MDR, XDR, SIEM ou SOC gerenciado: o que contratar

Quatro siglas, quatro propostas comerciais na mesa e a sensação incômoda de que todas dizem a mesma coisa com palavras diferentes. Se você já pediu orçamento de segurança gerenciada, conhece a cena: cada fornecedor chama o seu produto pelo nome que vende melhor naquele trimestre.

A confusão não é acidental. O mercado é enorme — mais de 600 provedores só na categoria de MDR — e a diferenciação por sigla é mais barata do que a diferenciação por serviço. Vários MSSPs simplesmente se rebatizaram como MDR sem mudar nada no que entregam.

Existe, no entanto, uma linha que organiza tudo. Ela não passa entre as siglas: passa entre ferramenta e serviço.

A tese em uma frase: SIEM e XDR são coisas que você opera; MDR e SOC gerenciado são pessoas que operam por você — e a única pergunta que separa serviço bom de ruim, em qualquer sigla, é se o contrato autoriza conter ou apenas avisar.

Primeiro: ferramenta ou gente?

Antes de comparar fornecedor, responda o que está faltando na sua empresa. As duas carências são diferentes e se resolvem com coisas diferentes.

Falta visibilidade? Você não sabe o que acontece no ambiente, não tem log centralizado, descobre incidente pelo cliente reclamando. O problema é de ferramenta. Um SIEM ou um XDR resolve.

Falta gente? Você até tem ferramenta, mas ninguém olha o painel. Os alertas se acumulam, e às 3h da manhã de sábado não existe plantão. O problema é de operação. SOC as a Service ou MDR resolvem.

Comprar ferramenta quando falta gente é o erro clássico e caro — você adiciona mais um painel que ninguém abre. E é um erro que o mercado incentiva, porque vender licença é mais simples do que vender serviço.

MDR, XDR, SIEM e MSSP: o que cada sigla realmente é

Três observações sobre essa tabela.

SIEM e XDR não competem tanto quanto parece. O XDR nasceu para resolver o problema de correlacionar sinais de segurança de camadas diferentes, e faz isso melhor do que um SIEM genérico. O SIEM continua insubstituível quando a fonte é exótica — sistema legado, aplicação de negócio, mainframe — ou quando existe exigência de retenção longa para auditoria. Em empresa média é comum ter os dois, com papéis distintos: o XDR opera, o SIEM guarda.

MSSP é a categoria mais antiga e a mais mal compreendida. Ele é amplo por natureza: cuida de firewall, VPN, antivírus, patch, conformidade. Faz muita coisa, com pouca profundidade em detecção. Não é ruim — é outra coisa. Vira problema quando é vendido como MDR.

MDR tem definição formal, e vale usá-la. No Market Guide for Managed Detection and Response, a Gartner exige contenção e mitigação remotas, engajamento diário com os dados do cliente e achados ligados a risco de negócio. Se a proposta na sua mesa não cumpre esses três, ela pode ser um bom serviço — mas não é MDR, e você não deveria pagar preço de MDR por ela.

O critério que resolve a escolha

Existe uma frase que circula entre compradores desse mercado e que vale mais do que qualquer quadrante: quando o ransomware está se espalhando pela rede, o MSSP abre um chamado; o MDR contém enquanto liga para você.

É por isso que a pergunta certa não é "qual sigla?", e sim "quais ações vocês estão autorizados a executar sem a minha aprovação prévia?". Peça a lista, item por item:

• Isolar um endpoint da rede
• Desabilitar uma conta de usuário
• Revogar sessões ativas e tokens
• Bloquear um IP ou domínio no perímetro
• Derrubar um processo em execução

Se o fornecedor não consegue enumerar isso, a resposta é notificação. E notificação às 3h da manhã de domingo é exatamente igual a nada, porque ninguém vai ler.

