O antivírus pergunta se o arquivo é conhecido; o EDR pergunta o que o computador fez

Um antivírus tradicional trabalha com assinatura e reputação: compara o arquivo que está prestes a executar com uma base de códigos maliciosos conhecidos e bloqueia o que reconhece. Esse modelo resolve o malware de massa e continua necessário. Ele não responde às perguntas que aparecem quando o ataque não traz arquivo malicioso: quem abriu o PowerShell às duas da manhã, qual processo gerou aquela conexão para um servidor desconhecido, qual usuário copiou a base de clientes para um pendrive, o que aconteceu nos dez minutos que antecederam o alerta.

EDR — endpoint detection and response — é a categoria que responde a isso. Em vez de avaliar um evento isolado, o agente coleta telemetria contínua do endpoint e guarda a sequência:

• Telemetria contínua: processo e linha de comando, arquivo criado ou alterado, conexão de rede, chave de registro, usuário que executou e horário. O histórico é o que permite reconstruir o incidente depois.
• Detecção por comportamento: regras que olham a sequência de ações, não apenas a assinatura do arquivo. É o que pega o uso indevido de ferramenta legítima do sistema — o ataque que se disfarça de administração.
• Investigação: linha do tempo do que aconteceu na máquina, com escopo e origem, antes de decidir o que fazer. Sem histórico, o alerta é um ponto sem contexto.
• Resposta remota: isolar a máquina da rede, encerrar processo, colocar arquivo em quarentena e coletar evidência, sem depender de alguém estar sentado na frente do computador.

A diferença prática aparece no incidente. Quando o antivírus bloqueia o arquivo, não há muito o que investigar; o problema é o que passou. Quando o alerta chega, o EDR já tem o antes e o depois — e permite agir antes de o próximo passo do ataque acontecer. O que ele não faz é decidir sozinho o que é crítico para o negócio, e é aí que começa a parte que a licença não resolve.

EDR, XDR e MDR: três escopos, três decisões

As siglas aparecem como sinônimos em muito material de fornecedor, e não são. A diferença não é de marca nem de preço: é de escopo de coleta e de quem opera. Confundir as três leva a comprar uma capacidade e a operar outra.

Dimensão	EDR	XDR	MDR
Escopo de coleta	Endpoint: estação, servidor e carga de trabalho	Endpoint somado a identidade, e-mail, rede e nuvem	As fontes que o serviço integra, definidas em contrato
O que entrega	Telemetria, detecção por comportamento, histórico e resposta remota	Correlação entre fontes, para enxergar ataque que atravessa camadas	Detecção e resposta executadas por equipe dedicada, com processo
Quem opera	A equipe da empresa, ou um parceiro contratado para isso	A equipe da empresa, com mais fontes para correlacionar	O provedor do serviço, em horário e escopo definidos
O que não resolve	Ataque fora do endpoint, sem contexto de identidade	Fonte que não foi integrada, alerta sem dono	Inventário incompleto, identidade fraca, ausência de política interna
Como se contrata	Licença por ativo coberto	Licença por ativo mais módulos e fontes adicionais	Serviço recorrente, com escopo, horário e acionamento em contrato
Erro comum	Comprar e não ler o alerta	Presumir que a correlação acontece sozinha	Presumir que o provedor assume a decisão de negócio

XDR não substitui EDR: ele soma fontes. Se o endpoint não tem telemetria boa, a correlação parte de dado pobre e o resultado é alerta com cara de contexto. MDR não é licença: é serviço, e o contrato precisa dizer quem é acionado, em que horário, com qual autoridade para isolar uma máquina e o que a empresa ainda precisa fazer. Nenhum dos três dispensa a organização de saber o que é crítico no próprio ambiente — essa informação não vem no pacote.

O que precisa existir antes de comprar EDR

EDR instalado em ambiente sem higiene vira sensor caro. Quatro coisas precisam estar minimamente resolvidas antes da cotação — e elas costumam dar mais trabalho que a instalação do agente.

Se algum desses pontos não existe, a compra pode esperar: o primeiro passo é o inventário. Há também uma consequência de licenciamento — sem saber quantos ativos existem, a cotação erra para cima ou para baixo, e a diferença só aparece na hora da apuração. O inventário não é burocracia: é o mesmo dado que dimensiona a licença e que permite priorizar o que isolar primeiro.

O custo que não está na cotação: quem lê o alerta

A licença é a parte visível. A parte que decide se o EDR funciona é operacional: alguém precisa triagem, investigar e responder. Um EDR em ambiente sem analista produz um de dois resultados — alerta que ninguém vê, ou fila que ninguém fecha. Os dois dão a mesma sensação de cobertura e o mesmo resultado real: nenhum.

O volume de alerta não é proporcional ao número de máquinas. Depende do perfil de uso, da qualidade das regras, do ajuste fino e do quanto a empresa aceita de falso positivo. No começo a taxa costuma ser maior; ela tende a cair com ajuste, e o ajuste exige alguém que conheça o ambiente e possa dizer o que é normal ali. Um alerta de processo suspeito no servidor de folha de pagamento não significa a mesma coisa que no notebook de um estagiário.

Comprar EDR e não ter analista não é economia: é transferir o custo para o dia do incidente, quando a máquina já está comprometida e a decisão precisa ser tomada sob pressão. Se não há quem execute a triagem e a resposta, o desenho coerente é contratar MDR ou um serviço gerenciado — não a licença mais barata.

Como escolher o nível: ESET, Kaspersky, SentinelOne e Bitdefender

As quatro linhas têm escadas diferentes. O critério não é qual é melhor, é qual escada encaixa no que a empresa consegue operar. Em todas, a composição de cada nível muda com o tempo: a conferência é no documento vigente do fabricante, e a vWare confirma por escrito o que está incluído antes de emitir proposta.

