MDR (Managed Detection and Response) — это услуга, при которой внешняя команда ведет мониторинг вашей инфраструктуры, выявляет атаки и помогает на них реагировать. XDR (Extended Detection and Response) — это подход и класс систем, которые собирают данные из нескольких источников (рабочих мест, сети, почты, облака) и анализируют их совместно. Коротко: MDR — услуга и люди, XDR — технология и данные.
Статья помогает разобраться в терминах, понять, чем они отличаются от EDR и центра мониторинга, и выбрать модель для организации. Сравнение EDR, XDR и MDR в общем виде дано в статье «EDR, XDR и MDR: чем отличаются и что выбрать». Здесь акцент на выборе и на том, какие навыки нужны команде при любом решении.
Как связаны EDR, XDR, MDR и SOC
| Термин | Что это | Кто работает |
|---|---|---|
| EDR | Средство обнаружения и реагирования на рабочих местах и серверах | Ваша команда или поставщик услуги |
| XDR | Расширение идеи EDR на другие источники: почту, сеть, облако | Ваша команда или поставщик услуги |
| MDR | Услуга мониторинга и реагирования | Команда поставщика |
| SOC | Центр мониторинга как организационная единица | Ваша команда, внешняя или смешанная |
Термины находятся на разных уровнях. EDR и XDR — технологии. MDR — способ получить результат с помощью внешней команды. SOC — организационная форма, внутри которой могут использоваться все эти средства. Об устройстве центра мониторинга читайте в статье «Что такое SOC», а о защите рабочих мест — в материале «Что такое EDR».
Что такое XDR на практике
Смысл XDR в том, чтобы не переключаться между системами. Если аналитик видит подозрительное письмо, процесс на компьютере и сетевое соединение в разных консолях, ему нужно вручную собрать картину. XDR старается сделать это автоматически: события связываются в один инцидент.
Пример. Сотрудник открывает вложение из письма, на его компьютере запускается скрипт, а затем компьютер обращается к неизвестному адресу. Без единой картины это три отдельных сигнала от почтового шлюза, защиты рабочего места и сетевого экрана, и каждый ждет своей очереди. С XDR аналитик видит один инцидент с цепочкой от письма до соединения и решает, что делать, за один заход.
Что стоит учитывать:
- Границы термина размыты, и разные поставщики вкладывают в него разный смысл. При выборе уточняйте, какие именно источники подключаются и какие действия можно выполнить из единой консоли.
- Эффект зависит от качества данных. Если источник не подключен, XDR его не видит.
- Технология не отменяет аналитиков. Кто-то должен проверять инциденты и принимать решения.
Что такое MDR на практике
В модели MDR поставщик берет на себя часть функций центра мониторинга: следит за событиями, анализирует сигналы, уведомляет вас об инцидентах, а иногда выполняет действия по реагированию. Состав услуги и границы ответственности различаются, поэтому их нужно фиксировать в договоре.
Вопросы, которые стоит задать поставщику:
- Какие источники вы подключаете и что происходит, если нужного источника нет?
- Какие действия вы выполняете сами, а какие согласуете с нами?
- Как быстро вы реагируете и как это измеряется?
- Что мы получаем по итогам инцидента: описание, рекомендации, хронологию?
- Где хранятся наши данные и кто к ним имеет доступ?
- Как проходит передача дел, если мы решим сменить поставщика?
Третий вопрос самый важный. Сроки реагирования, обещанные в презентации, должны попасть в договор с описанием того, как они измеряются: от какого момента идет отсчет и что считается началом реагирования. Любая цифра без способа измерения мало что значит.
Как делят работу в смешанной модели
Чаще всего договариваются о разделении по этапам инцидента. Пример распределения, которое можно взять за основу и скорректировать:
| Этап | Поставщик | Ваша команда |
|---|---|---|
| Мониторинг (круглосуточный или в согласованные часы) | Принимает сигналы, отбирает значимые | Получает уведомления и подтверждает получение |
| Первичный анализ | Определяет, ложное ли срабатывание, и описывает находки | Дает контекст: чей это компьютер и что на нем должно работать |
| Изоляция узла | Предлагает или выполняет по заранее согласованному списку | Решает по критичным системам, где остановка влияет на бизнес |
| Расследование | Помогает установить масштаб | Предоставляет доступы и подтверждает выводы |
| Отчет и улучшения | Присылает хронологию и рекомендации | Вносит изменения в настройки и регламенты |
Ключевое слово здесь «заранее согласованному»: список систем, которые поставщик может изолировать без звонка, и список систем, для которых нужно ваше подтверждение, фиксируют до первого инцидента. Иначе ночью вы потеряете время на выяснение, кто вправе принять решение.
