Aankoopgids Managed Detection & Response (MDR)

Voor endpoint-MDR ligt de publiek verifieerbare bandbreedte tussen €8 en €19 per endpoint per maand. Neem je ook identiteiten, cloud en logbronnen mee, dan komen de twee bronnen die dat publiceren uit rond €16 tot €17 per gebruiker per maand. Let op het verschil in eenheid: endpoints en gebruikers zijn niet hetzelfde zodra je veel servers hebt. Bedragen in dollars zijn omgerekend tegen 0,92 EUR/USD.

Endpoint-MDR draait doorgaans binnen enkele dagen, omdat je alleen een agent hoeft uit te rollen. Full-coverage MDR met logkoppelingen kost meestal enkele weken, omdat bronnen aangesloten en use cases ingericht moeten worden. Ter vergelijking: een eigen SOC opbouwen en bemensen kost volgens Nederlandse aanbieders één tot drie jaar. Vraag bij offertes altijd of onboarding apart wordt gefactureerd.

Je hebt beheerdersrechten nodig op de systemen waar de agent op komt, en een beheerdersaccount in Microsoft 365 of Google Workspace als identiteiten worden meegenomen. Verder een actuele lijst van apparaten en servers, en een afspraak over wie bij jou bereikbaar is buiten kantooruren. Zonder dat laatste loopt de dienst vast op het moment dat het ertoe doet.

Twaalf maanden is de standaard, met maandelijkse facturatie op basis van het werkelijke aantal endpoints. Bij directe afname hanteren aanbieders vaak een minimum, bijvoorbeeld 50 endpoints per product. Contracten van 24 of 36 maanden leveren korting op, maar leggen je ook vast op een leverancier terwijl de markt nog beweegt.

EDR is de software op je endpoints die verdacht gedrag signaleert, maar iemand moet naar de meldingen kijken. SIEM is het platform dat logdata verzamelt en correleert, en levert ook alleen alerts op. MDR is de dienst waarin analisten die meldingen beoordelen en actie ondernemen, meestal inclusief de benodigde tooling. SOC-as-a-service en MDR overlappen sterk, met als verschil dat SOC-diensten vaker alleen melden en MDR ook zelf ingrijpt.

24/7 betekent in de praktijk dat het SOC continu bemand is en binnen een afgesproken tijd reageert, meestal binnen 15 tot 60 minuten voor hoge urgentie. Let goed op het verschil tussen melden en ingrijpen: de ene aanbieder belt je met een advies, de andere isoleert het toestel en blokkeert het account zelf. Herstel, communicatie en eventuele aangifte blijven bijna altijd bij jou, tenzij je een incident-response-retainer afneemt.