A escada vai de EDR a XDR — e o que muda não é só o recurso

A linha Kaspersky Next é organizada em quatro degraus: EDR Foundations, EDR Optimum, XDR Optimum e XDR Expert. A leitura mais comum trata a diferença como uma lista de recursos a mais, e é aí que a decisão começa errada. O que separa um degrau do outro é, principalmente, o que a empresa precisa fazer para que a capacidade contratada produza algum resultado: quem lê o alerta, quais fontes de dado estão instrumentadas e quanta correlação existe de fato no ambiente.

Na prática, os degraus de EDR cobrem o endpoint — o que aconteceu na máquina, em que ordem e com qual usuário. Os degraus de XDR ampliam a correlação e a integração com outras fontes, como identidade, e-mail, nuvem e rede. Isso significa que a partir do primeiro nível XDR o produto passa a depender de dados que não nascem no endpoint. Se essas fontes não estiverem instrumentadas, ou se ninguém consumir o que elas produzem, o degrau extra vira licença paga e não operada — o cenário mais caro possível, porque junta o custo do nível alto com a cobertura prática do nível baixo.

O que cada linha exige da operação

A tabela abaixo olha para o que precisa existir no ambiente em cada família de degraus. Ela é ponto de partida para a conversa, e não substituto do guia de licenciamento vigente — a composição de cada nível muda com o tempo, e a conferência é sempre no documento do fabricante.

Dimensão	Degraus de EDR (Foundations, EDR Optimum)	Degraus de XDR (XDR Optimum, XDR Expert)
Escopo de coleta	Endpoint: processo e linha de comando, arquivo, conexão de rede, registro e usuário que executou	Endpoint somado a outras fontes — identidade, e-mail, nuvem e rede — conforme o nível contratado
O que precisa existir antes	Inventário com agente em todas as estações e servidores e identidade de administrador definida	As fontes acima instrumentadas e capazes de enviar telemetria, além do endpoint completo
Quem consome o resultado	Equipe interna ou serviço contratado que faça triagem, investigação e resposta	Operação com processo de correlação e escalonamento definidos, e não só um painel aberto
O que a licença não resolve	Máquina sem agente, alerta sem dono, alçada indefinida para isolar um host	Fonte fora do escopo, incidente sem decisão de negócio e ausência de quem responda fora do horário
Erro típico do degrau	Contratar o nível e não fechar a fila de alertas que ele produz	Presumir que a correlação acontece sozinha e que mais nível substitui processo

A consequência prática é direta: subir de degrau não melhora a operação por si. Ele aumenta o volume de sinal e a superfície de correlação, o que só vira ganho se houver gente com alçada para agir e dados minimamente organizados para correlacionar. Contratar o nível mais alto para um ambiente sem inventário completo é comprar capacidade de leitura para um acervo que ainda não foi escrito.

Por usuário ou por dispositivo: a unidade de contagem muda o orçamento

Na linha Kaspersky Next, a contagem é feita por usuário ou por dispositivo, conforme o nível contratado. Isso não é detalhe contábil: é o que define quantas licenças a proposta precisa ter. Pior, a unidade pode mudar quando a empresa sobe de degrau — e o inventário que servia para dimensionar a proposta antiga deixa de servir.

Edição/nível	Unidade de licença	O que entra na contagem	Onde costuma errar
EDR Foundations	Por usuário ou por dispositivo, conforme o nível contratado — confirmar no guia vigente	Estação, servidor e carga virtual cobertos pelo agente, contados conforme a unidade em vigor	Dimensionar pelo número de funcionários sem cruzar com o inventário de ativos
EDR Optimum	Por usuário ou por dispositivo, conforme o nível contratado — confirmar no guia vigente	Os mesmos tipos de ativo, com o que o degrau acrescenta de gestão e cobertura	Contratar o degrau novo mantendo a quantidade antiga, sem refazer a conta
XDR Optimum	Por usuário ou por dispositivo, conforme o nível contratado — confirmar no guia vigente	Endpoint mais as fontes correlacionadas que entram no escopo contratado	Presumir que a contagem do nível de EDR continua valendo sem revisão
XDR Expert	Por usuário ou por dispositivo, conforme o nível contratado — confirmar no guia vigente	O ambiente coberto e as fontes integradas, conforme o nível e o contrato	Comprar capacidade para fontes que a empresa não opera nem monitora

A diferença entre contar por dispositivo e contar por usuário pesa em dois tipos de ambiente, e em direções opostas. Em uso compartilhado — turnos, terminal de atendimento, máquina que várias pessoas usam — a conta por dispositivo tende a ser menor do que a conta por pessoa. Em uso móvel, com notebook de escritório, notebook de campo e celular corporativo por pessoa, a conta por dispositivo cresce mais rápido, porque cada equipamento é uma unidade. Não existe regra genérica que resolva os dois casos: a unidade é a do fabricante, e o que desloca o orçamento é saber qual delas está em jogo naquele nível.

A unidade de contagem é a do fabricante. Antes de emitir a proposta, a vWare confirma por escrito qual unidade se aplica ao nível pretendido e como servidor, dispositivo móvel e carga virtual entram na conta — e essa confirmação deve ficar guardada junto do contrato. Nomes de degrau e conteúdo de cada nível mudam com o tempo: a conferência é no guia vigente.

