Sophos Endpoint, EDR, XDR ou MDR: que modelo escolher?

A escolha começa com duas perguntas: que sistemas e fontes de dados precisam de proteção ou investigação e quem responderá a um incidente? Sophos Endpoint, EDR e XDR são ofertas técnicas distintas. MDR e MDR Plus acrescentam ou organizam o trabalho de uma equipa de segurança contratada. Um nome aparentemente superior não determina sozinho o Agent Mode instalado nem os poderes concretos de intervenção.

Este guia usa os nomes atuais, verificados em 27 de outubro de 2026. Para encomendar, contam o License Schedule exato, a plataforma, a quantidade e o âmbito do serviço. Artigos antigos sobre Intercept X, MDR Essentials ou MDR Complete não devem ser usados sem atualização como matriz da oferta atual.

Distinguir as cinco ofertas pela tarefa

Oferta	Foco	Questão organizacional a esclarecer
Sophos Endpoint	Proteção e controlo de endpoints suportados, por exemplo contra malware, ransomware e exploits	Quem trata alertas, verifica a operação e reage a suspeitas?
Sophos EDR	Proteção endpoint mais ferramentas de deteção, investigação, threat hunting e resposta	Existem pessoas, tempo e experiência para investigar e intervir com autorização?
Sophos XDR	Alarga a investigação EDR a dados de várias áreas do ambiente e produtos ligados	Que fontes fornecem efetivamente dados e que integrações de resposta estão configuradas separadamente?
Sophos MDR	Monitorização, investigação e contenção operadas pela Sophos no âmbito acordado	Quem efetua a neutralização do lado do cliente e tarefas não abrangidas?
Sophos MDR Plus	MDR com resposta completa a incidentes no âmbito acordado	Estão preparados acessos, contactos, poderes e colaboração local?

O Sophos EDR inclui o Sophos Endpoint. O XDR alarga esta abordagem com visibilidade e ferramentas de investigação entre produtos. Isto não significa que uma licença XDR compre automaticamente todos os produtos de origem, integrações ou add-ons separados.

MDR não é apenas um botão de análise adicional. O serviço requer fontes operacionais e poderes de resposta acordados. A ajuda MDR atual distingue os níveis assim: MDR trabalha na contenção e fornece orientação para neutralização; a resposta completa a incidentes pertence ao MDR Plus. Não é um prazo de resolução garantido nem uma promessa de que a Sophos fará pessoalmente todas as alterações em todos os sistemas de terceiros.

Escolher segundo a capacidade de investigação

Endpoint é o ponto de partida quando a organização precisa sobretudo de proteção gerida dos dispositivos. Mesmo assim, os alertas e as falhas de proteção têm de ser tratados. A prevenção automática não substitui um responsável contactável.

EDR é adequado quando a equipa interna consegue investigar atividade suspeita nos dispositivos e atuar. Antes da compra, deve conseguir descrever um processo real: rever uma detection, delimitar dispositivo e período, consultar telemetria, autorizar intervenção e documentar o resultado. As entradas técnicas são Live Discover e consultas Data Lake e isolamento e Live Response.

XDR é adequado quando a investigação precisa de combinar várias fontes. Por exemplo, a equipa pode comparar atividade endpoint com eventos de firewall ou identidade. Esclarecer primeiro fonte, licença, qualidade dos dados e direitos. Uma fonte ligada ainda não permite escrita no sistema de origem; aplicam-se integrações Data Ingest e Response separadas.

Avaliar MDR ou MDR Plus se faltarem capacidade interna ou monitorização contínua. A comparação decisiva não é apenas «mais funções», mas «que tarefas assume a Sophos, quais ficam connosco e quem decide fora do horário?». Os contactos e modos Authorize, Collaborate ou Notify Only são preparados conscientemente na configuração MDR. Só um contrato não torna este processo operacional.

Verificar separadamente nome da licença e Agent Mode

A atribuição de software apresenta os modos Endpoint, XDR e XDR Sensor. Este ecrã não é uma lista completa de produtos contratáveis. Em particular, XDR Sensor não protege contra malware; precisa de proteção separada e funcional. Mudar o modo pode afetar ou remover proteção de terceiros e deve passar primeiro por um piloto controlado.

Para sensores MDR existem também diferenças documentadas entre termos antigos de instalação e nomes atuais dos serviços. Não demonstram direitos universais de sensor para todos os níveis MDR. Antes da atribuição, confirmar plataforma, contrato e percurso de instalação; os detalhes estão em Gerir Agent Mode e software.

Os servidores não contam simplesmente como postos adicionais. Servidores Windows e Linux precisam dos direitos de servidor e verificações de plataforma apropriados. Um nome de produto superior também não repõe o suporte completo de sistemas legacy; aplicar a verificação de ciclo de vida e Extended Support.

Adicionar complementos apenas para necessidades concretas

O Next-Gen SIEM acrescenta o seu âmbito SIEM separado à operação XDR/MDR elegível; uma licença XDR ou MDR existente não ativa automaticamente o add-on. O AI Defense deteta e controla o uso de IA e distingue-se do AI Assistant para investigações. O Workspace Protection reúne browser, ZTNA, Endpoint DNS e Email Monitoring, mas não substitui direitos Endpoint necessários separadamente.

Registar para cada adição a tarefa, dados e dispositivos afetados e o responsável operacional. Assim, a compra não resulta de nomes parecidos ou de um mosaico de produto.

Validar a decisão antes da implementação

Cinco resultados documentados tornam a escolha rastreável: utilizadores e servidores afetados, posições de licença confirmadas, Agent Mode previsto e produto de proteção, fontes realmente disponíveis e responsável de investigação/resposta contactável. No MDR, acrescentam-se nível de serviço, contactos e modo aprovado.

Validar depois um piloto representativo através do percurso de integração Endpoint. Uma licença visível ou componente instalado não substitui o teste de proteção nem a preparação organizacional.