# NDR, EDR, SIEM, XDR e MDR: le differenze

> Come si differenziano NDR, EDR e SIEM: che cosa vede e perde ognuno, dove si collocano XDR e MDR e da dove iniziare senza un SOC.

Source page: https://netsenx.com/it/blog/2026-09-24_ndr-vs-edr-vs-siem · NetSenX Team · 2026-11-12

L'EDR protegge i dispositivi su cui si può installare un agente, il SIEM raccoglie e correla i log di tutto ciò che ne produce, e l'NDR osserva il traffico di rete tra tutti i dispositivi, anche quelli che non eseguono alcun agente. Per un team IT senza centro operativo di sicurezza (SOC), l'ordine pratico di solito è: prima l'EDR su ogni endpoint gestito, poi l'NDR per il traffico e i dispositivi che l'EDR non vede, e un SIEM quando qualcuno ha il tempo di scrivere regole e leggere i log ogni giorno.

## Che cosa osserva ogni strumento

| | EDR | SIEM | NDR |
|---|---|---|---|
| **Osserva** | Processi, file e memoria sugli endpoint gestiti | Log di server, firewall, servizi cloud e applicazioni | Traffico di rete tra host, interno e verso l'esterno |
| **Rileva bene** | Malware in esecuzione su un portatile o un server; comportamento ransomware sull'host | Correlazioni tra molti sistemi; conservazione a lungo termine; report di audit | Beaconing C2, scansioni, movimento laterale, dati in uscita insoliti |
| **Punti ciechi** | Dispositivi senza agente: stampanti, telecamere, IoT, controllori OT, portatili non gestiti | Tutto ciò che non scrive log, o ne scrive che nessuno raccoglie | Ciò che accade dentro un host senza passare dalla rete; il contenuto cifrato |
| **Impegno di gestione** | Da basso a medio | Alto: parsing, regole e taratura non finiscono mai | Da basso a medio |
| **Base di prezzo abituale** | Per endpoint | Per volume di dati acquisiti | Per dispositivo monitorato, sensore o banda |

I tre si sovrappongono meno di quanto sembri. Un attaccante che arriva su un dispositivo non gestito è invisibile all'EDR, e un SIEM lo vede solo se qualcosa ne registra l'attività. Lo stesso attaccante deve però comunicare in rete — con un server di command-and-control, con altri host, con la destinazione dei dati — ed è proprio questo che vede l'NDR. Il framework MITRE ATT&CK elenca il [movimento laterale](https://attack.mitre.org/tactics/TA0008/) e il [command and control](https://attack.mitre.org/tactics/TA0011/) come tattiche distinte proprio perché avvengono tra le macchine.

## Da dove iniziare senza SOC

1. **EDR su ogni endpoint gestito.** Blocca e registra l'attività malevola sull'host e, una volta installato, richiede poca attenzione quotidiana.
2. **NDR per la rete.** Copre i dispositivi che l'EDR non raggiunge, mostra il movimento laterale tra host e fornisce la cronologia dell'incidente richiesta dalle notifiche NIS2. Ne scelga uno i cui avvisi si spieghino da soli: senza analisti, un avviso senza motivo è un avviso di cui nessuno si occupa.
3. **Un SIEM quando può dedicargli qualcuno.** Un SIEM ripaga quando qualcuno ne è responsabile: scrive regole di correlazione, mantiene i parser e controlla i log ogni giorno. Fino ad allora, i log richiesti dal Suo regolatore spesso si possono conservare senza un'installazione SIEM completa.
4. **Valuti un MDR se Le serve sorveglianza 24/7.** Un servizio di managed detection and response sono persone, non uno strumento: un fornitore sorveglia giorno e notte gli avvisi del Suo EDR, NDR o SIEM.

## Domande prima di acquistare un NDR

- Ogni avviso dice, in linguaggio semplice, perché è scattato?
- Esiste un limite dichiarato ai falsi positivi, e può verificarlo sui Suoi dati?
- Il listino è pubblicato, oppure ogni installazione viene quotata a parte?
- Dove sono conservati i dati del monitoraggio, e con quale accordo sul trattamento dei dati?
- Legge i protocolli OT in modo passivo, senza sondare i controllori?

I nostri [confronti tra fornitori NDR](/it/compare) applicano queste domande a Darktrace, Vectra AI, ExtraHop e Nozomi Networks, con una fonte per ogni affermazione.

## Dove si colloca NetSenX

NetSenX è una piattaforma di Network Detection and Response (NDR) per le medie imprese dell'UE, che rileva gli attacchi dal comportamento della rete, spiega ogni avviso in linguaggio semplice e conserva i dati dei clienti nell'UE. Affianca EDR e SIEM, non li sostituisce: dal piano Business gli avvisi possono essere esportati nel SIEM che già usa. Il piano Free copre fino a 3 dispositivi senza limiti di tempo, così può vedere che cosa trova prima di decidere. I dettagli sono nella [pagina dei prezzi](/it/pricing) e nelle [domande frequenti](/it#faq). Se La riguarda la NIS2, la lettura successiva è la [checklist di monitoraggio della rete NIS2](/it/blog/2026-09-24_nis2-network-monitoring-checklist).

## Fonti

- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)
- [NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems](https://csrc.nist.gov/pubs/sp/800/94/final)

---

*Scritto dal team NetSenX di TriStiX S.L. Domande: [info@netsenx.com](mailto:info@netsenx.com).*