MDR, XDR, SIEM ou SOC gerenciado: o que contratar

Quatro siglas, quatro propostas comerciais na mesa e a sensação incômoda de que todas dizem a mesma coisa com palavras diferentes. Se você já pediu orçamento de segurança gerenciada, conhece a cena: cada fornecedor chama o seu produto pelo nome que vende melhor naquele trimestre.

A confusão tem uma causa econômica. O mercado é enorme, com mais de 600 provedores só na categoria de MDR, e a diferenciação por sigla sai mais barata do que a diferenciação por serviço. Vários MSSPs simplesmente se rebatizaram como MDR sem mudar nada no que entregam.

A linha que organiza tudo não passa entre as siglas. Ela passa entre ferramenta e serviço.

SIEM e XDR são coisas que você opera; MDR e SOC gerenciado são pessoas que operam por você. A única pergunta que separa serviço bom de ruim, em qualquer sigla, é se o contrato autoriza conter ou apenas avisar.

Primeiro: ferramenta ou gente?

Antes de comparar fornecedor, responda o que está faltando na sua empresa. As duas carências são diferentes e se resolvem com coisas diferentes.

Falta visibilidade? Você não sabe o que acontece no ambiente, não tem log centralizado, descobre incidente pelo cliente reclamando. O problema é de ferramenta. Um SIEM ou um XDR resolve.

Falta gente? Você até tem ferramenta, mas ninguém olha o painel. Os alertas se acumulam, e às 3h da manhã de sábado não existe plantão. O problema é de operação. SOC as a Service ou MDR resolvem.

Comprar ferramenta quando falta gente é o erro clássico e caro: você adiciona mais um painel que ninguém abre. O mercado incentiva esse erro, porque vender licença é mais simples do que vender serviço.

MDR, XDR, SIEM e MSSP: o que cada sigla realmente é

Três observações sobre essa tabela.

SIEM e XDR não competem tanto quanto parece. O XDR nasceu para resolver o problema de correlacionar sinais de segurança de camadas diferentes, e faz isso melhor do que um SIEM genérico. O SIEM continua insubstituível quando a fonte é exótica (sistema legado, aplicação de negócio, mainframe) ou quando existe exigência de retenção longa para auditoria. Em empresa média é comum ter os dois, com papéis distintos: o XDR opera, o SIEM guarda.

MSSP é a categoria mais antiga e a mais mal compreendida. Ele é amplo por natureza: cuida de firewall, VPN, antivírus, patch, conformidade. Faz muita coisa, com pouca profundidade em detecção. Isso não o torna ruim, só diferente do que um MDR faz. Vira problema quando é vendido como MDR.

MDR tem definição formal, e vale usá-la. No Market Guide for Managed Detection and Response, a Gartner exige contenção e mitigação remotas, engajamento diário com os dados do cliente e achados ligados a risco de negócio. Se a proposta na sua mesa não cumpre esses três, ela pode ser um bom serviço, mas não é MDR, e você não deveria pagar preço de MDR por ela.

O critério que resolve a escolha

Existe uma frase que circula entre compradores desse mercado e que vale mais do que qualquer quadrante: quando o ransomware está se espalhando pela rede, o MSSP abre um chamado; o MDR contém enquanto liga para você.

É por isso que a pergunta certa não é "qual sigla?", e sim "quais ações vocês estão autorizados a executar sem a minha aprovação prévia?". Peça a lista, item por item:

• Isolar um endpoint da rede
• Desabilitar uma conta de usuário
• Revogar sessões ativas e tokens
• Bloquear um IP ou domínio no perímetro
• Derrubar um processo em execução

Se o fornecedor não consegue enumerar isso, a resposta é notificação. E notificação às 3h da manhã de domingo é exatamente igual a nada, porque ninguém vai ler.

