XDR, SIEM i EDR: en què es diferencien en un SOC real
L'EDR vigila l'endpoint, el SIEM centralitza logs de qualsevol font i l'XDR correlaciona diverses capes de sèrie. Què aporta cadascun a la feina diària d'un SOC.
- xdr
- siem
- edr
- soc
- vision-one
- deteccion
Un EDR vigila el que passa dins de cada equip i el pot aïllar. Un SIEM recull logs de qualsevol font, els guarda i permet correlacionar-los i cercar-hi. Un XDR ajunta la telemetria de diverses capes (endpoint, correu, identitat, xarxa, cloud) normalment d'un mateix fabricant, i la correlaciona per tu en un únic incident. No són substituts exactes: es solapen, i la majoria de SOC acaben fent servir dos dels tres.
Treballo a diari amb Trend Micro Vision One, que és un XDR, així que el que segueix surt d'aquesta perspectiva.
EDR: el detall de l'endpoint
L'EDR registra processos, connexions de xarxa, canvis al registre i fitxers, i detecta comportament sospitós al mateix equip. La seva força és la profunditat: pots veure l'arbre de processos complet d'un winword.exe que va llançar powershell.exe amb una ordre codificada, i aïllar l'equip de la xarxa amb un botó.
El seu límit és que només veu endpoints. Un inici de sessió des d'una IP estranya a Microsoft 365 o una regla de reenviament creada en una bústia no hi passen.
SIEM: tot en un lloc, a la teva manera
Un SIEM (Splunk, Microsoft Sentinel, QRadar, Elastic, Wazuh) ingesta logs del que vulguis: tallafocs, controladors de domini, proxies, aplicacions pròpies, cloud. El que aporta:
- Retenció llarga i cerca sobre tot aquest historial.
- Regles de correlació pròpies, escrites per al teu entorn.
- Compliment normatiu: moltes auditories demanen logs centralitzats durant un temps concret.
A canvi, dona feina: normalitzar fonts, escriure i afinar regles, pagar per volum ingestat. Un SIEM acabat d'instal·lar i sense afinar genera soroll, no detecció.
XDR: correlació ja feta
L'XDR parteix de què el fabricant controla els sensors de diverses capes i per tant els pot correlacionar de sèrie. A la pràctica, en lloc de tres alertes soltes (correu sospitós lliurat, macro executada, connexió a un domini nou) reps un únic incident amb la seqüència completa i l'usuari afectat.
Per al triatge d'alertes això canvia molt el temps per incident. La contrapartida és que la visibilitat és millor dins de l'ecosistema del fabricant i més pobra fora.
Taula comparativa
| EDR | SIEM | XDR | |
|---|---|---|---|
| Fonts | Endpoints | Qualsevol | Diverses capes, mateix fabricant |
| Correlació | A l'equip | Regles pròpies | De sèrie |
| Resposta | Aïllar, matar procés | Via SOAR | Integrada |
| Retenció | Curta | Llarga | Mitjana |
| Esforç d'ajust | Baix | Alt | Mitjà |
Quin necessita una empresa mitjana
Si cal triar-ne un, per a una organització sense equip per mantenir regles de correlació, un XDR (o un EDR amb servei gestionat) dona més detecció per hora de feina. El SIEM arriba quan cal retenció per normativa, quan hi ha fonts que l'XDR no cobreix (OT, aplicacions pròpies) o quan l'equip vol escriure la seva pròpia detecció. El normal és acabar amb XDR i SIEM alhora, amb l'XDR enviant els seus incidents al SIEM.
Preguntes freqüents
L'XDR substitueix el SIEM?
En algunes organitzacions petites, sí. Tan bon punt hi ha requisits de retenció de logs o fonts de tercers, no: es complementen.
Què és un SOAR?
Una plataforma d'orquestració i resposta automatitzada que executa playbooks sobre alertes: enriquir un IOC, obrir un tiquet, bloquejar un usuari. Molts SIEM i XDR ja inclouen part d'aquesta funció.
I l'MDR?
Managed Detection and Response no és un producte sinó un servei: un equip extern vigila i respon fent servir EDR o XDR. És l'opció quan no hi ha SOC propi 24x7.