MDR, XDR, EDR en SIEM: wat is het verschil

Wat is het verschil tussen MDR, XDR, EDR en SIEM in 1 overzicht?

Het belangrijkste verschil: EDR, XDR en SIEM zijn technologie, MDR is een dienst. EDR, XDR en SIEM verschillen in welke bronnen ze bekijken en waar ze sterk in zijn. MDR zegt iets over wie het werk doet: een externe partij die meldingen beoordeelt en ingrijpt.

	EDR	XDR	SIEM	MDR
Wat is het?	Technologie op endpoints	Technologie over meerdere lagen	Software voor centrale logverzameling	Dienst van een externe partij
Voluit	Endpoint detection and response	Extended detection and response	Security information and event management	Managed detection and response
Bronnen	Laptops, werkstations, servers	Endpoints, netwerk, e-mail, identiteiten, cloud	Logbestanden uit vrijwel elke bron, zoals firewalls, servers, applicaties en EDR	Afhankelijk van de gebruikte tools, vaak EDR of XDR
Sterk in	Zien wat er op een apparaat gebeurt en dat apparaat isoleren	Aanvallen over meerdere lagen als 1 incident tonen en vanuit 1 console ingrijpen	Bewaren, doorzoeken en rapporteren, ook voor audits	24/7 opvolging zonder eigen team
Wie beoordeelt meldingen?	Eigen team	Eigen team	Eigen team of SOC	Analisten van de leverancier
Wie grijpt in?	Eigen team	Eigen team	Een SIEM grijpt niet zelf in; dat doet het team, eventueel via SOAR	Leverancier, binnen afspraken met de klant
Past bij	Organisaties met eigen beveiligingskennis	Organisaties met een eigen SOC	Organisaties met een SOC en eisen aan logbewaring	Organisaties zonder eigen SOC

De termen overlappen in de praktijk. Leveranciers gebruiken ze soms los van deze definities. Kijk daarom altijd naar welke bronnen een product aansluit en wie de meldingen opvolgt.

Wat is EDR?

EDR (endpoint detection and response) is software op laptops, werkstations en servers. EDR registreert welke processen starten, welke bestanden veranderen en welke verbindingen een apparaat maakt. Bij verdacht gedrag geeft EDR een melding, en een beheerder of analist kan het apparaat vanaf afstand isoleren van het netwerk.

EDR is de opvolger van klassieke antivirus. Antivirus zoekt naar bekende kwaadaardige bestanden. EDR kijkt naar gedrag, zodat ook onbekende aanvallen opvallen. EDR is een onderdeel van endpoint security, naast updates, versleuteling en apparaatbeheer.

De beperking van EDR is de blik: EDR ziet alleen wat er op apparaten gebeurt waarop de software draait. Firewalls, VPN-servers en andere netwerkapparatuur vallen daarbuiten.

Wat is XDR?

XDR (extended detection and response) breidt EDR uit naar meer bronnen: het netwerk, e-mail, identiteiten (wie logt waar in) en clouddiensten. Een XDR-platform koppelt gebeurtenissen uit die bronnen automatisch aan elkaar. Een verdachte bijlage, een vreemd proces op een laptop en een ongebruikelijke inlog op een clouddienst worden zo 1 incident in plaats van 3 losse meldingen.

XDR kan ook ingrijpen vanuit 1 console: een laptop isoleren, een account blokkeren of een mail uit alle mailboxen verwijderen. XDR werkt vaak met vooraf gebouwde koppelingen, meestal binnen de producten van 1 leverancier.

Wat is een SIEM?

Een SIEM (security information and event management) is software die logbestanden uit veel verschillende systemen centraal verzamelt, omzet naar 1 formaat en met correlatieregels doorzoekt op patronen die op een aanval wijzen. Het Amerikaanse standaardisatie-instituut NIST omschrijft SIEM-software als een programma dat gecentraliseerde logging biedt voor veel verschillende soorten logbestanden (bron: NIST).

Een SIEM is de centrale tool van een SOC. Het NCSC noemt het SIEM als het systeem dat helpt loginformatie uit diverse bronnen te interpreteren (bron: NCSC). Een SIEM bewaart logbestanden ook langdurig, zodat je na een incident kunt terugzoeken wat er is gebeurd en bij een audit kunt aantonen dat je logt. Een SIEM zonder mensen die de meldingen opvolgen, beschermt weinig.

Wat is MDR?

MDR (managed detection and response) is een dienst. Een externe partij bewaakt je omgeving, beoordeelt de meldingen en grijpt in bij een aanval, vaak dag en nacht. De leverancier gebruikt daarvoor technologie, meestal EDR of XDR, soms aangevuld met logbestanden uit een SIEM.

Het verschil met een klassieke dienst die alleen waarschuwt, zit in de “response”: bij MDR mag de leverancier binnen afgesproken grenzen zelf ingrijpen, bijvoorbeeld een laptop isoleren. Welke bevoegdheden de leverancier heeft, leg je vast in het contract. Meer over de keuze tussen zelf doen en uitbesteden staat in de gids security uitbesteden.

Wat is het verschil tussen MDR en XDR?

XDR is technologie, MDR is een dienst. Met XDR heb je een platform dat signalen uit meerdere lagen koppelt, maar je eigen team moet de meldingen beoordelen en ingrijpen. Met MDR doet een externe partij dat werk voor je.

De 2 sluiten elkaar dus niet uit. Managed XDR is een combinatie: een leverancier beheert het XDR-platform en beoordeelt de meldingen. In de praktijk is managed XDR een vorm van MDR waarbij de dienst op een XDR-platform draait. De vraag is dus niet “MDR of XDR”, maar: welke technologie heb je nodig, en wie volgt de meldingen op?

