SIEM, SOAR, XDR i EDR — czym się różnią i co wybrać

Cztery skróty w cztery zdania

EDR obserwuje zachowanie procesów na urządzeniach końcowych i potrafi je samodzielnie zatrzymać. XDR bierze ten sam mechanizm i rozciąga go na pocztę, tożsamość, chmurę i sieć, żeby powiązać zdarzenia, które osobno wyglądają niewinnie. SIEM zbiera i przechowuje logi z całej organizacji, jest pamięcią i materiałem dowodowym, nie czujnikiem. SOAR nie wykrywa niczego; wykonuje powtarzalne czynności po wykryciu, żeby człowiek nie klikał tego samego po raz setny.

Różnica, o którą naprawdę toczy się gra, nie leży w tym, który z nich widzi więcej. Leży w tym, ile decyzji zostawia człowiekowi i czy ten człowiek w ogóle jest na dyżurze o trzeciej w nocy, kiedy uruchamia się większość ataków szyfrujących.

EDR — czujnik na urządzeniu

EDR zastąpił antywirus w jednym konkretnym sensie: nie pyta „czy znam ten plik", tylko „czy to zachowanie ma sens". Masowe otwieranie plików w krótkim czasie, kasowanie kopii w tle, proces sięgający po dane uwierzytelniające z pamięci, to są sygnały, których sygnaturowy antywirus nie wychwyci, bo żaden z tych kroków nie wymaga złośliwego pliku na dysku.

Mocną stroną EDR-a jest to, że potrafi zareagować sam: zabić proces, odciąć hosta od sieci, w niektórych rozwiązaniach cofnąć zmiany wprowadzone przez ransomware. Przy medianie trzech dni od wejścia atakującego do wykrycia to bywa jedyna reakcja, która zdąży się wydarzyć bez udziału człowieka.

Czego EDR nie zobaczy

Agent siedzi na urządzeniu, więc wszystko, co dzieje się poza urządzeniem, jest poza jego zasięgiem. Logowanie do panelu chmurowego z wykradzionych danych, reguła przekierowania poczty założona w skrzynce prezesa, nadanie sobie uprawnień w katalogu, to nie są zdarzenia na endpoincie. A skoro według ankiety Sophos 79% ataków startuje dziś od tożsamości, mówimy o sporym kawałku problemu.

XDR — ten sam mechanizm, szerszy zakres

XDR to odpowiedź na powyższy martwy punkt. Zamiast patrzeć wyłącznie na urządzenie, zbiera telemetrię również z poczty, tożsamości, chmury i sieci, a następnie próbuje ułożyć z niej jedną historię. Wartość nie polega na tym, że danych jest więcej, tylko na tym, że pojedyncze zdarzenia zaczynają mieć sens dopiero razem.

Przykład, który widać w danych o przebiegu ataków: logowanie z nowego kraju samo w sobie nie jest incydentem. Uruchomienie narzędzia administracyjnego na serwerze też nie. Ale jedno i drugie w odstępie kilku minut, na tym samym koncie, to już próba przejęcia domeny, a mediana czasu do pierwszej próby dostępu do Active Directory wynosi dziś 3,40 godziny od wejścia.

SIEM — pamięć organizacji, nie czujnik

SIEM bywa kupowany z nadzieją, że „będzie wykrywał". Sensowniej myśleć o nim jako o pamięci: zbiera logi z systemów, których nie obejmie żadna telemetria bezpieczeństwa, z aplikacji biznesowych, urządzeń sieciowych, systemów przemysłowych — i trzyma je na tyle długo, żeby dało się odtworzyć przebieg zdarzeń wstecz.

To ma dwie praktyczne konsekwencje. Pierwsza jest zgodnościowa: bez zebranych i przechowywanych logów nie da się rzetelnie zgłosić incydentu ani wykazać, co się stało, a wymagają tego zarówno ustawa o krajowym systemie cyberbezpieczeństwa, jak i DORA w sektorze finansowym. Druga jest mniej wygodna.

Z badania Microsoftu i Omdii wynika, że do SIEM-a trafiają dane tylko z 59% narzędzi bezpieczeństwa. Mowa o wszystkim, co firma ma wdrożone: ochronie endpointów, firewallu, bramie pocztowej, dostawcy tożsamości, platformie chmurowej. Cztery na dziesięć z nich nigdy nie zostały podpięte, a wychodzi to dopiero wtedy, gdy analityk szuka w SIEM-ie zdarzenia, którego tam po prostu nie ma. Zanim dołożysz kolejne źródło, policz, ile z dotychczasowych rzeczywiście wysyła logi.

SOAR — automat na powtarzalne czynności

SOAR jest jedyną z tych czterech warstw, która nie wykrywa niczego. Wchodzi do gry po alercie i wykonuje sekwencję, którą i tak wykonałby człowiek: sprawdzenie adresu w bazie reputacyjnej, pobranie kontekstu o użytkowniku, zablokowanie konta, założenie zgłoszenia, powiadomienie właściwej osoby.

