MDR (Managed Detection and Response, управляемое обнаружение и реагирование) — аутсорсинговый сервис безопасности, в котором аналитики провайдера круглосуточно отслеживают инфраструктуру клиента, ищут угрозы и реагируют на атаки.
Как работает MDR
MDR-провайдер разворачивает у клиента средства обнаружения или подключается к уже имеющимся — обычно это агенты EDR на конечных точках, часто дополненные телеметрией сети, облака и систем идентификации или полноценной XDR-платформой. Затем аналитики провайдера:
- круглосуточно разбирают оповещения и отсеивают ложные срабатывания;
- расследуют подозрительную активность и ведут проактивный поиск угроз;
- принимают меры реагирования: изолируют хост, завершают процесс, блокируют скомпрометированную учётную запись;
- отчитываются о находках и дают рекомендации по устранению последствий и укреплению защиты.
Ключевое отличие от классического провайдера управляемых услуг безопасности (MSSP) — именно реагирование: MSSP обычно лишь пересылает оповещения, а команда MDR активно расследует и сдерживает угрозы.
Почему MDR важен
Собственный центр мониторинга безопасности требует круглосуточных смен, опытных аналитиков и дорогих инструментов — многим средним компаниям это не по силам. Операторы программ-вымогателей намеренно атакуют ночью, в выходные и праздники, когда за консолями никто не следит; если от первичного доступа до шифрования проходят часы, ждать понедельника некогда. MDR даёт таким организациям непрерывный мониторинг и экспертное реагирование за предсказуемую цену, без необходимости нанимать и удерживать собственную команду.
Как выбрать MDR-сервис
- Уточнить, какие действия по реагированию провайдер может выполнять без согласования.
- Проверить охват: только конечные точки или также облако, почта и учётные записи.
- Узнать о гарантированном времени реакции и порядке эскалации инцидентов.
- Убедиться, что сервис вписывается в ваш план реагирования на инциденты и что доступ к собранным данным остаётся у вас.
