, as evidências e o passo a passo de contenção.
- Contenção e resposta: executadas pelo provedor, quando contratado e com playbook aprovado, ou pelo time do cliente com orientação do SOC.
- Melhoria contínua: cada incidente vira detecção nova, ajuste de regra ou caso de uso.
MDR, EDR, XDR, SIEM e SOC: qual a diferença
| Termo | O que é | Quem opera |
|---|---|---|
| EDR | Ferramenta de detecção e resposta em endpoints | O time do cliente |
| XDR | Ferramenta que correlaciona endpoint, e-mail, rede e nuvem | O time do cliente |
| SIEM | Plataforma que centraliza e correlaciona logs | O time do cliente ou um provedor |
| SOC | A operação (pessoas e processos) que monitora a segurança | Interno ou terceirizado |
| MDR | Serviço gerenciado de detecção e resposta, operado por um SOC externo | O provedor, com SLA |
Em resumo: EDR, XDR e SIEM são tecnologias; SOC é a operação; MDR é a operação contratada como serviço, com responsabilidade pelo resultado.
O que avaliar antes de contratar um MDR
- SLA medido caso a caso: pergunte quais relógios o contrato mede (reconhecimento, notificação, contenção e resolução) e onde você acompanha.
- Quem executa a contenção: o provedor age no seu ambiente? Com que aprovação prévia e com quais playbooks?
- Cobertura de fontes: quais famílias de log entram no escopo e como os pontos cegos são revisados.
- Threat hunting: existe busca proativa por ameaças ou só reação a alertas?
- Qualidade da notificação: o alerta chega com severidade, evidências, técnica MITRE ATT&CK e passo a passo, ou só com um e-mail genérico?
- Conformidade: relatórios alinhados a LGPD, PCI DSS e NIST e apoio na comunicação com ANPD e reguladores.
- Operação e certificações: equipe 24x7 em português e certificações do próprio provedor.
MDR com IA: o que muda
A IA muda a escala do MDR. Agentes de IA especializados assumem tarefas repetitivas como triagem, enriquecimento de indicadores e rascunho da notificação, e o analista fica com a decisão. O ponto de atenção é quem decide: em um MDR responsável, nenhuma notificação ou ação no ambiente do cliente sai sem validação humana.
Como o CyberWatch entrega MDR
O CyberWatch é o MDR e SOC as a Service da Tripla, com SOC 24x7 brasileiro e operação multiagente de IA (CyberWatch MA). A detecção é automatizada e acontece em segundos, do evento coletado ao alerta. Seis agentes de IA cuidam de triagem, inteligência, investigação, comunicação, contenção e governança do SLA, e o analista decide. O SLA é contratual por severidade e medido caso a caso no portal. A Tripla tem certificações ISO/IEC 27001, ISO 22301, ISO/IEC 20000-1 e SOC 2.
Conheça o serviço de MDR · SOC as a Service · CyberWatch na Tripla
Perguntas frequentes
O que significa MDR?
MDR é a sigla de Managed Detection and Response, ou detecção e resposta gerenciadas: um serviço em que um provedor monitora, investiga e responde a ameaças 24x7 em nome da empresa.
MDR substitui o EDR?
Não. O EDR é uma das fontes de telemetria que o MDR opera. O MDR acrescenta a operação 24x7, a correlação com outras fontes e a resposta com SLA.
MDR é o mesmo que SOC as a Service?
São modelos próximos. SOC as a Service descreve a operação do SOC entregue como serviço; MDR enfatiza a responsabilidade pela detecção e pela resposta. Na prática, muitos provedores, como o CyberWatch, entregam os dois.
Quanto tempo leva para implantar um MDR?
A implantação começa pelas fontes e casos de uso prioritários e evolui nas semanas seguintes. O prazo depende do número de fontes de log e da complexidade do ambiente.