EDR, XDR e MDR: differenze, significato e quando servono

La risposta breve: EDR e XDR sono tecnologie, l'MDR è un servizio. I tre acronimi finiscono tutti con "Detection and Response" e proprio per questo si assomigliano, ma rispondono a due domande diverse: EDR e XDR dicono con quale strumento si rilevano e si gestiscono gli attacchi, l'MDR dice chi lo fa al posto tuo, ventiquattro ore su ventiquattro. Confonderli porta a scelte sbagliate: comprare una piattaforma pensando di aver comprato un presidio, oppure ingaggiare un servizio senza capire su quali strumenti si appoggia.

Vale la pena mettere ordine, perché sono termini che compaiono uno accanto all'altro nelle brochure e nei capitolati, spesso come se fossero alternativi. Non lo sono: nella maggior parte dei casi si combinano. Vediamo cosa indica ciascuno, in cosa si distinguono e come orientarsi nella scelta.

Perché i tre acronimi si confondono

La radice comune è "Detection and Response": accorgersi che qualcosa non va (detection) e fare qualcosa al riguardo (response). È il cuore delle security operations moderne, che hanno spostato l'attenzione dal semplice bloccare il malware noto al rilevare i comportamenti sospetti e reagire in fretta.

La lettera che cambia davanti all'acronimo indica però piani diversi. La E di EDR sta per "Endpoint", ed è un ambito. La X di XDR sta per "Extended", un ambito più largo. La M di MDR sta per "Managed", e qui cambia tutto: non è più una questione di dove guardi, ma di chi guarda. Le prime due lettere descrivono una tecnologia, la terza descrive un modello di erogazione, cioè un servizio.

EDR: la detection and response sull'endpoint

L'EDR (Endpoint Detection and Response) è una tecnologia che rileva e gestisce le minacce sugli endpoint: i pc, i portatili, i server, i dispositivi che le persone usano ogni giorno. Un agente installato su ciascuna macchina osserva cosa succede (processi che partono, file modificati, connessioni di rete, comandi eseguiti) e segnala i comportamenti sospetti, permettendo di reagire: isolare la macchina, terminare un processo, mettere in quarantena un file.

La differenza rispetto all'antivirus tradizionale è proprio questa capacità di risposta e di analisi del comportamento. L'antivirus riconosce e blocca il codice malevolo che già conosce; l'EDR ragiona sulle azioni, e riesce a intercettare anche un attacco che non usa malware riconoscibile, per esempio un intruso che si muove con credenziali rubate. Resta però una tecnologia legata a un ambito preciso, l'endpoint, e va accesa, configurata e soprattutto presidiata da qualcuno che ne legga i segnali.

XDR: la stessa logica, estesa oltre l'endpoint

L'XDR (Extended Detection and Response) nasce da una constatazione: un attacco serio non resta confinato sull'endpoint. Tocca la rete, passa dal cloud, sfrutta la posta elettronica, gioca sulle identità. Se guardi solo la macchina, vedi un pezzo della storia.

L'XDR estende quindi la stessa logica di detection and response oltre l'endpoint, correlando in un'unica piattaforma i dati che arrivano da fonti diverse: endpoint, rete, cloud, email e identità. Il valore non sta nel raccogliere più dati, ma nel metterli in relazione. Un accesso anomalo su un'identità, seguito da un movimento insolito sulla rete e da un processo strano su un server, letti insieme raccontano un attacco; presi singolarmente, sembrerebbero tre allarmi minori e scollegati. L'XDR serve a vedere quel filo. Resta comunque una tecnologia, una piattaforma potente, che però qualcuno deve far funzionare.

MDR: non uno strumento, un servizio

Qui si cambia piano. L'MDR (Managed Detection and Response) non è una piattaforma da installare, è un servizio gestito: un fornitore esterno mette a disposizione persone e tecnologia per erogare detection e response in modo continuo, al posto tuo. Non compri una console con allarmi da interpretare, compri un esito: qualcuno che si accorge, verifica, ti avvisa e contiene.

Un MDR poggia proprio sulle tecnologie di cui sopra. Usa EDR o XDR come sorgenti di segnale, spesso affianca un SIEM per correlare i log dell'intera infrastruttura, e ci mette sopra ciò che uno strumento da solo non ha: analisti su turni che coprono notte e weekend, processi di escalation, indagine sugli incidenti veri, contenimento. È il modo di avere la capacità di un centro operativo di sicurezza senza costruirne uno in casa. Il perimetro esatto (quali ambiti copre, con quali tempi di presa in carico e di intervento) cambia da fornitore a fornitore ed è la cosa da mettere nero su bianco prima di firmare. Lo approfondiamo nell'articolo su cos'è l'MDR e quando serve.

