EDR、XDR、SIEM、SOC、MDR 差在哪：中小企業的偵測與回應從哪裡開始

工具：EDR、XDR、SIEM 各自看到什麼

EDR：端點上的感測器，加上處置按鈕

美國白宮管理及預算局（OMB）在 2021 年為落實行政命令 14028 發布的 M-22-01 備忘錄，把 EDR（端點偵測與回應）描述為：即時、持續地監控並收集端點資料（例如工作站、手機與伺服器），再結合規則式的自動回應與分析能力；和傳統防護相比，它提供應付多型惡意程式、進階持續性威脅（APT）與網路釣魚所需的可見度^[1]。這份備忘錄規範的是美國聯邦機關，但它對 EDR 的描述很適合拿來理解這類產品。

EDR 和傳統防毒最大的差別在「回應」。以 Microsoft Defender for Endpoint 為例，管理者可以從主控台對單一裝置收集調查資料包、執行防毒掃描、限制程式執行，或隔離裝置；隔離會切斷裝置的網路連線，只保留它和 Defender 服務之間的連線以便繼續監控，用來阻止攻擊者繼續操控這台主機、外傳資料或橫向移動^[2]。EDR 也可以設定成偵測到就自動阻擋：微軟分析勒索軟體即服務（RaaS）時，建議以「封鎖模式」執行 EDR，讓 Defender for Endpoint 在其他廠商的防毒沒有偵測到、或 Defender 防毒處於被動模式時，仍能封鎖惡意檔案^[3]。

XDR：把端點、身分、郵件與雲端的訊號串起來

XDR（延伸偵測與回應）是把 EDR 的概念延伸到其他資料來源的產品類別，涵蓋範圍由各廠商自行界定。以微軟的說明為例，Defender XDR 在端點、身分、電子郵件與應用程式之間協調偵測、預防、調查與回應，把各產品的告警、可疑事件與受影響的資產合併成同一個事件，並能在多個來源的高可信度訊號吻合時，自動採取圍堵動作^[4]。

這正是單靠 EDR 看不到的地方：攻擊者用竊得的密碼或工作階段 Cookie，從自己的電腦登入公司的雲端信箱時，公司端點上的 EDR 看不到這次登入，要靠身分與郵件的訊號才看得出異狀，手法見資訊竊取程式與外洩帳密與公司信箱帳號被盜用怎麼辦。

不過也要知道它的範圍：微軟註明，Defender XDR 只關聯客戶已購買並啟用的微軟資安產品訊號，內建的跨產品威脅獵捕查詢也只涵蓋 30 天的原始資料^[4]。以這個例子來說，XDR 的視野以同一家廠商的產品為主，也不能取代長期保存的日誌。

SIEM：集中收日誌、關聯、告警與保存

NIST 術語表引用 SP 800-92，把 SIEM（資安資訊與事件管理）定義為「為多種日誌類型提供集中式記錄能力的程式」^[5]。實務上 SIEM 除了集中收集，還負責關聯分析、告警與保存：澳洲 ASD 與美國 CISA、FBI、NSA 等機關在 2024 年的日誌指引中指出，把日誌集中到 SIEM，可以和平常的行為基準比對，找出偏離基準的活動與資安事件^[6]。

SIEM 不限廠商，防火牆、VPN、AD、雲端服務與 EDR 的資料都可以匯入，也常是長期保存日誌的地方；代價是要有人撰寫並調校偵測規則。同一份指引也提醒兩件事：SIEM 集中了大量資訊、又可能成為偵測能力的單一失效點，對攻擊者很有吸引力，應該強化並和一般 IT 環境區隔；送進 SIEM 或 XDR 之前先篩選，只送最有價值的日誌，以免增加成本或造成容量問題^[6]。

人與服務：SOC、MDR 與 MSSP

SOC：一群人和一套流程，不是產品

英國國家網路安全中心（NCSC）說明，SOC（資安監控中心）的範圍因組織而異，但多數負責偵測與回應網路攻擊；預防不一定總能成功，SOC 的角色就是偵測並回應那些突破預防性控制的攻擊，以限制損害^[7]。NCSC 列出的 SOC 核心功能包括威脅情資、威脅獵捕、偵測規則開發、工具與日誌接入的維運、事件處理與事件管理^[8]，這些都是人在做的事。換句話說，SOC 不是買來裝好就能用的產品：EDR、XDR、SIEM 是 SOC 的工具，SOC 是使用這些工具的人和流程。