Sens ekonomiczny widać w jednej liczbie: według tego samego badania Microsoftu i Omdii 66% zespołów traci jedną piątą tygodnia na ręczne zbieranie i korelowanie danych. To jest dokładnie ta klasa pracy, którą automat wykonuje bez zmęczenia i bez pomyłek o trzeciej w nocy. Zastrzeżenie jest jednak istotne, automatyzacja złego procesu daje zły proces wykonywany szybciej. SOAR wdraża się na końcu, nie na początku.

Problemem nie jest to, czego nie widzisz

Tu dochodzimy do sedna. Z badania Microsoftu i Omdii, przeprowadzonego wśród 300 osób odpowiedzialnych za operacje bezpieczeństwa, wynika, że przeciętny analityk pracuje na 10,9 konsolach, 46% alertów okazuje się fałszywymi alarmami, a 42% alertów nikt nigdy nie bada, są zamykane, odrzucane albo rozwiązują się automatycznie, zanim ktokolwiek na nie spojrzy.

Jeśli te liczby opisują też Twoją organizację, to dokupienie piątego narzędzia nie rozwiąże problemu, powiększy go. Każda nowa warstwa detekcji to kolejne źródło alertów trafiających do tej samej, już przeciążonej kolejki. Pytanie brzmi nie „co jeszcze kupić", tylko „ile decyzji da się zdjąć z człowieka".

Narzędzie, na które nikt nie patrzy, nie jest zabezpieczeniem. Jest subskrypcją.

Kto obsługuje — pytanie, które przesądza o wyniku

Najmocniejsza liczba w tym temacie nie dotyczy żadnego z czterech skrótów. Mandiant, na podstawie ponad 500 tysięcy godzin reagowania na incydenty w 2025 roku, podaje, że globalna mediana dwell time wzrosła do 14 dni, z 11 dni rok wcześniej. W tym samym czasie odsetek organizacji, które wykryły włamanie samodzielnie, wzrósł z 43% do 52%. Blisko połowa nadal dowiaduje się o incydencie od kogoś z zewnątrz.

Ta różnica nie bierze się z lepszego narzędzia, tylko z tego, że ktoś patrzył. To dlatego, jak podaje Sophos w analizie 661 spraw incident response, 88% ataków szyfrujących uruchamia się poza godzinami pracy, nie z powodów technicznych, tylko dlatego, że wtedy nikogo nie ma. Więcej o tym, jak wygląda reakcja w praktyce, opisaliśmy w tekście o pierwszej godzinie po ataku ransomware.

Jak wybrać, zamiast kupować wszystko po kolei

Kolejność poniżej wynika z tego, ile ryzyka zdejmuje każdy krok w stosunku do nakładu. Nie jest to lista zakupowa, na wielu etapach właściwą decyzją jest zatrzymanie się i dostrojenie tego, co już jest.

1. Krok 1Każda organizacja
   Zacznij od EDR na wszystkim, co się da

   Bez telemetrii z urządzeń pozostałe warstwy nie mają czego korelować. Pokrycie ma tu większe znaczenie niż wybór dostawcy: EDR na 70% stacji zostawia 30% infrastruktury całkowicie niewidocznej, a atakujący znajdzie akurat tę część. Zadbaj o serwery, nie tylko o laptopy.

2. Krok 2Gdy masz pokrycie
   Dołóż tożsamość i pocztę, zanim dołożysz cokolwiek innego

   Skoro 79% ataków zaczyna się od tożsamości, a poczta i phishing odpowiadają za połowę wejść, to właśnie tam jest największy zwrot z rozszerzenia widoczności. Na tym etapie zaczyna się realny XDR, niezależnie od tego, jak nazwie to producent.

3. Krok 3Podmioty pod KSC, DORA lub ISO 27001
   Uporządkuj logi, jeśli wymaga tego regulacja

   SIEM wdrażaj wtedy, gdy potrzebujesz dowodu i retencji, a nie w nadziei, że zacznie wykrywać. Zacznij od spisu źródeł i sprawdzenia, ile z nich naprawdę wysyła logi, bo przeciętnie podpiętych jest 59% narzędzi.

4. Krok 4Gdy proces jest już opisany
   Automatyzuj dopiero opisane procesy

   SOAR ma sens, gdy potrafisz wypisać kroki, które analityk powtarza codziennie. Jeśli nie potrafisz ich wypisać, automatyzacja utrwali chaos zamiast go usunąć.

5. Krok 5Zawsze
   Rozstrzygnij, kto patrzy na wynik

   To jedyny krok bez alternatywy. Własny zespół całodobowy oznacza minimum kilka etatów zmianowych; SOC w modelu usługowym przenosi ten dyżur na zewnątrz. Trzecia opcja, kupić narzędzia i nie obsadzić dyżuru, jest tą, która produkuje statystykę 42% niezbadanych alertów.

