Skip to main content

    2 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

    MDR vs EDR vs XDR: twee tools en één dienst, en hoe u bepaalt wat uw organisatie werkelijk nodig heeft

    EDR en XDR zijn software die u koopt en zelf bedient. MDR is een dienst waarbij mensen die software dag en nacht voor u bedienen. De meeste verwarring in deze markt ontstaat omdat leveranciers alle drie met hetzelfde vocabulaire verkopen. Deze gids scheidt ze op telemetrie, op wie ze bedient en op wat er gebeurt als een alarm 's nachts afgaat.

    Praat met ons over MDR

    Het korte antwoord: EDR en XDR zijn tools, MDR is een dienst

    Endpoint detection and response (EDR) is een agent op laptops, servers en virtuele machines die proces-, bestands-, geheugen- en netwerkgedrag vastlegt, verdachte patronen herkent en reactiemogelijkheden biedt zoals het isoleren van een host of het beëindigen van een proces. Extended detection and response (XDR) verbreedt dat model tot buiten het endpoint: het verzamelt en correleert telemetrie van identity providers, e-mail, cloudworkloads, SaaS-applicaties en netwerksensoren, zodat één onderzoek een aanvaller kan volgen van een phishingmail naar een gecompromitteerd account naar een server. Beide zijn technologie. Beide produceren meldingen die een mens moet lezen.

    Managed detection and response (MDR) is geen derde productcategorie. Het is een dienst waarbij analisten van een aanbieder een EDR- of XDR-platform (van hen of van u) 24 uur per dag bedienen, de output triëren, zoeken naar wat het platform mist, en indamming uitvoeren of aansturen binnen een afgesproken mandaat. Het product van MDR is een onderzocht incident waarop al is gehandeld, geen notificatie. Het verschil tussen EDR, XDR en MDR is het verschil tussen een rookmelder, een gebouwbreed alarmsysteem en een brandweer op afroep.

    De vraag die telt bij mdr vs edr, of mdr vs xdr, is dus niet welke beter is. Het is wie in uw organisatie om 03:00 uur de melding leest, beoordeelt of zij echt is en de machine isoleert. Is het eerlijke antwoord 'niemand', dan vergelijkt u een tool met een dienst, en dan verliest de tool, hoe goed de detectie-engine ook is.

    EDR, XDR en MDR gedefinieerd, één voor één

    Wat elk is, welke telemetrie het ziet en wie het moet bedienen. Op dat derde punt schatten organisaties hun gereedheid het vaakst verkeerd in.

    EDR: detectie en respons op het endpoint

    Een agent op elk endpoint die gedrag vastlegt, dat vergelijkt met gedragsregels en indicatoren, en reactiemogelijkheden biedt (isoleren, in quarantaine plaatsen, beëindigen, forensische artefacten verzamelen). Telemetrie: alleen de host. Bediend door: uw team, tijdens kantooruren, tenzij iemand betaald wordt om 's nachts mee te kijken. Blinde vlek: een aanvaller die nooit een host met agent aanraakt, bijvoorbeeld door met gestolen inloggegevens in uw cloudconsole te stappen.

    XDR: detectie en respons over domeinen heen

    Een platform dat endpoint-telemetrie combineert met identiteitslogs (aanmeldingen, tokenuitgifte, rechtenwijzigingen), e-mailgebeurtenissen, cloud-auditlogs, SaaS-activiteit en netwerkdata, en die correleert tot één incidenttijdlijn. Telemetrie: zo breed als de bronnen die u aansluit en licentieert. Bediend door: nog steeds uw team. XDR vermindert het aantal meldingen door te correleren; het neemt niet weg dat iemand de overgebleven meldingen moet onderzoeken.

    MDR: mensen die EDR of XDR voor u bedienen, 24/7

    Een dienst waarbij analisten het platform continu monitoren, detecties schrijven en afstemmen, meldingen triëren, incidenten onderzoeken, zoeken naar onopgemerkte activiteit en dreigingen indammen binnen een mandaat dat u vastlegt (bijvoorbeeld: elke host isoleren, elk niet-bestuurlijk account uitschakelen, sessies intrekken). Telemetrie: wat het onderliggende platform ziet. Bediend door: de aanbieder, met uw team als beslisser bij escalaties. Kanttekening: een aanbieder die alleen notificeert, is een monitoringdienst met een MDR-etiket.