Wat is het verschil tussen SIEM en XDR?

Een SIEM verzamelt logbestanden uit vrijwel elke bron en is sterk in bewaren, doorzoeken en rapporteren. XDR richt zich op detectie en respons met vooraf gebouwde koppelingen en kan zelf ingrijpen.

	SIEM	XDR
Hoofddoel	Logbestanden centraal verzamelen, correleren en bewaren	Aanvallen opsporen en stoppen over meerdere lagen
Bronnen	Vrijwel elke bron die logbestanden levert	Vooral de eigen sensoren en koppelingen van het platform
Regels	Veel eigen correlatieregels, die het team schrijft en onderhoudt	Meer vooraf ingebouwde detectie
Ingrijpen	Niet zelf; via het team of aanvullende SOAR-software	Ja, vanuit de console
Bewaren voor audit en onderzoek	Sterk	Beperkter, afhankelijk van het platform

Veel SOC’s gebruiken beide: XDR voor snelle detectie en respons op endpoints en in de cloud, en een SIEM voor de volledige logging, bewaring en rapportage.

Hoe passen SOC, NDR en SOAR in dit rijtje?

Naast EDR, XDR, SIEM en MDR kom je nog 3 termen tegen. Een SOC (Security Operations Center) is een team, geen tool. Het SOC gebruikt SIEM, EDR of XDR om aanvallen op te sporen en start de afhandeling via incident response.

NDR (network detection and response) analyseert netwerkverkeer op tekenen van een aanval. NDR ziet ook apparaten waarop geen EDR-software kan draaien. Het lijkt op een IDS of IPS, maar richt zich meer op gedrag dan op bekende aanvalspatronen. Veel XDR-platforms gebruiken NDR als bron.

SOAR (security orchestration, automation and response) voert vaste vervolgstappen automatisch uit na een melding, bijvoorbeeld een account blokkeren of een ticket aanmaken. SOAR wordt vaak naast een SIEM gebruikt. Alle 3 voeden ze de bredere security monitoring van een organisatie.

Welke les geeft de aanval via FortiGate-systemen?

Het NCSC meldde in juni 2024 dat een statelijke actor in 2022 en 2023 toegang kreeg tot ten minste 20.000 FortiGate-systemen wereldwijd (bron: NCSC, 2024). FortiGate-apparaten zijn firewalls en VPN-servers aan de rand van het netwerk, zogeheten edge devices. Het NCSC wees erop dat edge devices vaak niet worden ondersteund door EDR-oplossingen.

In februari 2024 maakte de MIVD bekend dat de bijbehorende malware, COATHANGER, was gevonden in een losstaand netwerk voor onderzoek en ontwikkeling bij Defensie (bron: Defensie, 2024). Dat netwerk was gescheiden van het Defensienetwerk.

De les: een beveiliging die alleen op EDR leunt, mist aanvallen op netwerkapparatuur. Logbestanden van firewalls in een SIEM, of netwerkdata in XDR of NDR, maken die aanvallen beter zichtbaar. Welke combinatie je kiest, hangt af van je risico’s en van wie de meldingen opvolgt.

Welke combinatie past bij welke organisatie?

De keuze hangt vooral af van 2 vragen: welke bronnen moet je bewaken, en heb je mensen die meldingen dag en nacht opvolgen?

Situatie	Vaak passende combinatie
Kleine organisatie zonder eigen securityspecialist	EDR met MDR, zodat een externe partij meldingen opvolgt
Organisatie met eigen IT-beheer, maar zonder 24/7 bezetting	EDR of XDR met MDR of managed XDR
Organisatie met een eigen SOC	XDR voor detectie en respons, plus een SIEM voor logging en rapportage
Organisatie met strenge eisen aan logbewaring en audits	SIEM als basis, aangevuld met EDR of XDR

SOC-analisten werken dagelijks met deze tools. Een security-architect bepaalt welke bronnen worden aangesloten en hoe de tools samenwerken. Actuele informatie over aanvallers, threat intelligence, maakt alle 4 beter. Wie dit vak wil leren, vindt opleidingen bij cybersecurity-opleidingen.

Veelgestelde vragen

Wat betekent XDR?

XDR betekent extended detection and response. Het is een beveiligingsplatform dat aanvallen opspoort en stopt over meerdere lagen van de IT-omgeving: endpoints, netwerk, e-mail, identiteiten en cloud. De term “extended” geeft aan dat het een uitbreiding is van EDR, dat alleen naar endpoints kijkt.

Wat betekent de afkorting EDR?

EDR staat voor endpoint detection and response. EDR-software draait op laptops, werkstations en servers, registreert wat daar gebeurt en geeft een melding bij verdacht gedrag. Een beheerder of analist kan vanuit EDR een besmet apparaat isoleren. EDR is de basis waarop XDR is gebouwd.

Wat betekent NDR?

NDR staat voor network detection and response. NDR analyseert het netwerkverkeer en zoekt daarin naar tekenen van een aanval, zoals verbindingen met bekende kwaadaardige servers of ongebruikelijk dataverkeer. NDR ziet ook apparaten waarop geen EDR-software kan draaien, zoals firewalls. Veel XDR-platforms gebruiken NDR als 1 van hun bronnen.

Wat is het verschil tussen SOC en SIEM?

Een SOC is een team van mensen met processen, een SIEM is software. Het SIEM verzamelt logbestanden uit veel systemen, koppelt ze aan elkaar en geeft een melding bij verdachte patronen. De analisten in het SOC beoordelen die meldingen en beslissen wat er moet gebeuren. Een SIEM zonder mensen die meldingen opvolgen, levert weinig op.