ESET PROTECT

A linha vai de Entry a MDR, passando por Advanced, Complete e Elite. A decisão começa em proteção de endpoint e sobe quando entra a necessidade de EDR nativo, criptografia de disco, gestão de patch ou proteção de e-mail e colaboração. O nível MDR é o ponto em que a operação de detecção e resposta deixa de ser interna — e é a escolha coerente para quem não tem equipe para ler alerta. Como o nome do nível não descreve o conteúdo por inteiro, confirme a composição antes de comparar preço.

Kaspersky Next

A linha é declaradamente uma escada de EDR para XDR: EDR Foundations, EDR Optimum, XDR Optimum e XDR Expert. Foundations cobre o endpoint com EDR; os níveis seguintes ampliam a correlação e a integração com outras fontes. A pergunta que ordena a escolha é se o ambiente já tem identidade, e-mail e nuvem instrumentados para correlacionar. Se não tem, subir para XDR compra capacidade que ninguém usa. Expert faz sentido quando existe operação de segurança madura para consumir o que o produto entrega.

SentinelOne Singularity

A plataforma Singularity organiza a proteção em torno de um agente e de módulos, com resposta que pode ser automática ou assistida. A decisão é de cobertura — estação, servidor e carga em nuvem — e de quanto de resposta a empresa quer automatizar. Automação sem política de exceção é risco: regra agressiva demais isola máquina crítica, frouxa demais não contém nada. A escolha do módulo deve seguir o inventário, não o contrário.

Bitdefender GravityZone

As edições são Small Business Security, Business Security, Business Security Premium e Enterprise. A escada acompanha porte e necessidade de gestão centralizada: ambiente pequeno com poucos administradores começa nas edições de entrada; ambiente com servidores, políticas por grupo e exigência de relatório sobe. O nível de EDR e de correlação incluído muda conforme a edição e os add-ons, então a comparação honesta é por recurso incluído, não por nome da edição.

Em qualquer das quatro, a pergunta final é a mesma: quem vai operar isso no dia a dia? Se a resposta é ninguém, o nível certo não é o mais caro — é o serviço que traz operação junto. Para a decisão de licenciamento em si, a consultoria de licenciamento cruza o inventário com a regra de cada fabricante.

O erro de licenciar servidor como estação

Servidor não é estação com outro nome. Em várias linhas de EDR, servidor tem SKU próprio, com cobertura e contagem próprias; dispositivo móvel pode ter SKU próprio também. Quando a empresa compra licença contando apenas notebooks, o servidor que hospeda o ERP, o arquivo e o banco fica descoberto — justamente onde uma credencial de serviço comprometida causa mais dano.

Conte separadamente, antes de pedir preço:

• Estações de trabalho, incluindo as que ficam fora do escritório.
• Servidores físicos e virtuais, com o sistema operacional de cada um.
• Cargas em nuvem que precisam de agente.
• Dispositivos móveis, quando a linha licencia esse tipo de ativo.
• Ativos sem agente, e o motivo de estarem sem — porque cada um é uma decisão registrada ou um esquecimento.

Existe também o erro inverso: instalar agente de estação em servidor para aproveitar a licença. Além de deixar o servidor com proteção inadequada, isso costuma violar o termo do fabricante e aparece na apuração como licença fora de conformidade — o mesmo tipo de passivo tratado em auditoria de licenças de software. A regra definitiva é o guia de licenciamento vigente do fabricante, e a métrica muda conforme a linha: o que vale para uma família de produto pode não valer para outra.

Antes de emitir proposta, a vWare confirma por escrito a regra de contagem aplicada e o SKU de cada tipo de ativo. Cotação por número de funcionários é chute; cotação por ativo coberto é a que fecha com menos surpresa depois.

Perguntas frequentes

EDR substitui o antivírus?

Não. Na prática, o agente de EDR costuma incluir a proteção antivírus, mas a categoria existe para cobrir o que a assinatura não vê. Manter as duas funções é o desenho normal; desligar a proteção de arquivo para usar só EDR não é ganho, é troca de cobertura.

Já tenho EDR. Preciso de XDR?

Depende de duas coisas: se as outras fontes estão integradas e se existe alguém para consumir a correlação. XDR sem telemetria de endpoint é fraco; XDR sem identidade e sem e-mail instrumentados é quase só painel. A decisão é por capacidade de operação, não por sigla.

MDR é licença ou serviço?

Serviço. O contrato define horário, escopo, quem é acionado e o que a empresa ainda precisa fazer — inclusive autorizar o isolamento de uma máquina. Terceirizar a operação não terceiriza a responsabilidade pelo ambiente.

Quantas licenças eu preciso?

Depende do inventário e da regra do fabricante, porque estação, servidor e dispositivo móvel podem ter SKU e contagem próprios. A vWare confirma por escrito a regra aplicada e o SKU de cada tipo de ativo antes da proposta; a contagem sai do inventário, não do número de funcionários.

Posso começar com EDR e subir de nível depois?

Em geral sim, mas a mudança de nível no meio do ciclo tem custo operacional e pode exigir reinstalação ou reconfiguração. Vale confirmar o caminho de upgrade e o prazo antes de contratar o nível de entrada, para não pagar duas vezes pela mesma migração.

Próximo passo: levante três informações antes da conversa — quantos endpoints e servidores existem e quantos ainda não estão inventariados, quem responde a alerta fora do horário e qual máquina não pode ser isolada sem aprovação. A vWare usa esses dados para dimensionar SKU e nível, e confirma a contagem por escrito antes de emitir proposta.