NCSC 也指出，多數 SOC 都會外包部分工作，即使只是偵測用的特徵碼；不常用到、或內部沒有資源建立的功能，外包可能比較划算^[8]。

MDR：外包的偵測與回應

MDR（託管偵測與回應）指由外部廠商的分析師替你看告警、調查並處置的服務。以微軟對自家 MDR 服務的說明為例：分析師全天候管理客戶的事件佇列，代為分級與調查，再直接處置或引導客戶團隊處置；服務定位是補強客戶的 SOC，而不是取代；對支援的第三方產品，則只提供處置建議^[9]。這個例子點出採購時最該問清楚的兩件事：廠商看得到哪些資料，以及能替你做到哪一步。

MSSP：範圍更廣的託管資安服務

美國、英國、澳洲、加拿大與紐西蘭資安機關的聯合公告，把託管服務供應商（MSP）定義為透過服務水準協議等契約，替客戶交付、營運或管理資通服務的業者，服務內容可以包括資安服務^[10]。MSSP 一般指以資安服務為主的這類業者，服務從代管資安設備到日誌監控都有；MDR 則以偵測、調查與處置為核心。

這些名稱都沒有統一的規格：同樣叫 MDR，有的只寄告警通知，有的可以直接隔離主機。比名稱更重要的是合約。同一份聯合公告建議，合約要寫明強化設定、偵測與事件應變等責任由廠商還是客戶負責；廠商要說明客戶買了哪些服務、沒買哪些服務；也要寫明廠商何時、如何通知影響客戶環境的事件^[10]。

偵測要有人接手：為什麼 24/7 是關鍵

工具只會產生告警，告警要有人在對的時間處理才有價值。Sophos 統計 2024 年 11 月到 2025 年 10 月處理的 661 件事件應變與 MDR 案件，88% 的勒索軟體在非上班時間部署，79% 的資料外傳也發生在非上班時間^[11]。這是單一廠商自己的案件資料，但足以說明下班時間沒人接手的風險。

偵測到也不等於擋下來。微軟指出，防毒偵測並封鎖了攻擊者的某個工具後，攻擊者往往只是換一個工具、修改惡意程式，或竄改遇到的資安產品；這類偵測可能讓 SOC 誤以為防護有效，因此要優先調查 Cobalt Strike 這類工具的告警並迅速處置，才能在勒索軟體部署前阻止人為操作的攻擊^[3]。也就是說，一則顯示「已封鎖」的告警，仍然需要有人判斷攻擊者是不是還在網路裡。

24 小時值班的成本很高。NCSC 指出，24/7 運作的 SOC 需要的人力遠多於朝九晚五加上下班待命；如果其他 IT 團隊只在上班時間處理、沒有待命安排，24/7 SOC 的效果也會大打折扣，因此可以考慮把下班時間的高優先告警送給待命人員^[8]。美國 OMB 的 M-22-01 也要求各機關確保 EDR 有足夠的資源與人力，並編列維持工具整個生命週期的經費^[1]。

對中小企業來說，問題不是「要不要自建 SOC」，而是「半夜告警響了，誰接手、誰能做決定」：可能是 MDR 廠商、內部待命人員，或兩者搭配。也要確認廠商深夜升級通報時，公司這端有人有權決定是否關閉某台伺服器或停用某個帳號。事件發生後的處置步驟見疑似遭入侵的前 24 小時與遭勒索軟體加密之後；在桌上演練放一個「週六凌晨 EDR 告警」情境，是檢查這條路通不通的好方法。

台灣的規範怎麼寫

資通安全責任等級分級辦法

《資通安全責任等級分級辦法》第 11 條要求公務機關與特定非公務機關，依責任等級辦理附表一至附表八的事項^[12]。依 2026 年 1 月 7 日修正後的現行附表^[12]：

