SIEM, SOAR, EDR, XDR e NDR: o que é cada um e como se juntam no SOC
O que cada tecnologia vê e faz, a diferença entre elas numa tabela e como o SOC as combina, da coleta à resposta.
Em resumo: SIEM, SOAR, EDR, XDR e NDR são tecnologias de detecção e resposta usadas pelo SOC. O SIEM (Security Information and Event Management) centraliza e correlaciona os registros (logs) de todo o ambiente; o EDR (Endpoint Detection and Response) monitora e responde em estações e servidores; o NDR (Network Detection and Response) analisa o tráfego da rede; o XDR (Extended Detection and Response) junta numa plataforma a telemetria de várias camadas, como endpoint, rede, identidade, nuvem e e-mail; e o SOAR (Security Orchestration, Automation and Response) automatiza a resposta com playbooks. Elas se complementam, e nenhuma substitui a equipe que investiga e decide.
O que é SIEM e para que serve?
SIEM (Security Information and Event Management, ou gerenciamento de informações e eventos de segurança) é a plataforma que reúne num só lugar os registros de segurança de todo o ambiente. O NIST o descreve como um programa de registro centralizado para vários tipos de log (glossário do NIST, a partir do SP 800-92) e como a aplicação que coleta dados de segurança dos componentes dos sistemas e os apresenta como informação acionável, numa única interface (glossário do NIST, a partir do SP 800-128).
Segundo o guia de gestão de logs do NIST (SP 800-92, seção 3.4), o SIEM recebe os registros por agentes instalados nos equipamentos ou sem agente, analisa os dados de todas as fontes, correlaciona os eventos, identifica e prioriza o que é relevante e pode iniciar respostas. Na prática, faz cinco coisas:
- Coleta logs de firewalls, servidores, estações, identidades, nuvem, aplicações e das próprias ferramentas de segurança, como EDR e NDR.
- Normaliza os formatos, para que eventos de fontes diferentes possam ser comparados.
- Correlaciona eventos que, sozinhos, parecem inofensivos: um login fora do padrão, seguido de um comando administrativo e de uma conexão nova.
- Alerta e prioriza com regras (os casos de uso), inteligência de ameaças e análise comportamental (UEBA), que compara a atividade com uma linha de base do que é normal.
- Guarda os registros pelo tempo exigido, para investigação, auditoria e conformidade.
O que são EDR, NDR, XDR e SOAR?
O SIEM depende do que recebe. As outras quatro tecnologias geram parte dessa telemetria, ampliam a detecção ou executam a resposta.
Qual a diferença entre SIEM, SOAR, EDR, XDR e NDR?
A diferença está no que cada uma vê, no que faz com isso e no que fica de fora.
| Tecnologia | O que vê | O que faz | Ponto cego |
|---|---|---|---|
| SIEM | Logs de todo o ambiente: rede, servidores, identidades, nuvem, aplicações e as outras ferramentas de segurança | Centraliza, correlaciona e guarda os eventos e gera alertas por regras e comportamento | Só vê o que recebe: fonte que não envia log, ou envia com atraso, não aparece a tempo |
| EDR | Processos, comandos, arquivos e conexões dentro de estações e servidores | Detecta comportamento suspeito no equipamento, investiga e contém, por exemplo isolando a máquina | Equipamentos sem agente, como muitos ativos de rede e de OT |
| NDR | Tráfego da rede: conexões, fluxos e, quando capturado, o conteúdo dos pacotes | Aponta padrões anômalos, movimento lateral, comando e controle e saída de dados, e apoia o bloqueio | O que acontece dentro do equipamento; com tráfego criptografado, vê mais os metadados do que o conteúdo |
| XDR | Telemetria de várias camadas: endpoint, rede, identidade, nuvem e e-mail | Correlaciona os sinais dessas camadas numa plataforma e responde em várias delas | As camadas que não estão integradas à plataforma |
| SOAR | Os alertas e casos que chegam do SIEM, do XDR e das outras ferramentas | Orquestra a triagem, o enriquecimento e a contenção com playbooks, integrado às ferramentas por API | Não detecta sozinho e executa o que foi definido: um playbook errado erra em escala |
Nos termos do MITRE ATT&CK, que chama de componentes de dados o que ajuda a detectar cada técnica de ataque, o EDR enxerga a criação de processos e a execução de comandos; o NDR, a criação de conexões, o fluxo e o conteúdo do tráfego; o SIEM recebe os registros de autenticação, de sessões, das aplicações e da nuvem, entre outros.
Como SIEM, SOAR, EDR, XDR e NDR se juntam no SOC?
O NIST recomenda usar tecnologias como SIEM e SOAR para monitorar os registros de forma contínua e correlacionar dados de várias fontes, e considerar a contenção automática de alguns casos, como isolar um endpoint comprometido, sem tirar do analista a opção de agir manualmente (SP 800-61, revisão 3). No SOC, o caminho é este:
Coleta
O que está acontecendo no ambiente?
EDR, NDR e logsO EDR, o NDR e os sistemas geram a telemetria, e os registros seguem para um ponto central e protegido.