    MDR vs EDR vs XDR naast elkaar

    Gegeneraliseerd op basis van hoe de drie in 2026 aan middelgrote en grote organisaties worden verkocht. Contracten verschillen; lees het uwe naast deze tabel.

    DimensieEDRXDRMDR
    Wat het isSoftware-agent en consoleSoftwareplatform met inname uit meerdere bronnenDienst die EDR of XDR met analisten bedient
    Reikwijdte telemetrieEndpoints en serversEndpoint, identiteit, e-mail, cloud, SaaS, netwerkErft de reikwijdte van het platform; goede aanbieders eisen identiteits- en cloudbronnen
    Wie bedient hetUw analistenUw analistenAnalisten van de aanbieder, 24/7, uw team bij escalatie
    ResponscapaciteitActies beschikbaar; een mens moet ze startenBredere acties (account uitschakelen, afzender blokkeren, token intrekken); een mens beslist nog steedsAanbieder voert indamming uit binnen een vooraf afgesproken mandaat en rapporteert daarna
    Threat hunting en detectie-inhoudRegels van de leverancier; hunting alleen met eigen mensenCorrelatie van de leverancier; hunting alleen met eigen mensenDetecties ontwikkeld en afgestemd op uw omgeving; hunting met vaste frequentie
    DekkingsvensterUw kantooruren, tenzij u in ploegen werktUw kantooruren, tenzij u in ploegen werktContinu
    KostenlogicaLicentie per endpoint; de verborgen kostenpost is analistentijdLicentie plus datavolume; de verborgen kostenpost is integratie en analistentijdAbonnement per endpoint of gebruiker, inclusief de mensen en meestal het platform
    Meest geschikt voorTeams met analisten die een console kunnen bemannenTeams met analisten en een identiteitsgedreven omgeving over meerdere domeinenOrganisaties zonder 24/7 security operations, of met een operatie die diepte mist

    De valkuil van tool versus dienst

    De meest voorkomende tekortkoming die wij bij offensieve opdrachten zien, is geen ontbrekende maatregel maar een onbemande. De organisatie kocht een gerespecteerde EDR, rolde die uit naar de meeste endpoints en configureerde meldingen. Tijdens een interne penetratietest markeert de agent netjes het dumpen van credentials en laterale beweging. Niemand leest de melding 36 uur lang, omdat het securityteam van twee personen in vergadering zat, daarna sliep en daarna weer in vergadering zat. Op papier had het bedrijf detectie en respons. In de praktijk had het detectie en een wachtrij.

    De valkuil werkt in twee richtingen. MDR bovenop een EDR die op 60 procent van de endpoints staat, zonder aangesloten identiteits- of cloudtelemetrie, koopt 24/7 aandacht voor een gedeeltelijk beeld: de aanbieder is blind voor de aanvaller die met een geldig sessietoken in uw SaaS-tenant inlogt. MDR is slechts zo goed als de telemetrie eronder, en daarom voeren serieuze aanbieders vóór livegang een dekkingsanalyse uit en rapporteren zij daarna maandelijks de gaten. Een derde variant is semantisch: MDR die alleen notificeert, XDR die een EDR met een paar logkoppelingen is. Lees het contract op de lijst van telemetriebronnen die de aanbieder beheert en op het schriftelijke indammingsmandaat. Is een van beide vaag, dan koopt u niet wat het etiket belooft.

    Beslisboom op basis van teamgrootte en volwassenheid

    Vijf uitgangsposities dekken de meeste organisaties. Zoek de uwe voordat u leveranciers vergelijkt.

    1. Geen toegewijd securitypersoneel; IT-generalisten dragen security

    Kies MDR inclusief platform. U heeft niet de mensen om EDR of XDR te bedienen, en een van beide kopen zonder bediener levert meldingen op die niemand leest. Eis vanaf dag één identiteits- en e-mailtelemetrie en een indammingsmandaat waarmee de aanbieder 's nachts kan handelen. Wijs aan uw kant één verantwoordelijke aan voor escalaties.

    2. Eén tot drie securitymedewerkers tijdens kantooruren

    Wees eigenaar van het EDR- of XDR-platform (uw tenant, uw data, uw exitpad) en contracteer MDR om het te bedienen, vaak co-managed genoemd. Uw team houdt de businesscontext en het eigenaarschap van detecties; de aanbieder dekt nachten, weekenden, piekbelasting en hunting. Spreek af wie detecties afstemt en hoe wijzigingen worden beoordeeld.

