# NDR, EDR, SIEM, XDR en MDR: de verschillen

> Hoe NDR, EDR en SIEM verschillen: wat elk ziet en mist, waar XDR en MDR passen en waarmee een team zonder SOC begint.

Source page: https://netsenx.com/nl/blog/2026-09-24_ndr-vs-edr-vs-siem · NetSenX Team · 2026-11-12

EDR beschermt de apparaten waarop u een agent kunt installeren, een SIEM verzamelt en correleert de logs van alles wat logs maakt, en NDR kijkt naar het netwerkverkeer tussen alle apparaten — ook die waarop helemaal geen agent draait. Voor een IT-team zonder security operations center (SOC) is de praktische volgorde meestal: eerst EDR op elk beheerd endpoint, daarna NDR voor het verkeer en de apparaten die EDR niet ziet, en een SIEM zodra iemand de tijd heeft om dagelijks regels te schrijven en logs te lezen.

## Wat elk hulpmiddel bewaakt

| | EDR | SIEM | NDR |
|---|---|---|---|
| **Bewaakt** | Processen, bestanden en geheugen op beheerde endpoints | Logs van servers, firewalls, clouddiensten en applicaties | Netwerkverkeer tussen hosts, intern en naar buiten |
| **Ziet goed** | Malware die op een laptop of server draait; ransomwaregedrag op de host | Correlaties over veel systemen; lange bewaring; auditrapportages | C2-beaconing, scans, laterale beweging, ongebruikelijke uitgaande data |
| **Blinde vlekken** | Apparaten zonder agent: printers, camera's, IoT, OT-besturingen, onbeheerde laptops | Alles wat geen log schrijft, of een log schrijft dat niemand verzamelt | Wat er binnen een host gebeurt zonder het netwerk te raken; versleutelde inhoud |
| **Beheerinspanning** | Laag tot gemiddeld | Hoog: parsen, regels en tunen houden nooit op | Laag tot gemiddeld |
| **Gebruikelijke prijsbasis** | Per endpoint | Per volume ingelezen data | Per bewaakt apparaat, sensor of bandbreedte |

De drie overlappen minder dan het lijkt. Een aanvaller op een onbeheerd apparaat is onzichtbaar voor EDR, en een SIEM ziet hem alleen als iets zijn activiteit logt. Diezelfde aanvaller moet wel over het netwerk communiceren — met een command-and-controlserver, met andere hosts, met de bestemming van de data — en precies dat ziet NDR. Het framework MITRE ATT&CK noemt [laterale beweging](https://attack.mitre.org/tactics/TA0008/) en [command and control](https://attack.mitre.org/tactics/TA0011/) om die reden als aparte tactieken: ze gebeuren tussen machines.

## Waarmee u zonder SOC begint

1. **EDR op elk endpoint dat u beheert.** Het blokkeert en registreert kwaadaardige activiteit op de host en vraagt na de uitrol weinig dagelijkse aandacht.
2. **NDR voor het netwerk.** Het dekt de apparaten die EDR niet kan bereiken, toont laterale beweging tussen hosts en levert de incidenttijdlijn die NIS2-meldingen nodig hebben. Kies er een waarvan de meldingen zichzelf uitleggen: zonder analisten is een melding zonder reden een melding die niemand oppakt.
3. **Een SIEM wanneer u het kunt bemensen.** Een SIEM loont als iemand er eigenaar van is: correlatieregels schrijft, parsers onderhoudt en dagelijks logs nakijkt. Tot die tijd kunnen de logs die uw toezichthouder eist vaak zonder volledige SIEM-uitrol worden bewaard.
4. **Overweeg MDR als u 24/7 bewaking nodig hebt.** Een managed detection and response-dienst bestaat uit mensen, niet uit een hulpmiddel: een leverancier bewaakt uw EDR-, NDR- of SIEM-meldingen dag en nacht.

## Vragen voordat u een NDR koopt

- Zegt elke melding in begrijpelijke taal waarom ze afging?
- Is er een opgegeven bovengrens voor valse positieven, en kunt u die op uw eigen gegevens controleren?
- Is de prijslijst gepubliceerd, of krijgt elke uitrol een eigen offerte?
- Waar worden de monitoringgegevens opgeslagen, en onder welke verwerkersovereenkomst?
- Leest het OT-protocollen passief, zonder besturingen te benaderen?

Onze [vergelijkingen van NDR-leveranciers](/nl/compare) leggen deze vragen voor aan Darktrace, Vectra AI, ExtraHop en Nozomi Networks, met een bron voor elke uitspraak.

## Waar NetSenX past

NetSenX is een Network Detection and Response-platform (NDR) voor middelgrote organisaties in de EU dat aanvallen herkent aan het gedrag van het netwerk, elke melding in begrijpelijke taal uitlegt en klantgegevens in de EU houdt. Het werkt naast EDR en SIEM, niet in plaats daarvan: vanaf het Business-abonnement kunnen meldingen worden geëxporteerd naar het SIEM dat u al gebruikt. Het Free-abonnement dekt tot 3 apparaten zonder tijdslimiet, zodat u ziet wat het vindt voordat u beslist. De details staan op de [prijspagina](/nl/pricing) en in de [FAQ](/nl#faq). Valt u onder NIS2, lees dan hierna de [checklist voor NIS2-netwerkmonitoring](/nl/blog/2026-09-24_nis2-network-monitoring-checklist).

## Bronnen

- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)
- [NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems](https://csrc.nist.gov/pubs/sp/800/94/final)

---

*Geschreven door het NetSenX Team bij TriStiX S.L. Vragen: [info@netsenx.com](mailto:info@netsenx.com).*