Na prática
- Processos e comandos nos endpoints
- Tráfego da rede
- Logs de identidade, nuvem e aplicações
Detecção
Isso é um padrão de ataque?
SIEM ou XDRO SIEM, ou o XDR nas camadas que integra, correlaciona os eventos e transforma o padrão de ataque em alerta.
Na prática
- Casos de uso alinhados ao MITRE ATT&CK
- Análise comportamental (UEBA)
- Inteligência de ameaças
Triagem
É um incidente de verdade?
SOAR e analistaPlaybooks do SOAR juntam contexto ao alerta e descartam o ruído conhecido; o analista confirma se é incidente e qual o alcance.
Na prática
- Reputação de IP, domínio e arquivo
- Dono e criticidade do ativo
- Decisão do analista
Resposta
Como conter rápido e com controle?
SOAR e as ferramentasA contenção acontece nas ferramentas, coordenada pelo SOAR e registrada passo a passo.
Na prática
- O EDR isola a máquina
- O firewall bloqueia o IP
- A identidade suspende a conta
Depois de cada incidente, as lições ajustam regras, casos de uso e playbooks. E a ordem importa: automatizar a resposta antes de a detecção estar confiável multiplica o erro. A orientação conjunta de SIEM e SOAR que a CISA, a agência australiana ASD e parceiros publicaram em maio de 2025 lembra que as duas plataformas dependem de implantação e manutenção contínuas para funcionar (Cyber Centre do Canadá e CISA). O guia Inteligência artificial no SOC mostra onde a IA e a hiperautomação entram nesse fluxo.
SIEM ou XDR? EDR ou XDR? Como decidir
A resposta depende de quanto do ambiente cada ferramenta enxerga.
EDR ou XDR. O EDR cobre os endpoints; o XDR parte deles e soma outras camadas. Se o ataque passa pela identidade, pelo e-mail ou pela nuvem, o endpoint sozinho não mostra o caminho inteiro.
SIEM ou XDR. O XDR correlaciona as camadas integradas a ele; o SIEM recebe registros de fontes muito variadas, inclusive sistemas legados, aplicações próprias e OT, e os guarda pelo tempo que a empresa precisa. A orientação conjunta de registro de eventos trata os dois como destinos dos registros centralizados e sugere filtrar o que vai para cada um, para receber os registros de mais valor sem estourar custo e capacidade (orientação conjunta). Os dois podem conviver.
Antes de escolher, vale responder:
- Quais fontes ficam fora de cada ferramenta: OT, sistemas legados, aplicações próprias, nuvem?
- Por quanto tempo os registros precisam ser guardados, por norma, contrato ou investigação?
- Quem vai operar 24x7: escrever e ajustar regras, investigar os alertas e responder?
- O que pode ser automático e o que precisa de aprovação humana?
- Como o SIEM será protegido? Por concentrar informação e poder ser o ponto único de falha da detecção, ele atrai atacantes, e a orientação conjunta recomenda isolá-lo do resto da TI e reforçar a segurança dele.
Como fica a detecção em ambientes industriais (OT)?
Em OT (controladores, sistemas SCADA e redes que comandam processos físicos), nem todo equipamento aceita agente, e uma resposta automática mal calibrada pode parar a produção. Por isso, a detecção se apoia muito na rede, com o monitoramento dos protocolos industriais, ao lado do EDR onde ele cabe, e os eventos da planta são correlacionados com os de IT.
A orientação conjunta de registro de eventos pede que a detecção em OT junte especialistas de IT e de OT e não recomenda IPS (sistema de prevenção de intrusão) em OT, a menos que seja adaptado ao ambiente ou fique fora do controle crítico do processo, porque ele pode interromper dispositivos críticos (orientação conjunta). Veja a página de segurança para ambientes industriais.
Como o Cyber Defense Center combina SIEM, SOAR, EDR, XDR e NDR
No Cyber Defense Center (CDC), o NG-SOC Convergente da Vortex Security, essas tecnologias trabalham juntas num serviço de SOC e MDR 24x7x365 para ambientes IT, OT e IA, com especialistas onde o contexto do negócio decide. O CDC é agnóstico de SIEM e de fabricante: aproveita as ferramentas que a empresa já tem, sem obrigar a troca.
A Vortex é Líder no ISG Provider Lens® 2026 em Next-Gen SOC/MDR Services (Midmarket), no Brasil. Na prática:
- SIEM. Se a empresa já tem um SIEM ou um SOAR, os alertas chegam ao CDC em modelo cogerenciado. Se não tem, a Vortex opera uma plataforma de SecOps em edição Enterprise, com SIEM, SOAR, UEBA e threat intelligence nativos, ou entrega o SIEM como serviço (SIEM-as-a-Service), e a empresa só envia os logs.
- SOAR. A Vortex foi pioneira no Brasil com um SOAR próprio e tem mais de 3.000 playbooks de triagem, enriquecimento, investigação, contenção e resposta. Quando falta um conector, o time constrói, desde que a tecnologia tenha API, e a contenção automática segue playbooks aprovados pelo cliente.
