MDR | Managed Detection & Response – Zarządzane Wykrywanie i Reagowanie na Zagrożenia

MDR (Managed Detection and Response) — monitoring i reakcja na incydenty 24/7 dla firm, których nie stać na własny SOC

Atak ransomware nie czeka na godziny pracy. Według raportów Verizon DBIR i ENISA większość poważnych incydentów (wykonanie payloadu, eskalacja uprawnień, eksfiltracja danych) dzieje się poza godzinami pracy zespołu IT — w nocy, w weekendy, podczas świąt. Sama platforma EDR generuje alerty, ale ktoś musi je przeczytać, ocenić i podjąć decyzję — w ciągu minut, nie godzin. Managed Detection and Response (MDR) odpowiada na ten problem: zewnętrzny zespół analityków SOC monitoruje Twoją infrastrukturę 24 godziny na dobę, 7 dni w tygodniu, podejmuje pierwsze działania reakcyjne i eskaluje incydenty do Twojego zespołu z konkretną rekomendacją — nie z listą surowych alertów.

Virtline dostarcza MDR w trzech wariantach: Co-Managed SOC (Twoja konsola EDR/SIEM, nasz dyżur i analiza), Full Managed SOC (cały stos po naszej stronie) oraz hybryda z platformami producentów (WithSecure Co-Monitoring/MDR, ThreatDown MDR, Sophos MDR, ESET MDR). Każdy wariant obejmuje: monitorowanie alertów 24/7, klasyfikację i triage, pierwsze reakcje w ramach uzgodnionych playbooków (izolacja endpointu, blokada konta, blokada adresu IP), powiadomienia w uzgodnionych kanałach (telefon, e-mail, MS Teams, ServiceNow), kwartalne raporty zarządcze i ścieżkę audytową spełniającą wymogi NIS2, ISO 27001 i DORA. Wszystkie analizy prowadzimy z polskim językiem operacyjnym — bez konieczności tłumaczenia komunikacji z zagranicznym call center.

Warianty MDR — Co-Managed, Full Managed i hybryda z producentem

Nie ma jednego, uniwersalnego modelu MDR. Wybór zależy od dojrzałości Twojego zespołu IT, posiadanego stosu narzędzi i tego, ile odpowiedzialności chcesz przenieść poza organizację. Najczęściej proponujemy:

 Co-Managed SOC (Co-Monitoring) — klient zachowuje swoją konsolę EDR/SIEM (Defender for Endpoint, WithSecure Elements, Wazuh), Virtline dostarcza dyżur analityka, triage i rekomendacje.

Najczęstszy wybór klientów z istniejącym stosem narzędzi.

 Full Managed SOC — cały stos po stronie Virtline: agent EDR, SIEM, SOAR, dyżur, raportowanie i compliance. Klient otrzymuje gotową usługę z miesięczną opłatą per endpoint, bez nakładów CAPEX.

 WithSecure Elements MDR + Co-Monitoring — managed service od producenta, oparta na agencie WithSecure Elements EDR, uzupełniona naszym pierwszym kontaktem PL i procesem reakcji.

 ThreatDown MDR by Malwarebytes — 24/7/365 managed service z mocną detekcją behawioralną, z opcją Managed Threat Hunting w warstwie premium.

 ESET MDR / Sophos MDR — opcje dla klientów już używających platform ESET PROTECT lub Sophos Intercept X; integracja z istniejącą flotą bez wymiany agenta.

 Integracja z SOC (SIEM+SOAR) — w wariancie Full Managed całość zdarzeń płynie do naszego SIEM, a SOAR automatyzuje powtarzalne reakcje (izolacja, blokada IP, blokada konta).

Jak uruchamiamy MDR w Twojej firmie — 4 etapy

Uruchomienie MDR to nie tylko podpięcie agenta do konsoli. Bez procesu reakcji, kontaktów eskalacyjnych i playbooków usługa zostaje sprowadzona do „wysyłki maila o alercie”. Pracujemy w schemacie, w którym każda zmiana w środowisku klienta jest udokumentowana, a klient od pierwszego dnia wie, kto, kiedy i co zrobi w razie incydentu.

1. Onboarding i mapowanie środowiska — inwentaryzacja endpointów, identyfikacja krytycznych systemów (DC, ERP, bazy, OT), zebranie kontaktów eskalacyjnych, uzgodnienie godzin pracy zespołu klienta i okien serwisowych.

2. Wdrożenie technologii — instalacja agenta EDR (lub integracja istniejącej platformy), podpięcie źródeł do SIEM (firewall, AD, M365, helpdesk), kalibracja reguł korelacji, testy alertów end-to-end.

3. Playbooki i SLA — opracowanie playbooków reakcji na typowe scenariusze (ransomware, phishing-as-initial-access, lateral movement, exfil), uzgodnienie SLA wykrycia (MTTD) i reakcji (MTTR), opracowanie macierzy decyzyjnej (co robimy sami, co wymaga zgody klienta).

4. Go-live i pierwsze ćwiczenie — uruchomienie produkcyjne, kontrolowane purple-team exercise w pierwszym miesiącu (weryfikacja, czy alerty rzeczywiście trafiają do dyżuru i są poprawnie obsłużone), pierwszy raport zarządczy po 30 dniach.

MDR w wymaganiach NIS2, ISO 27001 i DORA

Trzy kluczowe regulacje wpływające na polski rynek wymagają od organizacji nie tylko narzędzi wykrywających, ale też procesu obsługi incydentu — ze szczegółowymi wymogami dotyczącymi czasu zgłoszenia, dokumentacji i raportowania. MDR jest praktycznym sposobem realizacji tych wymogów bez budowania własnego SOC.

• NIS2 art. 21 ust. 2 lit. b — obsługa incydentów. Wymaga środków zapewniających wykrywanie, analizę i reakcję na incydenty. MDR dostarcza całość zdolności operacyjnych: detekcję, klasyfikację i pierwszy poziom reakcji.
• NIS2 art. 23 — obowiązek zgłaszania incydentów. Wstępne zgłoszenie incydentu istotnego w ciągu 24 godzin, raport w ciągu 72 godzin. MDR generuje udokumentowaną oś czasu incydentu, która jest podstawą tych zgłoszeń.
• ISO/IEC 27001:2022 A.5.24 — planowanie zarządzania incydentami. Wymaga ustalonych ról, procedur i kanałów komunikacji — MDR realizuje to operacyjnie z udokumentowanymi playbookami.
• ISO/IEC 27001:2022 A.5.25–A.5.27 — ocena, reakcja i wyciąganie wniosków. Cykliczne raportowanie MDR (miesięczne, kwartalne) realizuje cały cykl Deming'a od detekcji po lessons learned.
• DORA art. 17–23 — zarządzanie incydentami ICT i raportowanie. Podmioty finansowe są zobowiązane do klasyfikacji, raportowania i analizy incydentów; MDR dostarcza udokumentowane artefakty w formacie zgodnym z wymogami EBA/ESMA/EIOPA.
• KSB 3.15 — monitorowanie i obsługa incydentów. Krajowy Standard wymaga ciągłego monitorowania i zarządzania incydentami — MDR jest najprostszym sposobem realizacji tego wymogu dla mniejszych jednostek publicznych bez własnego SOC.