MDR (Managed Detection and Response)

Co to jest MDR (Managed Detection and Response)?

MDR (Managed Detection and Response), czyli zarządzane wykrywanie i reagowanie na zagrożenia, to usługa cyberbezpieczeństwa łącząca technologię wykrywania zagrożeń z pracą zespołu analityków, którzy monitorują środowisko klienta całodobowo i aktywnie reagują na incydenty. Według Gartnera MDR zapewnia funkcje zdalnie prowadzonego centrum operacji bezpieczeństwa (SOC), dzięki czemu organizacja wykrywa, analizuje i powstrzymuje ataki bez budowania własnego zespołu.

Jakie są 4 filary działania usługi MDR?

Usługa MDR opiera się na 4 filarach: ciągłym monitoringu, weryfikacji i selekcji (triage) alertów, aktywnym poszukiwaniu zagrożeń (threat hunting) oraz powstrzymywaniu incydentów (containment). Sama technologia, bez zespołu analityków, zbiera  jedynie zdarzenia i nie zatrzymuje ataku.

Na czym polega ciągły monitoring w MDR?

Ciągły monitoring w MDR polega na zbieraniu i korelowaniu telemetrii z punktów końcowych, sieci, systemów tożsamości i chmury. Agenci zainstalowani na urządzeniach i czujniki sieciowe rejestrują w czasie rzeczywistym uruchamiane procesy, modyfikacje plików, połączenia sieciowe oraz aktywność użytkowników. Konsolidacja danych na platformie XDR (Extended Detection and Response) oferuje rozwiązanie na problem rozproszenia danych między narzędziami i zapewnia analitykowi pełną ścieżkę ataku.

Kluczową rolę w procesie monitoringu pełni również system SIEM (Security Information and Event Management). SIEM agreguje i przechowuje logi z różnych źródeł, umożliwiając ich centralną analizę, korelację zdarzeń oraz wykrywanie podejrzanych aktywności na podstawie zdefiniowanych reguł i scenariuszy. W połączeniu z platformą XDR zapewnia pełniejszy obraz środowiska IT, wspierając analityków w szybkiej identyfikacji zagrożeń, analizie incydentów oraz podejmowaniu działań reakcyjnych.

Czym jest triage alertów?

Triage alertów to proces weryfikacji kontekstu każdego powiadomienia przez analityka oraz oddzielenia rzeczywistego zagrożenia od standardowej aktywności użytkowników. Modele uczenia maszynowego miewają trudności z wykrywaniem ataków typu living-off-the-land, które wykorzystują zaufane narzędzia systemowe obecne w środowisku – dlatego o ostatecznej ocenie alertu decyduje człowiek. Do zespołu IT klienta trafiają wyłącznie potwierdzone incydenty wraz z kompletem dowodów. Ogranicza to liczbę fałszywych alarmów (false positives) i zmniejsza zmęczenie alertami w zespole klienta.

Czym jest threat hunting w MDR?

Threat hunting w MDR to proaktywne poszukiwanie śladów atakującego  przy założeniu, że mógł on już przeniknąć do środowiska, zanim zabezpieczenia wygenerowały alert. Analitycy korzystają z wywiadu o zagrożeniach (Threat Intelligence) oraz taktyk, technik i procedur (TTP) skatalogowanych w bazie MITRE ATT&CK. Pozwala to wykryć mechanizmy utrzymania dostępu (persistence) oraz ruch boczny (lateral movement), zanim dojdzie do kradzieży danych lub ich zaszyfrowania.

Na czym polega powstrzymywanie zagrożeń (containment)?

Powstrzymywanie zagrożeń (containment) to etap procesu MDR, którego celem jest szybkie ograniczenie skutków incydentu bezpieczeństwa i uniemożliwienie dalszego rozprzestrzeniania się ataku w środowisku organizacji. Po potwierdzeniu zagrożenia dostawca MDR podejmuje działania zgodne z wcześniej uzgodnionymi procedurami reagowania (playbookami).

