O que é MDR em cibersegurança, o que entrega e como funciona
MDR (Managed Detection and Response) é o serviço de detecção e resposta gerenciadas. Veja como ele funciona, o que entrega, o que precisa cobrir e por que não é o mesmo que EDR ou XDR.
Em resumo: MDR (Managed Detection and Response, ou detecção e resposta gerenciadas) é um serviço em que um fornecedor especializado monitora o ambiente da empresa 24x7, investiga as ameaças e responde a elas, inclusive com a contenção do ataque, usando tecnologia, analistas e processos próprios. A diferença para o modelo tradicional de serviços gerenciados de segurança (MSSP) está na resposta: o MDR não para no alerta; ele investiga e age, dentro de regras combinadas com a empresa.
O que é MDR e como funciona?
MDR é a sigla em inglês de Managed Detection and Response, detecção e resposta gerenciadas. Em vez de comprar ferramentas e montar uma equipe para operá-las, a empresa contrata um resultado: ameaças detectadas, investigadas e contidas, 24 horas por dia, sob um SLA.
Na implantação, o fornecedor integra as fontes de telemetria e combina com a empresa a matriz de acionamento, as responsabilidades por ativo e os playbooks: o que pode ser contido de forma automática e o que pede aprovação. Depois, a operação roda em três partes:
- Tecnologia. Telemetria de endpoints, servidores, rede, nuvem e identidades, coletada por ferramentas como SIEM, EDR, NDR e XDR, que podem ser do fornecedor ou da própria empresa.
- Pessoas. Analistas em turnos 24x7, do nível 1 ao nível 3, além de caçadores de ameaças (threat hunters) e engenheiros de detecção.
- Processo. Casos de uso, playbooks de resposta e um modelo de acionamento combinado com a empresa, com os tempos medidos em SLA.
O que um serviço de MDR entrega?
Três verbos resumem o MDR: detectar, investigar e responder. O que muda de um fornecedor para outro é a profundidade de cada etapa.
Detectar
O que está acontecendo no ambiente?
Monitoramento 24x7 da telemetria, com casos de uso, análise comportamental e threat intelligence aplicados à detecção.
O que entra
- Casos de uso mapeados ao MITRE ATT&CK
- Threat hunting proativo
- Inteligência sobre ameaças e credenciais vazadas
Investigar
É real? Até onde chegou?
Analistas confirmam a ameaça, descartam o falso positivo e reconstroem o caminho do atacante, com evidências.
O que entra
- Triagem e enriquecimento do alerta
- Linha do tempo do ataque
- Prioridade pelo impacto no negócio
Responder
Como conter e evitar que volte?
O fornecedor contém a ameaça no ambiente, dentro das regras combinadas, e acompanha a remediação até o fim.
O que entra
- Isolamento de máquina e bloqueio de conta
- Playbooks de contenção aprovados pela empresa
- Relatório e lições aprendidas
Em volta das três etapas ficam a gestão do serviço (relatórios, reunião periódica e indicadores) e a melhoria contínua: cada incidente ajusta regras, casos de uso e playbooks.
MDR, EDR e XDR: qual a diferença?
MDR é um serviço; EDR e XDR são ferramentas, que um SOC ou um MDR pode usar. A tabela resume como cada um se posiciona.
| Opção | Definição | Quem responde | Quando usar |
|---|---|---|---|
| MDR | Serviço gerenciado de detecção, investigação e resposta, 24x7 | O fornecedor detecta, investiga e contém, dentro de regras combinadas | Empresas que querem o resultado da detecção e da resposta sem montar a operação |
| EDR | Ferramenta de detecção e resposta em estações e servidores | Quem opera a ferramenta: equipe interna, MSSP ou MDR | Base da proteção de endpoint. Sozinha, não cobre rede, nuvem e identidade |
| XDR | Plataforma que integra a detecção e a resposta de várias camadas, como endpoint, rede, e-mail, identidade e nuvem | Quem opera a plataforma | Empresas que querem uma visão integrada; ainda depende de pessoas para investigar e decidir |
As tecnologias estão explicadas no guia SIEM, SOAR, EDR, XDR e NDR. Entre os serviços, as fronteiras também não são rígidas: muitos provedores oferecem MSSP e MDR, e o próprio NIST usa o termo MSSP para o terceiro que assume o papel principal na detecção, na resposta e na recuperação de incidentes (NIST SP 800-61r3, seção 2.2). A comparação entre MDR, MSSP e SOC interno está no guia MDR, MSSP ou SOC interno.
O que um MDR precisa cobrir: IT, OT, nuvem e IA?
O atacante não respeita a divisão entre áreas. Um MDR que vê só o endpoint perde o que acontece na identidade, na nuvem ou na planta. A cobertura deve acompanhar o ambiente:
- Endpoints e servidores. Estações, servidores e cargas de trabalho na nuvem, com EDR e a capacidade de isolar a máquina.
- Rede. Tráfego interno e de saída, para achar movimentação lateral, comando e controle e exfiltração (NDR).
- Identidade. Diretório, autenticação e contas privilegiadas. Credenciais legítimas usadas de forma anômala só aparecem com análise comportamental.
