# NDR, EDR, SIEM, XDR i MDR: czym się różnią

> Czym NDR różni się od EDR i SIEM: co każde widzi, czego nie widzi, gdzie pasują XDR i MDR i od czego zacząć, gdy firma nie ma SOC.

Source page: https://netsenx.com/pl/blog/2026-09-24_ndr-vs-edr-vs-siem · NetSenX Team · 2026-11-12

EDR chroni urządzenia, na których da się zainstalować agenta, SIEM zbiera i koreluje logi ze wszystkiego, co je wytwarza, a NDR obserwuje ruch sieciowy między wszystkimi urządzeniami — także tymi, na których nie działa żaden agent. Dla działu IT bez centrum operacji bezpieczeństwa (SOC) praktyczna kolejność to zwykle najpierw EDR na każdym zarządzanym urządzeniu końcowym, potem NDR dla ruchu i urządzeń, których EDR nie widzi, a SIEM dopiero wtedy, gdy ktoś ma czas codziennie pisać reguły i czytać logi.

## Co obserwuje każde z narzędzi

| | EDR | SIEM | NDR |
|---|---|---|---|
| **Obserwuje** | Procesy, pliki i pamięć na zarządzanych urządzeniach końcowych | Logi z serwerów, firewalli, usług chmurowych i aplikacji | Ruch sieciowy między hostami, wewnątrz i na zewnątrz |
| **Dobrze wyłapuje** | Złośliwe oprogramowanie uruchomione na laptopie lub serwerze; zachowania ransomware na hoście | Korelacje między wieloma systemami; długie przechowywanie; raporty audytowe | Beaconing C2, skanowanie, ruch lateralny, nietypowe dane wychodzące |
| **Martwe pola** | Urządzenia bez agenta: drukarki, kamery, IoT, sterowniki OT, niezarządzane laptopy | Wszystko, co nie zapisuje logów albo zapisuje logi, których nikt nie zbiera | To, co dzieje się wewnątrz hosta bez udziału sieci; treść szyfrowanych danych |
| **Nakład pracy** | Niski do średniego | Wysoki: parsowanie, reguły i strojenie nigdy się nie kończą | Niski do średniego |
| **Typowa podstawa ceny** | Za urządzenie końcowe | Za wolumen przyjmowanych danych | Za monitorowane urządzenie, sensor lub przepustowość |

Te trzy narzędzia nakładają się mniej, niż się wydaje. Atakujący, który dostanie się na niezarządzane urządzenie, jest niewidoczny dla EDR, a SIEM zobaczy go tylko wtedy, gdy coś zaloguje jego działania. Ten sam atakujący wciąż musi komunikować się przez sieć — z serwerem command-and-control, z innymi hostami, z miejscem, do którego wysyła dane — i to właśnie widzi NDR. Framework MITRE ATT&CK wymienia [ruch lateralny](https://attack.mitre.org/tactics/TA0008/) i [command and control](https://attack.mitre.org/tactics/TA0011/) jako odrębne taktyki atakujących właśnie dlatego, że dzieją się między maszynami.

## Od czego zacząć bez SOC

1. **EDR na każdym zarządzanym urządzeniu końcowym.** Blokuje i rejestruje złośliwe działania na hoście, a po wdrożeniu wymaga niewiele codziennej uwagi.
2. **NDR dla sieci.** Obejmuje urządzenia, których EDR nie widzi, pokazuje ruch lateralny między hostami i daje oś czasu incydentu potrzebną do zgłoszeń z NIS2. Wybierz narzędzie, którego alerty same się tłumaczą: bez analityków alert bez podanej przyczyny to alert, którym nikt się nie zajmie.
3. **SIEM, gdy możesz go obsadzić.** SIEM się opłaca, gdy ktoś za niego odpowiada — pisze reguły korelacji, utrzymuje parsery i codziennie przegląda logi. Do tego czasu logi wymagane przez regulatora często da się przechowywać bez pełnego wdrożenia SIEM.
4. **Rozważ MDR, jeśli potrzebujesz czuwania 24/7.** Usługa managed detection and response to ludzie, a nie narzędzie: dostawca przez całą dobę pilnuje alertów z Twojego EDR, NDR lub SIEM.

## Pytania przed zakupem NDR

- Czy każdy alert mówi prostym językiem, dlaczego się pojawił?
- Czy podana jest granica false positive i czy da się ją sprawdzić na własnych danych?
- Czy cennik jest opublikowany, czy każde wdrożenie jest wyceniane osobno?
- Gdzie przechowywane są dane z monitoringu i na podstawie jakiej umowy powierzenia?
- Czy narzędzie odczytuje protokoły OT pasywnie, bez odpytywania sterowników?

Nasze [porównania dostawców NDR](/pl/compare) stosują te pytania do Darktrace, Vectra AI, ExtraHop i Nozomi Networks, ze źródłem przy każdym twierdzeniu.

## Gdzie pasuje NetSenX

NetSenX to platforma Network Detection and Response (NDR) dla średnich organizacji w UE, która wykrywa ataki na podstawie zachowania sieci, wyjaśnia każdy alert prostym językiem i przechowuje dane klientów w UE. Działa obok EDR i SIEM, a nie zamiast nich: od planu Business alerty można eksportować do SIEM, którego już używasz. Plan Free obejmuje do 3 urządzeń bez limitu czasu, więc możesz zobaczyć, co znajduje, zanim podejmiesz decyzję. Szczegóły są w [cenniku](/pl/pricing) i w [FAQ](/pl#faq). Jeśli dotyczy Cię NIS2, następna lektura to [lista kontrolna monitoringu sieci pod NIS2](/pl/blog/2026-09-24_nis2-network-monitoring-checklist).

## Źródła

- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)
- [NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems](https://csrc.nist.gov/pubs/sp/800/94/final)

---

*Autor: zespół NetSenX w TriStiX S.L. Pytania: [info@netsenx.com](mailto:info@netsenx.com).*