W zależności od charakteru incydentu działania mogą obejmować izolację zainfekowanych punktów końcowych, blokowanie złośliwych procesów, unieważnianie przejętych sesji użytkowników, resetowanie haseł, wyłączanie skompromitowanych kont lub blokowanie podejrzanego ruchu sieciowego na zaporach i innych urządzeniach bezpieczeństwa.

Kluczową rolę w tym procesie odgrywają platformy SOAR (Security Orchestration, Automation and Response), które automatyzują i koordynują działania naprawcze, skracając czas reakcji na incydent (MTTR – Mean Time to Respond) oraz ograniczając ryzyko eskalacji ataku. Dzięki szybkiemu wdrożeniu działań powstrzymujących organizacja może zminimalizować potencjalne straty operacyjne, finansowe i reputacyjne wynikające z naruszenia bezpieczeństwa.

Czym MDR różni się od EDR, MSSP i własnego SOC?

MDR różni się od EDR, MSSP i własnego SOC pod względem zakresu odpowiedzialności za wykrywanie zagrożeń, analizę incydentów oraz podejmowanie działań reakcyjnych. 

SOC to funkcja organizacyjna odpowiedzialna za całodobowe monitorowanie bezpieczeństwa środowiska IT oraz obsługę incydentów. Organizacja może zbudować własny SOC, korzystać z modelu hybrydowego lub powierzyć część tych zadań zewnętrznemu dostawcy usług MDR.

EDR jest technologią służącą do monitorowania i ochrony punktów końcowych, takich jak stacje robocze i serwery. Rozwiązanie to gromadzi szczegółowe dane o aktywności systemów i umożliwia wykrywanie podejrzanych działań. Samo wdrożenie EDR nie gwarantuje jednak skutecznej ochrony – kluczowe znaczenie ma bieżąca analiza danych i szybka reakcja na wykryte zagrożenia.

MSSP koncentruje się przede wszystkim na zarządzaniu narzędziami bezpieczeństwa, monitorowaniu logów oraz utrzymaniu infrastruktury zabezpieczeń. W wielu przypadkach dostawca przekazuje klientowi alerty i rekomendacje, natomiast odpowiedzialność za analizę incydentu i działania naprawcze pozostaje po stronie organizacji.

MDR łączy zaawansowane technologie detekcji z pracą wyspecjalizowanych analityków bezpieczeństwa. Obejmuje nie tylko monitorowanie i wykrywanie zagrożeń, lecz także ich weryfikację, threat hunting oraz aktywne działania ograniczające skutki incydentów.

Aspekt	Własny SOC	Tradycyjny MSSP	Usługa MDR
Cel	Własne kompetencje i pełna kontrola	Outsourcing zarządzania infrastrukturą i monitoringu logów	Szybkie wykrycie i aktywne powstrzymanie incydentu
Model	Własny zespół analityków L1–L3 i specjalistów DFIR (informatyka śledcza i reagowanie na incydenty)	Zarządzanie narzędziami klienta	Gotowa usługa: technologia i zespół dostawcy
Alerty	Samodzielna selekcja (triage), ryzyko przeciążenia	Przekazywanie powiadomień, zwykle bez weryfikacji	Selekcja (triage) i eliminacja fałszywych alarmów przed eskalacją
Threat hunting	Zależny od zasobów zespołu	Zwykle poza standardową ofertą	Stały element usługi
Reakcja	Zespół klienta	Zalecenia; działania wykonuje klient	Izolacja i blokady wykonywane bezpośrednio przez dostawcę
Koszty	Wysokie – zespół, licencje i infrastruktura po stronie organizacji	Niskie do średnich – abonament za zarządzanie narzędziami i monitoring	Średnie – przewidywalny abonament obejmujący technologię i zespół

Jak MDR wpisuje się w wytyczne NIST SP 800-61?