Как выбрать модель
| Ситуация | Что обычно подходит |
|---|---|
| Нет собственных аналитиков, нужен быстрый старт | Услуга MDR |
| Есть команда ИБ, но не хватает ночных смен | Смешанная модель: ваша команда днем, поставщик ночью |
| Много источников данных и своя зрелая команда | Собственный SOC на базе XDR или EDR с системой корреляции |
| Жесткие требования к размещению данных | Собственный контур, возможно с поддержкой поставщика |
| Небольшая инфраструктура, ограниченный бюджет | Начать с защиты рабочих мест и расширять по мере роста |
Решение зависит от требований регулятора, бюджета, наличия людей и готовности делить ответственность. Если вы выбираете сам продукт для защиты рабочих мест, критерии собраны в статье «Как выбрать EDR: критерии и чек-лист для оценки решения».
Что зафиксировать в договоре
- Перечень подключаемых источников и сроки подключения новых.
- Действия по реагированию, которые поставщик выполняет самостоятельно.
- Способ измерения времени реагирования и формат отчета по каждому инциденту.
- Место хранения данных, срок хранения и порядок удаления при расторжении.
- Порядок передачи накопленных знаний, если вы смените поставщика.
Что остается вашей задачей при любой модели
Даже при услуге MDR организации нужны специалисты, которые:
- ставят задачи поставщику и принимают отчеты;
- знают свою инфраструктуру и критичные системы, чтобы быстро отвечать на вопросы по инцидентам;
- согласуют действия по реагированию;
- проверяют, что услуга действительно закрывает риски;
- развертывают и поддерживают сами средства защиты на рабочих местах.
Услуга меняет состав компетенций: меньше круглосуточного разбора сигналов, больше управления поставщиком и качеством. Типичная ошибка — считать, что после подписания договора работа закончилась. Первые месяцы требуют регулярных встреч с поставщиком, на которых вы разбираете закрытые инциденты и корректируете правила. Типовые просчеты при запуске защиты рабочих мест перечислены в статье «Внедрение EDR: типовые ошибки и как их избежать».
Какие навыки нужны вашей команде
- Понимание цепочек событий: как процесс запускает другой процесс и что это значит для безопасности.
- Умение разбирать тревогу и отделять ложное срабатывание от реальной атаки.
- Знание политик защиты, исключений и их последствий.
- Навык развертывания агентов в смешанной среде Windows и Linux.
- Привычка проверять эффект изменений.
Эти навыки отрабатываются на практике. Подробнее о профессиональном пути — в статье «Инженер EDR: обязанности, навыки и путь обучения».
Как получить практику
Навыки, на которых строится работа с XDR и услугой MDR, отрабатываются на курсах по BI.ZONE EDR:
- Инженерам внедрения. Курс уровня BCE «Внедрение и администрирование BI.ZONE EDR» занимает 36 часов и включает развертывание, подключение агентов Windows и Linux, настройку политик и диагностику.
- Архитекторам. Курс уровня BCA «Проектирование и внедрение BI.ZONE EDR» занимает 64 часа: сложные и распределенные конфигурации, интеграции, сопровождение.
- Аналитикам и администраторам. Курс уровня BCS «Работа с BI.ZONE EDR» со сценарными лабораториями занимает 16 часов и готовится к запуску осенью 2026 года.
Все материалы по продукту собраны на хабе обучения по BI.ZONE EDR. Формат стендов описан на странице «Практика на киберполигоне», подтверждение уровня — на странице «Сертификация».
Читайте также
- Расследование инцидента в EDR: как читать телеметрию и не утонуть в событиях
- Threat hunting: с чего начать и как встроить в работу SOC
- Что такое SIEM: как работает система и зачем она нужна
- Кто такой аналитик SOC: обязанности, навыки и как им стать
Частые вопросы
Что лучше: XDR или MDR?
Это вопрос разного уровня. XDR — технология, MDR — услуга. Услуга MDR может использовать XDR внутри. Выбирать нужно по тому, кто в вашей организации будет разбирать сигналы и реагировать.
Можно ли начать с EDR и перейти к XDR?
Да. EDR часто становится первым шагом: он дает видимость на рабочих местах и серверах. Затем источники расширяются: почта, сеть, облако.
Заменит ли MDR собственную команду ИБ?
Полностью — редко. Поставщик берет на себя мониторинг и часть реагирования, но знание вашей инфраструктуры, управление рисками и согласование действий остаются у вас.
Какие вопросы задать при пилоте?
Какие события видны, как быстро приходит оповещение, какие действия можно выполнить из консоли, как формируется отчет. Пилот стоит проводить на вашей реальной инфраструктуре.
Где научиться работать с EDR и расследовать инциденты?
На стендах с реальным продуктом. На платформе BI.ZONE Education доступны курсы по BI.ZONE EDR для инженеров внедрения и архитекторов, а курс для пользователей готовится к запуску осенью 2026 года. Список приведен в разделе «Как получить практику».