La differenza che conta: strumento contro servizio

Riassunta su pochi assi, la distinzione diventa netta.

• Natura. EDR e XDR sono tecnologie, prodotti che si acquistano e si installano. L'MDR è un servizio, una capacità che si ingaggia.
• La domanda a cui rispondono. EDR e XDR rispondono al "cosa": con quale strumento rilevo e gestisco le minacce. L'MDR risponde al "chi": chi lo fa, e con quale continuità.
• Ambito. L'EDR copre l'endpoint. L'XDR estende la copertura a rete, cloud, email e identità. L'MDR non è un ambito, è chi presidia gli ambiti con le persone.
• Cosa serve per renderli utili. Uno strumento va configurato e letto da personale competente per rendere. Un servizio arriva già con le persone incluse.

Il punto da tenere a mente: non sono in competizione. Non si sceglie "EDR oppure MDR" come si scelgono due prodotti concorrenti. Si sceglie quale tecnologia adottare e, separatamente, se gestirla in casa o affidarla a un servizio come l'MDR.

Come si combinano nella pratica

Nella realtà operativa questi tre elementi vivono insieme, uno dentro l'altro. Un'azienda mette un EDR sugli endpoint, magari lo affianca a una piattaforma XDR per correlare anche rete e cloud, e poi affida a un fornitore MDR il compito di far parlare quegli strumenti ventiquattro ore su ventiquattro. L'MDR non sostituisce l'EDR o l'XDR: li usa come occhi, aggiungendo il cervello e le mani che li fanno lavorare.

Un esempio concreto rende l'idea. L'EDR sull'endpoint segnala un processo sospetto; la piattaforma XDR lo mette in relazione con un accesso anomalo su un'identità e con del traffico insolito verso l'esterno; a quel punto un analista del servizio MDR riceve il quadro già ricomposto, verifica che si tratti di un incidente reale, isola la macchina e avvisa l'azienda. Lo strumento ha raccolto e correlato, la persona ha deciso e agito: è la divisione dei compiti che tiene in piedi un presidio serio.

C'è poi un termine che orbita attorno a questi tre: il SOC, il Security Operations Center, cioè il centro che presidia la sicurezza con persone, processi e tecnologie. L'MDR è, in sostanza, il modo di ottenere l'esito di un SOC come servizio confezionato. Se vuoi il quadro d'insieme, trovi tutto in cos'è un SOC e nel dizionario MDR vs SIEM vs SOC, che mette in fila strumenti e servizi senza farli confondere.

Tre malintesi da sfatare

Attorno a questi acronimi girano alcune convinzioni che portano fuori strada.

• "Con l'EDR sono a posto." L'EDR è una sorgente eccellente, ma vede solo l'endpoint e, soprattutto, produce segnali che qualcuno deve leggere e interpretare. Acceso e lasciato a se stesso, riempie una console che nessuno guarda.
• "L'XDR è solo un EDR con più marketing." No: il salto è la correlazione tra ambiti diversi. Il valore non è avere più dati, è leggere insieme segnali che, isolati, sembrano innocui.
• "MDR ed EDR si scelgono in alternativa." È l'equivoco più costoso. Uno è tecnologia, l'altro è un servizio che quella tecnologia la fa funzionare: la scelta vera è tra gestire in casa o affidarsi a un servizio.

Come orientarsi nella scelta

La domanda utile non è "quale acronimo è meglio", ma parte da due considerazioni pratiche.

• Di quale copertura ho bisogno? Se il rischio principale è sugli endpoint, un EDR ben gestito è la base. Se l'ambiente è distribuito su cloud, SaaS e identità, la correlazione di un approccio XDR ripaga.
• Ho chi lo fa funzionare? Uno strumento senza qualcuno che ne legga i segnali produce allarmi che nessuno guarda. Se non hai un team di sicurezza interno con copertura continua, e nel mid-market italiano è la norma, il modello gestito dell'MDR è la strada realistica: porti a bordo tecnologia e persone insieme.

Molte aziende arrivano alla stessa conclusione: adottano gli strumenti giusti per il loro ambiente e affidano a un servizio il presidio continuo, perché tenere svegli degli analisti tutte le notti dell'anno è un impegno che poche organizzazioni mid-market possono sostenere in proprio.

In sintesi: EDR e XDR sono tecnologie che rilevano e gestiscono le minacce, la prima sull'endpoint, la seconda estesa a rete, cloud, email e identità; l'MDR è il servizio gestito che fa funzionare quelle tecnologie con persone vere, in modo continuo. Non sono alternative da mettere in concorrenza, sono pezzi che si incastrano. In AmagisTech costruiamo il presidio a partire dagli strumenti che l'azienda già ha, orchestrandoli in un servizio gestito su piattaforma aperta: il quadro completo è nei nostri servizi di observability e SecOps.