MDR realizuje głównie funkcje Detect, Respond i Recover z modelu opisanego w wytycznych NIST SP 800-61 Rev. 3. Wersja z kwietnia 2025 roku zastąpiła Rev. 2 i jej tradycyjny, czterofazowy cykl reagowania (przygotowanie; wykrywanie i analiza; powstrzymanie, usunięcie zagrożenia i odzyskiwanie; działania po incydencie). Nowy model opiera się na sześciu funkcjach NIST CSF 2.0. Wiele scenariuszy reagowania (playbooków) nadal korzysta z klasycznych faz – pełny opis cyklu reagowania, w tym modelu SANS PICERL, zawiera hasło Incident Response.

Funkcja CSF 2.0	Rola w reagowaniu na incydenty	Wkład usługi MDR
Govern, Identify, Protect	Polityki, zarządzanie ryzykiem, zabezpieczenia prewencyjne, przygotowanie do incydentów, wnioski i doskonalenie (Improvement)	Podłączenie źródeł telemetrii, dostrojenie reguł wykrywania, zalecenia dotyczące wzmocnienia zabezpieczeń, aktualizacja reguł na podstawie wniosków z incydentów
Detect	Wykrywanie i analiza zdarzeń, potwierdzenie incydentu	Całodobowy monitoring, triage alertów, threat hunting
Respond	Analiza incydentu, powstrzymanie, usunięcie zagrożenia, raportowanie i komunikacja	Analiza przyczyn, izolacja hostów, blokowanie domen serwerów C2 (Command and Control), unieważnianie sesji i poświadczeń, materiał do zgłoszeń
Recover	Przywrócenie systemów i usług do normalnego działania	Weryfikacja, czy zagrożenie nie powróciło po odtworzeniu systemów, raport z obsługi incydentu

W spełnieniu jakich wymogów UoKSC pomaga usługa MDR?

Usługa MDR (Managed Detection and Response) może istotnie wspierać podmioty kluczowe i ważne w realizacji obowiązków wynikających ze znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (UoKSC). Nie oznacza to jednak przeniesienia odpowiedzialności za zgodność z ustawą na dostawcę MDR – odpowiedzialność pozostaje po stronie organizacji.

ednym z najważniejszych obszarów wsparcia jest zarządzanie incydentami. Znowelizowana UoKSC nakłada na podmioty objęte regulacją obowiązek posiadania procedur umożliwiających wykrywanie, analizowanie, obsługę i zgłaszanie incydentów. MDR zapewnia całodobowy monitoring środowiska, analizę alertów oraz wsparcie w identyfikacji i obsłudze incydentów.

Usługa MDR pomaga również wywiązać się z obowiązku zgłaszania incydentów poważnych w terminach wymaganych przez znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa (UoKSC). W przypadku wystąpienia ważnego incydentu podmioty kluczowe i ważne muszą przekazać do CSIRT:

1. Wczesne ostrzeżenie – w ciągu 24 godzin od wykrycia.
2. Zgłoszenie incydentu – w ciągu 72 godzin.
3. Raport końcowy – w ciągu 1 miesiąca od zgłoszenia incydentu, z analizą przyczyn źródłowych.

Stały monitoring pozwala szybciej wykryć zdarzenie, rozpocząć jego analizę i zgromadzić informacje potrzebne do przygotowania zgłoszenia. Dostawca MDR może również wspierać organizację w przygotowaniu danych dotyczących przebiegu incydentu, jego zakresu, podjętych działań oraz skutków. Same obowiązki raportowe i terminy ich realizacji pozostają jednak po stronie podmiotu zobowiązanego.

Osobnym obowiązkiem jest audyt bezpieczeństwa. Podmioty kluczowe podlegają obowiązkowi przeprowadzania audytu co najmniej raz na trzy lata. Dla podmiotów kluczowych, które nie były wcześniej operatorami usług kluczowych, pierwszy audyt należy przeprowadzić do 3 kwietnia 2028 r., zgodnie z obowiązującym harmonogramem.