• A 級與 B 級：公務機關（附表一、附表三）與特定非公務機關（附表二、附表四）都要建置「資通安全監控管理機制」與「端點偵測及應變機制」並持續維運，依主管機關指定的方式提交監控管理資料與偵測資料。監控範圍要包括端點偵測及應變機制與各項資通安全防護措施，以及目錄服務系統與核心資通系統的日誌紀錄和資通設備紀錄。
• 端點偵測及應變機制的定義：附表所稱端點偵測及應變機制，指具備對端點進行主動式掃描偵測、漏洞防護、可疑程式或異常活動行為分析，以及相關威脅程度呈現功能的防護作業。
• 辦理期限：兩者都要在初次受核定或等級變更後一年內完成導入；附表因修正而新增或異動的項目，期限自修正施行之日起算（第 11 條）。
• 其他防護措施：A、B 級的資通安全防護還要有入侵偵測及防禦機制，有對外服務之核心資通系統者要有應用程式防火牆；A 級另要有進階持續性威脅攻擊防禦措施。
• C、D、E 級：都不要求監控管理機制與端點偵測及應變機制。C 級（附表五、附表六）的資通安全防護是防毒軟體、網路防火牆，以及有郵件伺服器者的電子郵件過濾機制；D 級（附表七）是防毒軟體與網路防火牆；E 級（附表八）只要求資安通識教育訓練。

特定非公務機關的中央目的事業主管機關，還可以在辦法範圍內另訂所管機關的應辦事項^[12]。哪些企業屬於特定非公務機關、承攬這些單位業務的廠商為什麼也可能被要求比照，見資通安全管理法重點整理。即使不在適用範圍內，附表仍是實用的參考：從 B 級起就要求端點偵測與監控機制，C 級以下則以防毒與防火牆為基本配備。

上市上櫃公司資通安全管控指引

證交所在 2026 年 11 月修正《上市上櫃公司資通安全管控指引》，第十九條列出八項資安防護控制措施：防毒軟體、網路防火牆、有郵件服務者的電子郵件過濾、入侵偵測及防禦、有對外服務之核心資通系統者的應用程式防火牆、進階持續性威脅攻擊防禦，以及「端點偵測與應變機制（EDR）」和「資通安全威脅偵測管理機制（SOC）」^[13]。修正條文對照表顯示，SOC 在修正前的第十八條就已列入，EDR 則是這次新增，修正說明提到參酌了分級辦法對端點防護與威脅偵測的要求^[14]。

同一份指引的第二十四條要求建立資通系統與設備的監控措施，涵蓋失敗登入、非作業時間登入、多位使用者從同一來源 IP 登入成功等身分驗證紀錄，並保護日誌；第三十三條要求在採購文件載明服務水準協議（SLA）、資安要求與對委外廠商的資安稽核權；第三十四條要求終止或解除委外關係時，確認廠商返還、移交、刪除或銷毀履約持有的資料^[13]。外包 SOC 或 MDR 時，第二十四條可以當成監控範圍的檢查表，第三十三、三十四條則可以當成合約條款的檢查表。第四十四條則說明，上市櫃公司可以依產業特性、規模大小與資安風險適度採行^[13]；逐章整理見上市上櫃公司資通安全管控指引。

怎麼選、怎麼買：分階段導入與必問問題

建議的導入順序

以下是給沒有專職資安團隊的中小企業的建議順序，後一步都建立在前一步的資料上：

1. EDR 涵蓋所有端點與伺服器，並開啟封鎖模式與竄改保護：五國資安機關建議所有組織，不論自己做或透過委外，都要建置端點偵測與網路防禦監控^[10]。微軟觀察到，幾乎每一起勒索軟體事件裡，至少有一台系統的資安產品設定不當，讓攻擊者能停用防護或躲過偵測；初始入侵點也常是沒有防毒或 EDR 保護的老舊系統^[3]。重點因此不只是買，而是涵蓋率與設定，竄改保護與封鎖模式見勒索軟體如何入侵企業。EDR 也不是萬靈丹，有些資訊竊取程式能避開它，見資訊竊取程式與外洩帳密。
2. 加上身分與郵件的訊號：把 Entra ID 或 Google Workspace 的登入與稽核紀錄、郵件防護的告警納入同一個檢視介面；如果端點、身分與郵件都在同一家廠商的產品線上，XDR 是整合這些訊號最直接的方式。帳號與郵件的基本設定見Microsoft 365 與 Google Workspace 安全基準設定。
3. 集中保存日誌：把防火牆、VPN、AD 與雲端稽核紀錄集中到 SIEM，或至少一個安全的集中儲存；五國聯合公告建議所有組織把最重要的日誌保存至少六個月^[10]。該收哪些來源，見日誌策略。
4. 24/7 監控與回應服務：資料來源到位後，再由 MDR 或 MSSP 把端點、身分與日誌串起來看，並負責下班時間的告警。可以拿 MITRE ATT&CK 對照廠商的偵測規則涵蓋哪些攻擊手法。