    3. Een bemande security-operatie, maar niet 24/7

    XDR met uw eigen analisten overdag, MDR voor dekking buiten kantooruren en voor threat hunting. Het gedeelde platform maakt overdrachten werkbaar omdat beide teams dezelfde tijdlijn zien. Vraag of de hunting van de aanbieder gevoed wordt door uw penetratietest- en red-team-bevindingen; daar voegen offensief georiënteerde aanbieders meetbare detecties toe.

    4. Een volwassen 24/7 SOC

    U bent een platformkoper. Kies EDR of XDR op telemetriebreedte, API-kwaliteit en reactieacties, en zet MDR selectief in: extra capaciteit tijdens incidenten, een domein dat u niet goed dekt (operationele technologie, een pas overgenomen dochter) of een onafhankelijk tweede paar ogen. Valideer uw detectiedekking minimaal jaarlijks met purple teaming.

    5. Gereguleerd of recent getroffen, ongeacht teamgrootte

    Bewijs stuurt de keuze. Toezichthouders, auditors en cyberverzekeraars vragen wie detecteerde, wie besliste, wie indamde en wanneer, met vastlegging. MDR produceert die vastlegging als bijproduct; een tool doet dat alleen als uw team elk onderzoek documenteert. Onder NIS2, DORA, NYDFS Part 500 of HIPAA begint u bij de meldtermijn en werkt u terug naar de capaciteit die haar haalt.

    Hoe MDR EDR en XDR gebruikt, en waar MSSP en SOC passen

    Binnen een MDR-dienst is het platform de sensor en de handen; de mensen zijn het brein. Het werk zit vóór en na de melding: de juiste telemetrie aansluiten, detecties schrijven voor technieken die de standaardregels missen, ruis onderdrukken, en vervolgens onderzoeken met de query- en tijdlijntools van het platform. Indamming gebruikt de eigen acties van het platform: netwerkisolatie, procesbeëindiging, uitschakelen van de identiteit, intrekken van tokens, blokkeren van het afzenderdomein. Goede MDR voert ook gestructureerde threat hunting uit, met hypotheses uit actuele dreigingsinformatie en uit de technieken die de eigen offensieve teams gebruiken. Voor de werking van die lus leest u onze uitleg over wat threat hunting is en hoe het verschilt van detectie.

    Lezers komen hier vaak met een verwante vraag over managed security service providers (MSSP's) en SOC as a service. In één alinea: een MSSP beheert een brede set maatregelen (firewalls, e-mailbeveiliging, vulnerability management, SIEM) en escaleert volgens een draaiboek; SOC as a service is de monitoringfunctie vanuit het security operations center van een aanbieder, met alarmering als belangrijkste output; MDR is smaller en dieper, gericht op het indammen van actieve dreigingen in endpoint-, identiteits- en cloudtelemetrie. De drie modellen en hoe u ze combineert zonder dubbel te betalen, vergelijken wij in onze gids MSSP vs MDR vs SOC as a service; het SOC-construct lichten wij toe in wat SOC as a service is.

    Vragen die u stelt voordat u een MDR-, EDR- of XDR-contract tekent

    Zeven vragen, in de volgorde waarin een inkoopgesprek meestal verloopt. De antwoorden scheiden echte diensten van omgedoopte.

    • Welke telemetriebronnen sluit u aan en beheert u: alleen endpoints, of ook aanmeld- en auditlogs van de identity provider, gebeurtenissen van de e-mailgateway, cloud-auditlogs en SaaS-activiteit?
    • Wat is het schriftelijke indammingsmandaat: welke acties mag u uitvoeren zonder ons te bellen, op welke assetklassen, en hoe zijn uitzonderingen voor bestuurders of productiekritieke systemen gedefinieerd?
    • Wie is eigenaar van de platformtenant en de ruwe data, kunnen wij die exporteren, en wat gebeurt er met detecties en historie als het contract eindigt?
    • Beschrijf het escalatiepad om 03:00 uur op een zondag: wie wordt aan onze kant opgeroepen, wat ontvangt die persoon, en wat heeft u al gedaan op het moment dat hij opneemt?
    • Hoe wordt de detectie-inhoud onderhouden, en komen er detecties voort uit penetratietest- of red-team-bevindingen in onze omgeving? Is threat hunting een gedefinieerde activiteit met een frequentie en een rapport?
    • Op welke kaders is de maandrapportage gemapt (NIS2, DORA, ISO 27001, NIST CSF 2.0, PCI DSS, SOC 2), en vertelt u ons elke maand welke assets of bronnen niet rapporteren?
    • Verwelkomt u een onafhankelijke purple-team- of red-team-oefening tegen uw detecties, en wat gebeurde er de laatste keer dat een klant er een uitvoerde?

