O que é MDR e o que avaliar antes de contratar

Nas investigações analisadas pela Mandiant, o tempo mediano entre o acesso inicial e a passagem desse acesso a um segundo grupo criminoso caiu de mais de oito horas em 2022 para 22 segundos em 2025. O dado consta do M-Trends 2026, baseado em mais de 500 mil horas de investigação. A medida mostra a rapidez dessa transferência, não a duração completa de um ataque. 

Para a empresa, esse intervalo reforça a importância de ter profissionais e procedimentos de resposta disponíveis fora do horário comercial. Um alerta que aguarda o próximo expediente pode dar ao invasor mais tempo para avançar pelo ambiente. O serviço de detecção e resposta gerenciadas, conhecido como MDR, reúne monitoramento, investigação e apoio à contenção para reduzir essa demora, dentro de uma cobertura e de uma autonomia previamente acordadas. 

O custo de uma violação ajuda a dimensionar o impacto dessa exposição. O relatório Cost of a Data Breach 2025, da IBM, registra média de R$ 7,19 milhões por violação de dados no Brasil, 6,5% acima da edição de 2024. A pesquisa abrangeu 600 organizações de diferentes países e apontou média global de 241 dias para identificar e conter uma violação. 

O que o MDR entrega além do monitoramento 

MDR é um serviço que combina tecnologia e analistas especializados para detectar, investigar e responder a ameaças de forma contínua. Conforme as permissões e as integrações contratadas, o provedor pode isolar uma estação comprometida, bloquear uma conta ou interromper um processo malicioso enquanto a investigação avança. Outras ações podem depender de aprovação ou de execução pela equipe do cliente. Por isso, vale verificar o que a proposta chama de resposta gerenciada e o que fica limitado a uma orientação. 

Esse trabalho depende da telemetria, isto é, dos registros de atividade coletados no ambiente. Agentes instalados em estações e servidores mostram processos e alterações no sistema; registros de rede e de firewall ajudam a acompanhar as comunicações; plataformas de nuvem e de identidade informam autenticações e mudanças de permissão. A análise conjunta dessas fontes ajuda a reconhecer, por exemplo, quando uma conta comprometida é usada para acessar outros sistemas, movimento conhecido como movimentação lateral. 

A caça proativa a ameaças, ou threat hunting, complementa a análise dos alertas. Analistas partem de hipóteses sobre técnicas de ataque e procuram vestígios nos dados disponíveis, mesmo quando nenhuma regra gerou uma notificação. Essa busca pode revelar atividades que passaram pelos controles automatizados e orientar ajustes nas detecções. A frequência das buscas, as fontes consultadas e a comunicação dos resultados também merecem entrar na avaliação do serviço. 

Por que a resposta precisa acompanhar a evolução do ataque 

Os vetores descritos no M-Trends 2026 mostram por que a cobertura precisa alcançar diferentes pontos do ambiente. Nas investigações com vetor inicial identificado, a exploração de vulnerabilidades respondeu por 32% dos casos, liderando pelo sexto ano seguido. O aproveitamento de um comprometimento anterior representou 10% no recorte global e 30% em ransomware, ante 15% em 2024. Detectar um acesso indevido e impedir seu uso posterior são tarefas que precisam estar conectadas. 

O phishing por voz apareceu em 11% dos casos, na segunda posição, enquanto o phishing por e-mail ficou em 6%. Uma ligação fraudulenta pode levar a uma redefinição de senha e, depois, a um acesso aparentemente legítimo. Para investigar essa sequência, a equipe precisa relacionar registros de identidade, chamados de suporte e atividades nos sistemas. A proteção do e-mail continua importante, mas cobre apenas parte das formas de entrada. 

Outra medida exige cuidado na interpretação. A mediana global de permanência do invasor até a detecção subiu de 11 para 14 dias entre 2024 e 2025, enquanto a detecção interna passou de 43% para 52% dos casos. Nos incidentes descobertos internamente, a mediana caiu de dez para nove dias. A composição dos casos investigados influencia esses indicadores; o aumento global, por si só, não comprova piora na velocidade da defesa. Na contratação, faz mais sentido acompanhar os tempos do próprio ambiente e os tipos de incidente atendidos. 

Como MDR se relaciona com SOC e SIEM 

As três siglas descrevem componentes que podem trabalhar juntos. O SIEM é a plataforma que centraliza registros de diferentes origens e aplica análises e regras de correlação para identificar eventos suspeitos. A qualidade dos resultados depende das fontes integradas, dos casos de uso configurados e do ajuste das detecções. Ter a ferramenta instalada, portanto, não dispensa a equipe responsável por interpretar os alertas e decidir como responder. 

O SOC, ou centro de operações de segurança, reúne pessoas, processos e tecnologias para monitorar ameaças, investigar eventos e coordenar ou executar a resposta. A estrutura pode ser interna, terceirizada ou híbrida. Um SOC pode ter ampla capacidade de contenção ou se limitar ao monitoramento e ao encaminhamento de recomendações, conforme seu escopo. O nome do serviço, sozinho, não informa quais intervenções estão autorizadas. 