- EDR, NDR e XDR. As soluções que a empresa já tem são integradas sem obrigação de troca, e a resposta chega a elas: e-mail, EDR, firewall, identidade e nuvem. NDR e XDR estão entre as tecnologias da Jornada Detectar e Responder.
- Detecção. A maior biblioteca de casos de uso de detecção, com mais de 5.000 casos alinhados ao MITRE ATT&CK, e o TierMap, que mostra técnica a técnica o que já está coberto e o que ainda é lacuna.
- OT. A telemetria industrial é correlacionada com os eventos de IT, com células dedicadas para OT e playbooks que respeitam as restrições operacionais da planta.
- Resposta. SLA de referência de 15 minutos para o primeiro atendimento de incidentes de alta criticidade e MTTR de 2 horas, com as condições finais definidas em proposta.
Perguntas frequentes
O que é SIEM?
SIEM (Security Information and Event Management) é a plataforma que centraliza os registros de segurança (logs) de todo o ambiente, como firewalls, servidores, identidades, nuvem e aplicações, correlaciona os eventos e gera alertas sobre possíveis ataques. Também guarda os registros para investigação, auditoria e conformidade. É uma das ferramentas centrais de um SOC.
O que é EDR?
EDR (Endpoint Detection and Response) é a tecnologia de detecção e resposta em estações de trabalho, servidores e celulares. Monitora de forma contínua o que acontece no equipamento, como processos, comandos e arquivos, aponta o comportamento suspeito e permite responder, por exemplo isolando a máquina da rede.
O que é NDR?
NDR (Network Detection and Response) é a tecnologia que detecta ameaças analisando o tráfego da rede: conexões, fluxos e, quando capturado, o conteúdo dos pacotes. Ajuda a achar movimento lateral, comunicação com servidores de comando e controle e saída de dados, inclusive entre equipamentos que não aceitam agente.
O que é XDR?
XDR (Extended Detection and Response) é a plataforma que estende a detecção e a resposta do endpoint a outras camadas, como rede, identidade, nuvem e e-mail. Junta a telemetria dessas camadas, correlaciona os sinais e responde em várias delas a partir de um só lugar.
O que é SOAR?
SOAR (Security Orchestration, Automation and Response, ou orquestração, automação e resposta de segurança) é a tecnologia que automatiza o processo de resposta a incidentes. Integra as ferramentas de segurança por API e executa playbooks, como enriquecer um alerta, abrir o chamado e isolar uma máquina; as ações de maior impacto podem exigir aprovação humana.
Qual a diferença entre EDR e XDR?
O EDR cobre só os endpoints. O XDR parte da mesma lógica e soma outras camadas, como rede, identidade, nuvem e e-mail, para mostrar o ataque que passa por mais de uma delas.
Qual a diferença entre SIEM e SOAR?
O SIEM detecta: centraliza e correlaciona os registros e gera alertas. O SOAR responde: recebe os alertas e executa playbooks de triagem, enriquecimento e contenção. Um diz o que está acontecendo; o outro coordena o que fazer.
O XDR substitui o SIEM?
Nem sempre. O XDR correlaciona as camadas integradas a ele; o SIEM recebe registros de fontes muito variadas, como sistemas legados, aplicações próprias e OT, e os guarda pelo tempo exigido por normas e contratos. Os dois podem conviver, e a escolha depende de quanto do ambiente fica fora do XDR.
O que é SIEM as a Service?
É o SIEM entregue como serviço: o fornecedor hospeda e opera a plataforma, e a empresa envia os logs. Na Vortex, o SIEM-as-a-Service é uma das tecnologias da Jornada Detectar e Responder, e o Cyber Defense Center monitora, investiga e responde 24x7x365.
Fontes
Páginas consultadas em 08/11/2026.
- NIST CSRC Glossary: Security Information and Event Management (SIEM), definição do NIST SP 800-92, e Security Information and Event Management (SIEM) Tool, definição do NIST SP 800-128.
- NIST SP 800-92: Guide to Computer Security Log Management, setembro de 2006, seção 3.4. A revisão 1 está em rascunho desde outubro de 2023.
- NIST SP 800-61, revisão 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management, abril de 2025.
- NIST SP 800-215: Guide to a Secure Enterprise Network Landscape, novembro de 2022, seção 3.4.1.
- OMB M-22-01: Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response, Casa Branca, 8/10/2021.
- Best Practices for Event Logging and Threat Detection, ASD's ACSC, CISA, FBI, NSA e parceiros, 21/8/2024.
- Guidance for SIEM and SOAR Implementation, CISA, 27/5/2025, e o resumo executivo do Cyber Centre do Canadá, 27/5/2025.
- MITRE ATT&CK, versão 20, outubro de 2026, e os componentes de dados.
- MITRE D3FEND: Network Traffic Analysis (D3-NTA).
Quer SIEM, SOAR, EDR, XDR e NDR trabalhando juntos, 24x7, sem trocar o que já funciona?
Conte o momento da sua operação de segurança e um especialista da Vortex mostra como o Cyber Defense Center integra as ferramentas que você já tem.
Atualizado em