Ambiente com servidor exige cuidado extra

Servidor não é estação com outro nome, e o ambiente com servidor é onde o licenciamento de EDR mais erra. Cinco pontos precisam de resposta antes de instalar agente em produção:

• Inventário de servidores físicos e virtuais: cada máquina com sistema operacional identificado. Máquina virtual clonada a partir de modelo, ou restaurada de snapshot, carrega identidade duplicada — o que confunde a contagem e atrapalha a própria investigação, porque dois hosts passam a responder pelo mesmo nome.
• Sessão multiusuário: quando várias pessoas usam a mesma máquina, como em terminal server, a conta pode depender da unidade em vigor naquele nível. Contar servidores quando a unidade é por pessoa é o erro que aparece depois, na apuração.
• Janela de manutenção e exceções: servidor de banco de dados, aplicação crítica e sistema legado que quebra com agente. Implantar sem janela combinada transforma a instalação em incidente, e a exceção precisa ficar registrada com o motivo — não como pasta esquecida.
• Alçada para responder: a resposta do EDR inclui isolar a máquina da rede. Isolar o servidor de faturamento no meio do dia é decisão de negócio, e a permissão de quem pode fazer isso precisa estar definida antes do primeiro alerta.
• Ativos sem agente: cada servidor descoberto é um ponto cego. Se ele está fora por decisão técnica, registre; se ninguém sabe por que está fora, é esquecimento — e é onde o incidente costuma começar.

Existe também o erro simétrico: instalar agente de estação em servidor para aproveitar a licença mais barata. Além de deixar o servidor com proteção inadequada ao risco dele, isso costuma configurar licença fora de conformidade e reaparece mais tarde como passivo na apuração — o mesmo tipo de problema tratado em auditoria de licenças de software. A regra definitiva é o guia vigente do fabricante, e a métrica muda conforme a linha: o que vale para uma família de produto não vale para outra.

Como decidir o nível, em quatro passos

A ordem abaixo evita os dois extremos: contratar o degrau mais alto por precaução e contratar o mais baixo por preço, nos dois casos sem olhar a operação.

Quando não faz sentido subir de nível

Há quatro situações em que o degrau mais alto custa mais do que entrega, e todas são operacionais — não de preço:

• Nenhuma fila de alerta é fechada hoje. Subir de nível aumenta o sinal sem aumentar a capacidade de resposta, e o resultado é uma fila maior com o mesmo tempo de reação.
• As fontes do XDR não estão instrumentadas. Identidade sem telemetria, e-mail fora do escopo, nuvem sem inventário: a correlação parte de dado incompleto e produz alerta com cara de contexto, mas sem contexto.
• Não existe alçada para responder. Quem pode isolar uma máquina, quem autoriza fora do horário, quem decide desligar um serviço. Sem isso, o nível mais alto apenas documenta melhor o incidente — depois que ele aconteceu.
• O gargalo é processo, não detecção. Ambiente pequeno e homogêneo, com agente em todos os ativos e histórico limpo, costuma ganhar mais resolvendo higiene de inventário e dono do alerta do que subindo de degrau.

Nesses casos, a decisão coerente é manter o degrau atual, fechar a higiene — inventário completo, agente em tudo, dono nomeado para o alerta — e reavaliar com dados na mão. A alternativa é contratar operação, que resolve justamente a parte que falta: alguém para ler e agir.

Nível mais alto sem dono de alerta não é segurança a mais; é custo a mais com a mesma exposição. Nesta linha, a escolha do degrau é uma decisão de operação antes de ser uma decisão de licença.

Três erros comuns

Perguntas frequentes

A linha Kaspersky Next é licenciada por usuário ou por dispositivo?

Depende do nível contratado: a contagem é feita por usuário ou por dispositivo, conforme o degrau. Como a composição de cada nível muda com o tempo, a conferência é no guia vigente do fabricante. A vWare confirma por escrito qual unidade se aplica à sua proposta antes de emiti-la.

Preciso de XDR se já tenho EDR?

Depende de duas coisas: se as outras fontes — identidade, e-mail, nuvem, rede — estão instrumentadas e se existe alguém para consumir a correlação. XDR sobre endpoint incompleto é fraco; XDR sem as demais fontes é quase só painel. A decisão é por capacidade de operação, não por sigla.

Como o servidor entra na contagem?

Servidor, carga virtual e sessão multiusuário podem ter tratamento e unidade próprios, conforme o nível contratado. Por isso o inventário precisa separar estação, servidor físico, máquina virtual e dispositivo móvel, e a regra aplicada a cada tipo deve ser confirmada por escrito antes da proposta.

Posso subir de nível depois de contratar?

Em geral sim, mas a troca no meio do ciclo tem custo operacional: pode exigir reinstalação ou reconfiguração do agente e, sobretudo, mudar a unidade de contagem. Vale confirmar o caminho de upgrade e o prazo antes de contratar o nível de entrada, para não pagar duas vezes pela mesma migração.

Quem opera o alerta precisa ser da empresa?

Precisa haver um dono nomeado, com horário de cobertura, regra de escalonamento e alçada para responder. Esse dono pode ser a equipe interna ou um serviço contratado — o que não funciona é não existir ninguém. Sem essa definição, o nível mais alto é licença parada dentro da empresa.

Próximo passo: levante três informações antes da conversa — quantos ativos elegíveis existem por tipo e quantos ainda estão sem agente, quem responde ao alerta fora do horário e quais fontes de dado o ambiente poderia correlacionar. A vWare usa esses dados para dimensionar nível e unidade de contagem e confirma tudo por escrito antes de emitir proposta. Para comparar o modelo de contratação com o de outros fabricantes, vale ver a consultoria de licenciamento; para entender o que se espera de um EDR em operação, o guia de EDR e XDR.