什麼是 EDR/XDR 軟體？台灣買家實用名詞解析

EDR 與 XDR 在台灣資安團隊已成為日常詞彙，但在 RFP 與廠商簡報中仍經常被混用，導致過度購買、購買不足或在會議室問錯問題。本名詞解析整理台灣買家在簽約前該掌握的核心觀念：EDR 與 XDR 是什麼、與防毒、SIEM、SOAR 的關係、MDR 提供什麼、以及在個資法與本地合規環境下的意義。

本指南架構

• EDR 的核心定義
• XDR 在 EDR 之上的加值
• 防毒、EDR 與 XDR 的關係
• MDR 與 SOC，「託管」的真正涵義
• MITRE ATT&CK 與威脅分類語言
• EDR/XDR 與 SIEM、SOAR 的關係
• 台灣採購中常見的在地用語
• EDR/XDR 的效益與限制

EDR 的核心定義

EDR 在每個端點安裝輕量代理，持續紀錄行程、檔案、網路連線、登錄檔變化等行為。當行為符合已知攻擊或顯得異常時，平台發出警報並提供分析師主機隔離、終止行程、回滾惡意變更的能力。防毒專注於攔截，EDR 則處理已發生行為的偵測、調查與回應。

XDR 在 EDR 之上的加值

XDR 將 EDR 的視角擴展到郵件、身分、雲端工作負載、網路等相鄰領域。單看端點看似平常的警報，與兩分鐘前可疑的異地登入結合後可能顯著危險。然而當 SOC 缺少跨域人力時，XDR 的資料量會變成負擔。實際採用範圍應依 SOC 可運營能力決定。

防毒、EDR 與 XDR 的關係

防毒是已知惡意的攔截基線，EDR 是行為偵測的延伸，XDR 是跨域關聯的擴展。三者互補而非互斥。現代產品多將防毒併入 EDR 代理，例如 Microsoft Defender for Endpoint 同時擔任防毒，部署因此簡化，但選擇 EDR/XDR 同時即決定了防毒，請於 PoC 階段驗證舊筆電上的防毒效能。

MDR 與 SOC，「託管」的真正涵義

MDR 由廠商或合作夥伴的分析師 24/7 監控、調查並對 EDR/XDR 採取動作。範圍從單純監控、含封鎖、到完整事件回應（DFIR）皆有。台灣中小團隊或無 24/7 排班的客戶從 MDR 取得最大效益。SOC 則是處理警報的團隊與流程，可採內部、委外或混合配置。

MITRE ATT&CK 與威脅分類語言

ATT&CK 將真實攻擊者行為分為戰術與技術，廠商以 ATT&CK 標示自家偵測能力，使台灣買家可用共通語言比較。釐清自家威脅模型（初始入侵、身分盜用、橫向移動、資料外流）後對應 ATT&CK 技術，PoC 情境會更具體。

EDR/XDR 與 SIEM、SOAR 的關係

SIEM 聚合多源日誌並做合規通報與廣域關聯，SOAR 串接工具的自動化工作流，EDR/XDR 則聚焦端點與相鄰領域。小型台灣團隊常以 EDR + MDR 為起步，後續隨合規與運維成熟導入 SIEM 與 SOAR。金融、關鍵基礎設施類產業則通常三者並用。

台灣採購中常見的在地用語

RFP 常見的在地用語包括個人資料保護法、金管會資安通報、TWNIC/CC、SEMI E187 等。EDR/XDR 廠商應能就資料保存區域、台灣公司登記、繁體中文支援與 ISO 27001 等項目對答。廠商側的用語如 EPP、CWPP、CSPM、ITDR 也常出現在 RFP 中要求廠商映射能力。

EDR/XDR 的效益與限制

最大效益是回應速度。調校良好的 EDR/XDR 能把一週的鑑識縮成當日封鎖，影響個資法通報時限與資料外洩程度。限制是運營：未調校的平台讓 SOC 被警報淹沒；缺少 24/7 MDR 會錯過夜間事件；遙測保存成本最常被低估。應將 EDR/XDR 視為長期運營承諾，而非一次性採購。

從名詞到實際採購的橋接

名詞之外，台灣採購團隊常需要在第一輪會議就向資安主管解釋兩個關鍵權衡。第一是 EDR 與 XDR 的範圍：擴大到 XDR 是否會超過 SOC 可用人力？若仍以 EDR 為主，是否需要規劃未來兩年內的 XDR 升級路徑？第二是 MDR 的範圍：採購團隊應與資安主管討論若發生重大事件時，誰應在 30 分鐘內取得控制權，並依此倒推 MDR 應提供的契約 SLA。

另一個常被忽略的橋接是合約條款。台灣個資法、金管會通報義務與保險公司賠付前提，常要求事件回應流程在合約中明文寫出。請確認所選 EDR/XDR 廠商可提供事件回應 runbook、台灣在地 DFIR 夥伴清單與資料保存區域，並於合約附件中固化。

最後是文件層面：採購結束前確認廠商可提供繁體中文版的部署手冊、ISO 27001 對應表，以及在 PoC 期間累積的調校紀錄。這些文件在交接、稽核與新進分析師上手時都會反覆派上用場，比起單純比較產品能力，文件可及性是長期運營的重要指標。

EPP、EDR、XDR 的層次關係

採購對話中常見三個相鄰名詞。EPP（端點保護平台）是預防層，以特徵碼與機器學習攔截已知惡意；EDR 在其上增加偵測、調查與回應已發生行為的能力；XDR 再把視野擴及郵件、身分、雲端與網路。現代產品多將 EPP 併入 EDR 代理，因此選擇 EDR 同時即選定了 EPP。台灣買家應於 PoC 階段確認舊筆電上的 EPP 效能，並釐清 XDR 範圍是否超出 SOC 可運營人力。

停留時間與回應指標

評估 EDR/XDR 時，三個營運指標比功能清單更具意義。停留時間（dwell time）指攻擊者潛伏至被偵測的時間；MTTD 為平均偵測時間、MTTR 為平均回應時間。台灣資安團隊應要求廠商說明這些指標如何量測、是否含託管服務介入，並在 PoC 中以自家實際遙測驗證，而非僅採信廠商基準值。指標的可量測性，是判斷平台是否真正縮短事件處理週期的依據。

MDR 與 SOC 的分工

MDR（託管偵測與回應）由廠商或夥伴的分析師 24/7 監控、調查並對 EDR/XDR 採取動作，範圍可從單純監控到含完整數位鑑識。SOC（資安維運中心）則是接收警報、依流程處理的團隊與機制，可採內部、委外或混合配置。台灣中小團隊或無夜間排班的組織，常以 EDR 搭配 MDR 起步，再隨資安成熟度自建 SOC。採購時應釐清重大事件發生時，誰須在 30 分鐘內取得控制權，並依此倒推 MDR 契約應涵蓋的 SLA 與台灣在地 DFIR 夥伴。

深入了解各產品

總結：採購會議該帶的整理

EDR 是端點偵測與回應，XDR 是跨域擴展，防毒是攔截基線，SIEM 是全域日誌視角，SOAR 是自動化結合劑，MDR 是上層託管服務。MITRE ATT&CK 提供共通語言。加上個資法、金管會、關鍵基礎設施法規等台灣脈絡，可在採購會議前先解決四分之一的提問。