    Compliance-haken: waar detectie en respons bewijs worden

    Eerst de EU-kaders, dan de Amerikaanse die voor internationaal opererende organisaties relevant zijn. Geen van alle noemt EDR, XDR of MDR; alle vereisen de capaciteit en de vastlegging die MDR standaard oplevert.

    • NIS2 (in Nederland de Cyberbeveiligingswet): artikel 21(2)(b) vereist incidentbehandeling, en artikel 23 stelt een vroegtijdige waarschuwing binnen 24 uur en een melding binnen 72 uur; zonder onderzocht incident is die melding niet te onderbouwen.
    • DORA: artikel 17 vereist een beheerproces voor ICT-gerelateerde incidenten met detectie en classificatie, en artikel 19 regelt de melding van ernstige incidenten door financiële entiteiten aan DNB of AFM.
    • ISO 27001:2022: maatregelen A.8.15 (logging), A.8.16 (monitoringactiviteiten) en A.5.24 tot A.5.28 (incidentbeheer) vragen om continue monitoring en gedocumenteerde incidentafhandeling; de auditor wil de incidentrecords zien, niet de console.
    • NIST CSF 2.0 en NIST SP 800-61 Rev. 3 (2025): de functies Detect en Respond vragen om continue monitoring, analyse van ongewenste gebeurtenissen en incidentbeheer; Amerikaanse auditors citeren deze combinatie het vaakst.
    • HIPAA Security Rule: 45 CFR 164.308(a)(1)(ii)(D) vereist periodieke beoordeling van systeemactiviteit, en 164.308(a)(6) vereist procedures om incidenten te herkennen, erop te reageren, te beperken en te documenteren.
    • PCI DSS v4.0.1: eis 10 dekt logging en monitoring, inclusief het tijdig detecteren van en reageren op uitval van kritieke beveiligingsmaatregelen (10.7); eis 12.10 vereist een incidentresponsplan dat direct wordt geactiveerd.
    • NYDFS 23 NYCRR 500 en SEC: sectie 500.17 vereist melding aan de toezichthouder binnen 72 uur; de SEC-regels van 2023 vereisen openbaarmaking van een materieel incident op Form 8-K Item 1.05 binnen vier werkdagen na de materialiteitsbepaling.

    Hoe een goed MDR-resultaat eruitziet, en waar HackersHub past

    Beoordeel een MDR-aanbieder op wat u ontvangt, niet op de console. Per incident: een tijdlijn van eerste telemetrie tot afsluiting, het bewijs achter elke stap, de waargenomen MITRE ATT&CK-technieken, de uitgevoerde indammingsacties en onder welke bepaling van het mandaat, de oorzaak zover vast te stellen, en herstel met eigenaren. Maandelijks: ontvangen versus onderzochte versus geëscaleerde meldingen, toegevoegde of bijgestelde detecties en waarom, geteste huntinghypotheses, telemetriedekkingsgaten met de betrokken assets, en een bewijssectie gemapt op uw kaders. Kan een aanbieder vóór ondertekening geen geanonimiseerde versies van alle drie laten zien, ga er dan van uit dat u ze daarna ook niet krijgt.

    HackersHub is een offensief securitybedrijf uit Amsterdam dat ook managed security en managed detection and response levert aan enterprise-klanten in de EU en de Verenigde Staten, op afstand en met reizen naar locatie waar nodig. Onze MDR-analisten werken naast de testers die hun week besteden aan het binnendringen van omgevingen zoals de uwe, en dat vormt de dienst: detectie-engineering gevoed door de technieken die ons red team daadwerkelijk gebruikt, 24/7 monitoring, SIEM- en EDR-beheer, ondersteuning bij incidentrespons, en rapportage die aansluit op de bovenstaande kaders. Managed detection and response van HackersHub wordt per organisatie gescopet en door ons eigen offensieve team getest.

    Veelgestelde vragen

    Gerelateerde gidsen en diensten

    Twijfelt u of u de tool of de dienst nodig heeft?

    Vertel ons wat u vandaag draait, wie ernaar kijkt en wanneer. Wij zeggen u eerlijk of MDR dekking toevoegt die u mist, of dat uw platform alleen anders bediend moet worden. Plan een gesprek met een expert.

    Managed detection and responsePlan een gesprek