Dokumentacja tworzona w ramach usługi MDR – w szczególności rejestry alertów i incydentów, wyniki analiz, informacje o podjętych działaniach oraz dane dotyczące monitoringu – może stanowić materiał pomocniczy dla audytora. Pozwala udokumentować sposób realizacji określonych procesów bezpieczeństwa, ale sama umowa lub usługa MDR nie jest równoznaczna ze spełnieniem wszystkich wymagań UoKSC. Audyt obejmuje szerszy zakres organizacyjnych, technicznych i proceduralnych środków bezpieczeństwa.

Co składa się na koszt MDR w porównaniu z własnym SOC?

Koszt MDR obejmuje technologię oraz pracę zespołu analityków odpowiedzialnych za całodobowy monitoring, analizę alertów, threat hunting i wsparcie w reagowaniu na incydenty. Własny SOC wymaga natomiast osobnego finansowania licencji, infrastruktury i zespołu.

Samo obsadzenie jednego stanowiska w trybie 24/7 wymaga około 4,2 etatu. Po uwzględnieniu urlopów, zwolnień i szkoleń potrzeba zwykle około 5–6 etatów, a pełny SOC wymaga dodatkowo podziału kompetencji na poziomy L1–L3 oraz specjalistów ds. threat huntingu i reagowania na incydenty. Rotacja pracowników oznacza również ryzyko utraty wiedzy o środowisku.

W modelu MDR koszty są bardziej przewidywalne – abonament obejmuje uzgodniony zakres monitoringu, technologie oraz dostęp do zespołu ekspertów. Nie oznacza to jednak, że MDR zawsze jest tańsze od własnego SOC. Koszt zależy m.in. od liczby monitorowanych zasobów, zakresu telemetrii i poziomu wymaganej reakcji.

MDR może również wspierać spełnienie wymagań stawianych przez ubezpieczycieli cyber, którzy przy ocenie ryzyka mogą brać pod uwagę m.in. EDR, monitoring bezpieczeństwa i procedury reagowania na incydenty. Wpływ MDR na warunki polisy zależy jednak od wymagań konkretnego ubezpieczyciela.

Jak wybrać dostawcę usługi MDR – 9 kryteriów?

Dostawcę usługi MDR warto oceniać nie tylko na podstawie zakresu deklarowanego w ofercie, ale przede wszystkim na podstawie rzeczywistych możliwości technologicznych, kompetencji zespołu i sposobu reagowania na incydenty. Przed wyborem dostawcy warto sprawdzić dziewięć kluczowych obszarów: 

• Zakres telemetrii – czy usługa obejmuje punkty końcowe, sieć, tożsamość i chmurę, czy tylko wybrane obszary infrastruktury.
• Środowiska chmurowe i kontenerowe – czy dostawca monitoruje zasoby, na których nie da się zainstalować agenta, wykorzystując np. np. logi audytowe i natywne mechanizmy monitorowania chmury.
• SLA – czy umowa określa nie tylko czas wykrycia, ale też gwarantowany czas podjęcia działań powstrzymujących (containment), liczony w minutach.
• Uprawnienia do reagowania – czy dostawca może samodzielnie izolować urządzenie lub zablokować konto, czy każda reakcja wymaga wcześniejszej zgody klienta
• Wsparcie w zgłoszeniach – czy dostawca pomaga w przygotowaniu informacji i dokumentacji potrzebnych do zgłoszenia incydentu do właściwego CSIRT, zgodnie z wymaganiami UoKSC.
• Threat hunting – czy dostawca prowadzi regularne, proaktywne poszukiwanie zagrożeń z wykorzystaniem Threat Intelligence i TTP, czy usługa ogranicza się do reakcji na wygenerowane alerty.
• Integrację z obecnymi narzędziami – czy MDR może wykorzystywać wdrożone już rozwiązania EDR, SIEM i inne systemy bezpieczeństwa, czy wymaga zastąpienia ich własną technologią.
• Rolę AI – czy automatyzacja wspiera pracę analityków, a najważniejsze decyzje o reakcji pozostają pod stałą kontrolą człowieka (human-in-the-loop).
• Znajomość polskich realiów – czy zespół komunikuje się w języku polskim i rozumie obowiązki wynikające z  UoKSC.

Pojęcia powiązane z MDR