Jak to wygląda w firmie na 200 osób

Weźmy podmiot, który podlega ustawie o krajowym systemie cyberbezpieczeństwa: 200 pracowników, trzy lokalizacje, dwuosobowy dział IT, serwerownia na miejscu i część systemów w chmurze. Nikt nie pracuje w nocy. To najczęstszy profil, z jakim wiąże się to pytanie, i jednocześnie ten, w którym kolejność zakupów decyduje o wszystkim.

Pierwszy rok to wyłącznie pokrycie. EDR na wszystkich stacjach i, co ważniejsze, na wszystkich serwerach, łącznie z tym jednym starym, którego nikt nie chce ruszać. Do tego wymuszone uwierzytelnianie wieloskładnikowe i przegląd kont uprzywilejowanych, bo to one są wektorem w czterech przypadkach na pięć. Backup odizolowany od domeny, z przetestowanym odtworzeniem, nie z zadeklarowanym.

Czego w tym roku nie kupować: SIEM-a. Przy dwuosobowym dziale IT stanie się kosztem licencji i miejscem, do którego nikt nie zagląda, a obowiązek dowodowy z KSC da się na tym etapie obsłużyć retencją logów z krytycznych systemów i uporządkowaną procedurą zgłoszeniową. Opisaliśmy ją w tekście o NIS2 i ustawie o KSC. SOAR odpada tym bardziej, bo nie ma jeszcze procesu, który dałoby się zautomatyzować.

Pytanie, które przy tym profilu zapada naprawdę, brzmi inaczej niż „co kupić". Brzmi: kto odbierze alert w sobotę o drugiej w nocy. Dwuosobowy zespół nie obsadzi dyżuru całodobowego, bo to matematycznie wymaga kilku etatów zmianowych. Zostają trzy modele i warto je porównać wprost.

Kto pełni dyżur: trzy modele

Wybór między nimi jest w praktyce wyborem tego, co zostaje po Twojej stronie. Żaden model nie zdejmuje odpowiedzialności za decyzje biznesowe: odłączenie systemu produkcyjnego czy powiadomienie organu nadzoru zawsze pozostaje w firmie.

Różnica między MDR a SOC bywa zacierana w materiałach marketingowych, więc warto zadać dostawcy trzy pytania wprost. Czy obsługujecie źródła spoza własnego portfolio. W jakim czasie reagujecie i co to znaczy: potwierdzenie przyjęcia czy podjęte działanie. Kto podejmuje decyzję o izolacji hosta w środku nocy, wy czy my. Odpowiedzi na te trzy pytania różnicują oferty mocniej niż lista funkcji.

Trzecia opcja, najczęstsza w praktyce, nie jest żadnym z tych modeli: kupić narzędzia i nie obsadzić dyżuru. To ona produkuje statystykę czterdziestu dwóch procent niezbadanych alertów. Jeśli chcesz zobaczyć, co realnie widzi Twoja obecna konfiguracja, audyt bezpieczeństwa odpowie na to szybciej niż kolejne wdrożenie.

Jedna platforma czy cztery narzędzia

Rozdzielenie na cztery kategorie jest wygodne w wyjaśnianiu, ale rynek idzie w przeciwną stronę, a dane o 10,9 konsolach na analityka pokazują dlaczego. Każde kolejne osobne narzędzie to kolejny format danych, kolejne okno i kolejne miejsce, w którym korelacja się urywa.

W ZeroLayer budujemy tę warstwę na platformie SentinelOne Singularity, która obejmuje wszystkie cztery obszary w jednym zbiorze danych: ochronę endpointów, XDR z tożsamością i chmurą, AI SIEM oraz Hyperautomation w roli automatyzacji reakcji. Jesteśmy certyfikowanym partnerem, nasi inżynierowie mają Paladin i SIREN, najwyższe poziomy certyfikacji przyznawane partnerom.

Konsolidacja nie jest jednak celem samym w sobie i nie zwalnia z kroku piątego. Jedna konsola, na którą nikt nie patrzy w nocy, daje dokładnie ten sam wynik co jedenaście.

Najczęstsze pytania

Podsumowanie

Cztery skróty opisują cztery różne funkcje, nie cztery poziomy tego samego produktu. EDR jest czujnikiem, XDR łącznikiem, SIEM pamięcią, SOAR wykonawcą. Wybór między nimi zaczyna się od trzeźwej odpowiedzi na pytanie, czego dziś nie widzisz i kto zareaguje, kiedy narzędzie w końcu coś zobaczy. Bez tej drugiej części każda inwestycja w wykrywanie kończy się jako kolejna pozycja w statystyce niezbadanych alertów.