- Nuvem e SaaS. Logs dos provedores de nuvem, do e-mail e das aplicações em nuvem, com configuração e uso monitorados.
- OT. Redes industriais, com coleta passiva, protocolos como Modbus, DNP3 e IEC 61850 e resposta decidida com a operação. O guia IEC 62443, ANEEL e ONS explica o que muda.
- IA. Uso e abuso de IA, como o envio de dados a aplicações de IA generativa e agentes com acesso além do necessário. O guia Inteligência artificial no SOC trata da IA como ferramenta e como superfície de ataque, e o guia Segurança de IA, de como proteger a IA da empresa; na Vortex, essa frente é o Vortex AI Journey.
Depois da definição: o modelo e o fornecedor
Como a Vortex atua em MDR
A Vortex Security é líder em MSSP no Brasil e tem a abordagem mais inovadora em MDR: o Cyber Defense Center (CDC), o NG-SOC Convergente da Vortex, é um serviço gerenciado de detecção e resposta 24x7x365 para IT, OT e IA, com hiperautomação. A automação absorve o volume de alertas, e os especialistas entram onde o contexto do negócio decide.
O CDC tem a maior biblioteca de casos de uso de detecção. Na prática:
- SLA de referência: 15 minutos para o primeiro atendimento (MTTA) e 2 horas para a solução (MTTR) de incidentes de alta criticidade, com as condições finais definidas em proposta.
- Mais de 5.000 casos de uso de detecção e mais de 3.000 playbooks de triagem, enriquecimento, investigação, contenção e resposta.
- Hiperautomação: 70% de automação em data mining e menos de 4% de falsos positivos.
- Threat intelligence de mais de 150 fontes, com curadoria de ameaças da América Latina.
- Resposta ativa, não só alerta: nas tecnologias que gerencia, o CDC contém a ameaça direto no ambiente, pelo SOAR e com playbooks aprovados pela empresa na preparação: bloqueio de credencial comprometida, quarentena de hash e bloqueio de IP com janela temporal. Nos ativos fora do escopo de gestão, aciona os responsáveis pela matriz de escalonamento, recomenda as ações e acompanha a remediação.
- SOC redundante 24x7x365 em dois centros ativos, no Rio de Janeiro e em São Paulo, com operação certificada ISO/IEC 27001, ISO/IEC 27701 e ISO 22301.
- Reconhecimento do ISG: Líder no ISG Provider Lens 2026 em Next-Gen SOC/MDR Services (Midmarket) e Market Challenger em Large Accounts, no Brasil.
- Na voz do cliente: para Josemar Fernandes, gerente de Segurança da Informação da Bio-Manguinhos, contar com a Vortex como parceira em segurança da informação é "ter a tranquilidade de saber que, diante de qualquer ameaça, estaremos amparados por uma das respostas mais eficazes e ágeis do mercado".
Perguntas frequentes
O que significa MDR?
MDR é a sigla em inglês de Managed Detection and Response, ou detecção e resposta gerenciadas. É o serviço em que um fornecedor monitora o ambiente 24x7, investiga as ameaças e responde a elas, inclusive com a contenção do ataque.
Qual a diferença entre MDR e EDR?
EDR é uma ferramenta instalada em estações e servidores para detectar e responder a ameaças. MDR é um serviço, com pessoas e processos, que pode usar o EDR e outras fontes, como rede, nuvem e identidade, para detectar, investigar e responder 24x7.
MDR e XDR são a mesma coisa?
Não. XDR é uma plataforma que integra a detecção e a resposta de várias camadas, como endpoint, rede, e-mail, identidade e nuvem. MDR é o serviço que opera a detecção e a resposta, com ou sem XDR. Muitos serviços de MDR usam o XDR como uma das fontes.
O MDR faz a resposta ou só avisa?
Faz a resposta, e essa é a principal diferença para o monitoramento tradicional. Ações como isolar uma máquina ou bloquear uma conta ou um IP são executadas pelo fornecedor, dentro de playbooks e limites aprovados pela empresa. Ações de alto impacto costumam pedir a aprovação de quem responde pelo ambiente.
O que um serviço de MDR monitora?
Endpoints e servidores, rede, identidades, nuvem e aplicações SaaS e, quando existem no ambiente, OT e o uso de IA. O atacante passa de uma área para outra, e um MDR que vê só o endpoint perde o que acontece na identidade, na nuvem ou na planta. Em OT, o monitoramento usa coleta passiva e a resposta é decidida com a operação.
Como a IA entra num serviço de MDR?
Na triagem e na priorização dos alertas, no enriquecimento, na correlação e na investigação com copilotos de IA generativa, além da resposta com hiperautomação. A IA absorve o volume, e os analistas decidem. O guia Inteligência artificial no SOC detalha cada uso e os limites.
Quer detecção e resposta 24x7x365, com resposta ativa e SLA?
Conte o momento da sua operação de segurança e um especialista da Vortex entra em contato.
- Retorno de um especialista
- Resposta rápida
- Atendimento personalizado
Atualizado em