Autoridade de contenção assusta, e com razão. Um provedor que isola o servidor errado numa quinta-feira de fechamento causa um prejuízo real. A saída é graduar essa autoridade em vez de negá-la. Defina uma lista curta de ações pré-autorizadas para cenários inequívocos (credencial usada de país onde você não opera, processo de criptografia em massa iniciado) e mantenha aprovação humana para o resto. O que não pode existir é a zona cinzenta em que ninguém sabe quem pode o quê.

As perguntas que separam proposta boa de proposta bonita

Complementando as seis do post de SOC as a Service, estas quatro são específicas para comparar fornecedores entre si:

1. Os analistas são dedicados ou compartilhados? Pool compartilhado grande reduz a sua prioridade justamente durante eventos de alto volume, ou seja, quando um ataque atinge muitos clientes ao mesmo tempo e você mais precisa de atenção. Quase ninguém pergunta isso na reunião comercial, e é o que mais dói depois.

2. O que é add-on pago? Confirme o escopo completo do contrato-base, não o que está disponível mediante contratação adicional. Retenção de log é o item que mais aparece como surpresa: a proposta cobre 30 dias, a auditoria exige 12 meses, e a diferença de preço aparece na renovação.

3. Quais são o MTTD e o MTTR reais? Tempo médio de detecção e tempo médio de resposta são as únicas métricas que descrevem o comportamento do provedor durante um ataque de verdade. Peça a média dos últimos 12 meses, não a meta contratual.

4. Vocês cobrem exposição ou só ataque? A Gartner projeta que, até 2028, 50% dos achados de provedores de MDR incluirão detalhe sobre exposição a ameaças, contra cerca de 20% hoje. Serviço maduro avisa também por onde você seria atacado, antes que alguém tente.

Como comparar preço sem se enganar

Propostas de segurança gerenciada são difíceis de comparar de propósito. Três medidas tornam a comparação honesta:

• Normalize a unidade. Exija preço por endpoint por mês, com o mesmo escopo em todos os fornecedores. Se um cobre nuvem e outro não, você não está comparando a mesma coisa.
• Some a retenção. Custo de armazenamento de log costuma ser cobrado à parte e cresce com o tempo. Projete 12 meses, não o primeiro.
• Precifique a saída. Pergunte o que acontece com os seus dados e com as regras de detecção escritas para você se o contrato terminar. Um serviço barato com saída cara é um serviço caro.

Uma ordem de compra que costuma funcionar

Se você está montando do zero, essa sequência evita comprar duas vezes:

1. Higiene primeiro. MFA em tudo, backup testado, EDR nos endpoints, atualizações em dia. Contratar detecção com a base malfeita é pagar alguém para relatar o óbvio. O roteiro está no guia de cibersegurança para PMEs.
2. Telemetria existindo. Verifique se os sistemas geram log e se alguém os retém. Esse levantamento sempre revela surpresa, e nuvem com trilha de auditoria desligada por economia é a mais comum delas.
3. Ferramenta ou gente, conforme a carência real. Na dúvida entre as duas, gente rende mais: ferramenta sem operador é prateleira.
4. Resposta contratada. Só então negocie autoridade de contenção, MTTR e escopo. É a etapa em que o dinheiro vira segurança de fato. Se precisar de um referencial para organizar as prioridades antes de negociar, o NIST Cybersecurity Framework é gratuito e serve bem como diagnóstico.

E vale a disciplina de SLA, SLO e OLA na hora de escrever o contrato: o compromisso que o fornecedor assume com você e o que ele assume internamente raramente coincidem.

O ponto que fica

As siglas vão continuar mudando: o mercado inventa uma nova a cada dois anos, e a próxima já está em algum slide. O que não muda é a estrutura por trás delas: alguém precisa enxergar, alguém precisa decidir e alguém precisa agir. Ferramenta resolve o primeiro. Serviço resolve os outros dois, se o contrato deixar.

Leve uma pergunta só para a próxima reunião comercial: contém ou avisa? A resposta reorganiza a proposta inteira, independentemente do nome que estiver na capa.