MDR é um serviço gerenciado que pode ser prestado por um SOC ou complementar a operação já existente. A proposta deve esclarecer quem investiga, quem executa cada medida e quando o cliente precisa participar. EDR e XDR são tecnologias que podem apoiar esse trabalho: o EDR concentra a detecção e a resposta nos dispositivos, enquanto o XDR correlaciona sinais de diferentes domínios, como dispositivos, identidades e e-mail. A abrangência efetiva depende dos produtos e das integrações utilizados. 

O que definir no contrato de MDR 

A autoridade de contenção precisa estar explícita. O contrato deve dizer o que o provedor pode fazer sem consultar o cliente, o que exige aprovação e quem pode autorizar uma intervenção fora do horário comercial. Isolar uma estação de trabalho pode ser uma ação pré-aprovada; interromper um servidor de produção pode exigir outra avaliação. Essas decisões devem considerar o impacto operacional e constar dos playbooks, os procedimentos que orientam a resposta a cada situação. 

O escopo do ambiente coberto merece a mesma precisão. Uma proposta pode abranger estações e servidores sem incluir todas as plataformas de identidade, aplicações, contas de nuvem ou redes industriais. Definir quais ativos e fontes de telemetria estão incluídos, quais ações são possíveis em cada tecnologia e como novos ativos entram na cobertura reduz o risco de descobrir uma lacuna durante a investigação. 

Os indicadores de nível de serviço também precisam ser comparáveis. Tempo até a primeira análise humana, tempo até o início da resposta, tempo até a contenção e prazo do relatório final medem etapas diferentes. Vale estabelecer o início e o fim de cada contagem, as metas por gravidade e as situações que dependem do cliente. Uma média isolada pode esconder atrasos nos casos mais graves. O acordo deve prever ainda como funciona o atendimento quando vários clientes do fornecedor são afetados ao mesmo tempo. 

A preservação de evidências deve fazer parte do plano de resposta. É importante definir quais registros serão guardados, por quanto tempo, quem terá acesso e como serão documentadas a coleta e as ações executadas. A coleta precisa ser coordenada com a contenção e a recuperação, para reduzir a perda de informações sem atrasar medidas urgentes. Isso facilita a investigação da causa e a avaliação dos sistemas e dados afetados. 

Quando há dados pessoais, o fluxo de comunicação precisa atender à LGPD. A Resolução CD/ANPD nº 15/2024 determina que o controlador comunique à ANPD e aos titulares os incidentes capazes de causar risco ou dano relevante. O prazo geral é de três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, observadas as exceções legais e as regras para agentes de pequeno porte. O contrato deve prever o fornecimento rápido das informações técnicas disponíveis, sem esperar o relatório forense final. A contratação de MDR não transfere essa obrigação do controlador ao fornecedor. 

Como avaliar um serviço de MDR 

A avaliação começa pela compatibilidade com o ambiente existente. Confirme quais plataformas de endpoint, firewall, nuvem e identidade são suportadas, quais integrações exigem desenvolvimento e quais ferramentas precisam ser substituídas. Aproveitar tecnologias já instaladas pode simplificar a implantação, mas a integração deve ser testada: receber registros não significa conseguir interpretá-los ou executar uma contenção. O plano de entrada em operação precisa indicar quando cada parte do ambiente passará a estar coberta. 

A transparência operacional merece peso na comparação. Acesso aos alertas e às investigações, registro das ações executadas e reuniões periódicas de revisão ajudam o cliente a avaliar o serviço. Também convém pedir explicações sobre a cobertura das detecções e suas limitações, além de verificar como os dados e relatórios poderão ser exportados ao fim do contrato. Esses recursos permitem auditar o atendimento e incorporar o aprendizado dos incidentes à operação. 

Testes antes e durante o contrato ajudam a verificar o que a proposta promete. Simulações controladas, com escopo e autorização definidos, mostram se uma técnica de ataque gera alerta, como a investigação ocorre e quanto tempo leva até uma contenção. Exercícios de mesa com a equipe do cliente permitem ensaiar quem aciona quem, como as aprovações são obtidas e como a comunicação funciona em um incidente de grande porte. 

Como a Faiston entrega MDR 

O serviço de MDR da Faiston combina monitoramento 24 horas por dia com inteligência de ameaças, contenção automatizada, caça proativa e investigação forense. A oferta contempla estações, servidores, redes, nuvem, aplicações e dispositivos conectados, com playbooks ajustados ao perfil da operação. Relatórios técnicos e executivos acompanham o serviço e apoiam a avaliação dos incidentes, das ações de melhoria e das evidências para auditoria. 

A Faiston também oferece atuação remota e local. O diagnóstico inicial mapeia o ambiente e os ativos críticos, orientando a definição da cobertura e das integrações. Na contratação, é importante detalhar como esse atendimento se articula com as demais frentes de serviços gerenciados de segurança, incluindo as condições para atuação em campo e o apoio necessário à recuperação. Assim, cada equipe conhece suas responsabilidades antes de ser acionada. 

Contratar MDR exige avaliar a tecnologia e a forma como o atendimento funcionará no dia a dia. Cobertura documentada, autoridade de contenção definida, métricas claras e procedimentos testados dão à empresa uma base para cobrar o serviço e responder com menos improviso. Para avaliar como esse modelo se aplica ao seu ambiente, fale com a Faiston.