O contraponto honesto: autoridade de contenção assusta, e com razão. Um provedor que isola o servidor errado numa quinta-feira de fechamento causa um prejuízo real. A saída não é negar a autoridade — é graduá-la. Defina uma lista curta de ações pré-autorizadas para cenários inequívocos (credencial usada de país onde você não opera, processo de criptografia em massa iniciado) e mantenha aprovação humana para o resto. O que não pode existir é a zona cinzenta em que ninguém sabe quem pode o quê.

As perguntas que separam proposta boa de proposta bonita

Complementando as seis do post de SOC as a Service, estas quatro são específicas para comparar fornecedores entre si:

1. Os analistas são dedicados ou compartilhados? Pool compartilhado grande reduz a sua prioridade justamente durante eventos de alto volume — ou seja, exatamente quando um ataque atinge muitos clientes ao mesmo tempo e você mais precisa de atenção. É a pergunta que ninguém faz e que mais dói depois.

2. O que é add-on pago? Confirme o escopo completo do contrato-base, não o que está disponível mediante contratação adicional. Retenção de log é o item que mais aparece como surpresa: a proposta cobre 30 dias, a auditoria exige 12 meses, e a diferença de preço aparece na renovação.

3. Quais são o MTTD e o MTTR reais? Tempo médio de detecção e tempo médio de resposta são as únicas métricas que descrevem o comportamento do provedor durante um ataque de verdade. Peça a média dos últimos 12 meses, não a meta contratual.

4. Vocês cobrem exposição ou só ataque? É o critério que separa quem está à frente. A Gartner projeta que, até 2028, 50% dos achados de provedores de MDR incluirão detalhe sobre exposição a ameaças, contra cerca de 20% hoje. Serviço maduro não avisa apenas que você foi atacado — avisa por onde você seria.

Como comparar preço sem se enganar

Propostas de segurança gerenciada são difíceis de comparar de propósito. Três medidas tornam a comparação honesta:

• Normalize a unidade. Exija preço por endpoint por mês, com o mesmo escopo em todos os fornecedores. Se um cobre nuvem e outro não, você não está comparando a mesma coisa.
• Some a retenção. Custo de armazenamento de log costuma ser cobrado à parte e cresce com o tempo. Projete 12 meses, não o primeiro.
• Precifique a saída. Pergunte o que acontece com os seus dados e com as regras de detecção escritas para você se o contrato terminar. Um serviço barato com saída cara é um serviço caro.

Uma ordem de compra que costuma funcionar

Se você está montando do zero, essa sequência evita comprar duas vezes:

1. Higiene primeiro. MFA em tudo, backup testado, EDR nos endpoints, atualizações em dia. Contratar detecção com a base malfeita é pagar alguém para relatar o óbvio. O roteiro está no guia de cibersegurança para PMEs.
2. Telemetria existindo. Verifique se os sistemas geram log e se alguém os retém. Esse levantamento sempre revela surpresa — nuvem com trilha desligada por economia é a mais comum.
3. Ferramenta ou gente, conforme a carência real. Na dúvida entre as duas, gente rende mais: ferramenta sem operador é prateleira.
4. Resposta contratada. Só então negocie autoridade de contenção, MTTR e escopo. É a etapa em que o dinheiro vira segurança de fato. Se precisar de um referencial para organizar as prioridades antes de negociar, o NIST Cybersecurity Framework é gratuito e serve bem como diagnóstico.

E vale a disciplina de SLA, SLO e OLA na hora de escrever o contrato: o compromisso que o fornecedor assume com você e o que ele assume internamente raramente coincidem.

O ponto que fica

As siglas vão continuar mudando — o mercado inventa uma nova a cada dois anos, e a próxima já está em algum slide. O que não muda é a estrutura por trás delas: alguém precisa enxergar, alguém precisa decidir e alguém precisa agir. Ferramenta resolve o primeiro. Serviço resolve os outros dois, se o contrato deixar.

Leve uma pergunta só para a próxima reunião comercial: contém ou avisa? A resposta reorganiza a proposta inteira, independentemente do nome que estiver na capa.