O que é EDR? A diferença para antivírus, XDR e MDR

Durante duas décadas, proteger um computador significou manter uma lista atualizada de coisas ruins conhecidas. O antivírus comparava cada arquivo com essa lista e bloqueava o que batia. Funcionou enquanto o malware era um arquivo que se repetia.

Deixou de funcionar por dois motivos simples. Primeiro, gerar uma variante nova ficou trivial — basta mudar alguns bytes e a assinatura não bate mais. Segundo, e mais importante: boa parte dos ataques modernos não usa arquivo malicioso nenhum. Usa ferramentas que já estão no sistema, credenciais legítimas e comandos administrativos comuns. Não há o que comparar com lista alguma.

O EDR nasceu dessa lacuna. Em vez de perguntar "esse arquivo é conhecidamente ruim?", ele pergunta "essa sequência de ações faz sentido?".

A tese em uma frase: o EDR troca a pergunta sobre o arquivo por uma pergunta sobre o comportamento — e é essa mudança, não a marca do produto, que decide se você enxerga um ataque que não trouxe malware junto.

O que o EDR faz que o antivírus não faz

Três capacidades, e nenhuma delas existe no modelo de assinatura.

Enxerga a sequência, não o arquivo. Um documento do Word abre o PowerShell, que baixa algo da internet, que escreve no registro para persistir, que começa a ler arquivos em massa. Cada passo, isolado, é uma operação legítima do sistema. A sequência é que denuncia. É esse encadeamento que o EDR avalia. O vocabulário de referência para nomear essas sequências é a matriz MITRE ATT&CK — e vale perguntar ao fornecedor qual cobertura dela o produto tem.

Guarda a linha do tempo. Depois de um incidente, a pergunta que decide a resposta é "por onde entrou e o que tocou?". Sem EDR, isso é arqueologia com sorte. Com EDR, é uma consulta: qual processo criou qual processo, que arquivo foi lido, para qual endereço houve conexão.

Responde remotamente. Isolar a máquina da rede mantendo o acesso do time de segurança, matar um processo, apagar um arquivo, reverter uma alteração — sem que alguém precise ir até a mesa do usuário. Num incidente às 2h da manhã, isso é a diferença entre conter e assistir.

E a capacidade que quase ninguém usa: a caça retroativa. Descoberto um indicador — um endereço, um hash, um nome de processo —, você pergunta ao EDR se aquilo apareceu em qualquer outra máquina nos últimos meses. É assim que se descobre que o incidente de hoje começou em março.

EDR, XDR e MDR: a escada

Aqui está a confusão mais comum do mercado, e ela se resolve com uma pergunta: ferramenta ou gente?

O EDR enxerga o endpoint com profundidade. O XDR pega essa telemetria e correlaciona com rede, e-mail, nuvem e identidade — o que revela ataques invisíveis a qualquer camada isolada. Um login vindo de um país incomum é só um alerta fraco; um login incomum seguido de download em massa no endpoint é um incidente.

O MDR não é uma ferramenta melhor: é gente operando a ferramenta 24 horas por dia. Se ninguém na sua empresa lê alerta às 3h de domingo, a resposta não é comprar XDR — é contratar operação, assunto do post sobre SOC as a Service e do comparativo MDR, XDR, SIEM ou SOC gerenciado.

A armadilha do EDR não monitorado

Vale um aviso franco, porque é o erro mais caro que vejo nessa categoria.

EDR gera alertas melhores do que antivírus — e gera mais alertas, muitos deles ambíguos por natureza, porque comportamento suspeito nem sempre é malicioso. Um EDR instalado e nunca olhado não protege: ele registra com fidelidade impressionante o ataque que ninguém interrompeu.

A pergunta a responder antes de comprar: quem lê os alertas, em que horário, e com autoridade para isolar uma máquina de produção? Se a resposta for "o pessoal de TI, quando dá", você está comprando um gravador.

Isso não desqualifica o EDR — mesmo sem monitoramento contínuo, o bloqueio automático das ameaças óbvias já justifica a troca do antivírus. Só não confunda instalação com proteção.

O que perguntar na hora de comprar

Cinco perguntas que separam proposta boa de folheto:

1. O agente funciona sem internet? Máquina em campo, rede isolada ou durante um ataque que derrubou o link precisa continuar protegida e guardando telemetria para enviar depois.
2. Quanto tempo de telemetria fica retido, e quanto custa mais? Retenção curta impede a caça retroativa, que é justamente onde está o valor. Confirme se a retenção maior é add-on pago.
3. Quais ações de resposta são automáticas? Isolar host, matar processo, reverter alteração — e sob que condição cada uma dispara.
4. Qual o impacto em desempenho? Peça teste no seu ambiente, especialmente em servidor de banco de dados e em estação de engenharia.
5. Cobre Linux, macOS e servidor? Muitos produtos são fortes em Windows e fracos no resto, e o parque real raramente é homogêneo.

E um detalhe de arquitetura que vira problema: não rode dois produtos completos de proteção de endpoint na mesma máquina. Eles disputam os mesmos ganchos do sistema operacional, e o resultado costuma ser lentidão e falha de detecção nos dois. Escolha um, desinstale o outro.

Onde o EDR se encaixa na defesa

Ele é uma camada, não a defesa inteira. O conjunto que funciona para uma empresa média:

• Firewall, antivírus/EDR e DNS seguro como base de proteção em profundidade.
• MFA em tudo, porque credencial válida é o que o invasor mais usa para circular.
• Backup 3-2-1 testado, porque nenhuma detecção é perfeita.
• Alguém lendo os alertas, próprio ou contratado.

O EDR entra como o olho dentro da máquina — o único ponto onde se vê o que realmente aconteceu depois que todas as outras camadas foram atravessadas. É também de onde vem a evidência que sustenta a fase de análise de um plano de resposta a incidentes.

O ponto que fica

A migração de antivírus para EDR não é atualização de produto, é mudança de premissa: parou de ser possível saber de antemão o que é ruim, então passou-se a observar o que é estranho.

Isso traz um custo que ninguém menciona no material de vendas: estranho exige julgamento. Onde o antivírus dava uma resposta binária, o EDR entrega contexto e pede decisão. Ele torna a defesa muito mais capaz e um pouco menos automática.

Por isso a pergunta certa antes de comprar não é qual produto detecta mais — é quem vai olhar. A resposta a essa segunda pergunta define se você precisa de ferramenta ou de serviço.