這個順序不是絕對的。有些 EDR 廠商本身就提供 MDR 服務（例如前述微軟的例子^[9]）；如果公司下班時間根本沒有人能處理告警，可以把第 4 步提前，從「EDR 加 MDR」開始，再逐步把身分、郵件與日誌納入服務範圍。

簽 MDR 合約前要問的問題

以下問題整理自五國資安機關的聯合公告，以及加拿大網路安全中心（CCCS）的託管服務採購指引^[10][15]，可以直接放進需求書與合約：

• 真的是 24/7 嗎？ 夜間與假日由誰看告警、多久內回應？CCCS 建議在 SLA 寫明預期的處理時間、溝通管道、升級流程、績效指標，以及未達標的罰則；它也提醒，廠商同時服務許多客戶，你眼中的緊急事件可能排在別人後面^[15]。
• 誰可以隔離主機、停用帳號，多快？ 事先約定廠商可以直接處置的範圍，例如一般工作站可以直接隔離，關鍵伺服器要先電話確認，並寫進合約與作業程序。以 Defender for Endpoint 為例，可以對高價值資產限制高影響的回應動作以免影響營運，而隔離一台執行 Hyper-V 的伺服器，會阻斷上面所有虛擬機器的網路^[2]。廠商帳號也要強制 MFA、只給所管理系統的權限，不要加入內部管理員群組^[10]。
• 涵蓋哪些資料來源？ 只有廠商自家的 EDR，還是包括身分、郵件、防火牆與雲端？有些服務對第三方產品只給處置建議，不會替你動手^[9]。偵測只靠已知惡意程式的特徵碼，還是也有行為偵測^[15]？
• 資料存在哪裡、保存多久？ 日誌與遙測資料存放的國家或地區，以及保存期間能不能符合公司的保存政策與法規要求^[15]。
• 報告什麼、怎麼通知？ 事件通知的方式與時限；能不能看到廠商在你環境中的存在、活動與連線紀錄^[10]；能不能分析跨時間的事件趨勢，找出反覆發生的根本問題^[15]。
• 合約結束時怎麼辦？ 資料歸誰、能否以非專屬格式匯出、廠商如何刪除資料^[15]；也要記得停用廠商帳號、移除代理程式。聯合公告特別提醒，合約終止時很容易忘了停用 MSP 的帳號^[10]。上市櫃公司可同時對照指引第三十三、三十四條。

行動清單

• 把公司現有的資安工具與服務逐一歸類：哪些是工具（EDR、XDR、SIEM），哪些是人與服務（SOC、MDR、MSSP），各自由誰看告警，下班時間誰接手。
• 確認 EDR 涵蓋所有工作站與伺服器，包括老舊系統，並開啟封鎖模式與竄改保護；每月檢查有沒有停止回報的端點。
• 寫一份處置授權表：哪些設備可以由廠商或值班人員直接隔離，哪些要先找誰確認；停用帳號、關閉伺服器由誰決定。
• 把 Entra ID 或 Google Workspace 的登入與稽核紀錄、郵件防護告警納入同一個檢視介面。
• 把最重要的日誌集中保存至少六個月，再依日誌策略補齊來源。
• 下班時間沒人能處理告警的話，評估 EDR 搭配 MDR；用上面的問題逐項比較廠商，並把答案寫進 SLA。
• 屬於 A、B 級的公務機關或特定非公務機關，確認監控管理機制與端點偵測及應變機制的導入期限；上市櫃公司對照證交所指引第十九、二十四、三十三與三十四條。
• 在桌上演練放一個「週六凌晨 EDR 告警」情境，測試從廠商通報、內部決策到隔離主機的流程是否走得通。
• 需要外部協助調查與處置時，可參考事件應變服務。