EDR vs antivirus tradițional - ce alegi pentru firma ta

Atacurile asupra IMM-urilor din România au depășit faza în care un antivirus tradițional mai poate face față singur. Ransomware-ul livrat prin macro Office, exploit-uri pe binare legitime Windows (LOLBins), atacurile pe supply chain prin update-uri compromise - toate trec senin pe lângă scanerele bazate pe semnături.

Scenariul tipic arată așa: firmă cu 15-50 endpoints plătește un AV business "all-in-one cloud", apoi într-o noapte de vineri se trezește cu fișiere criptate, iar AV-ul a logat zero alerte. Nu pentru că AV-ul era prost - ci pentru că nu avea cum să prindă acel tip de atac.

Acest ghid îți explică cele cinci generații de protecție endpoint, când AV-ul tradițional rămâne suficient și când trebuie să treci la EDR sau MDR. Pentru overview pe produse, vezi topul antivirus business pentru firme din România și comparația practică Bitdefender vs ESET vs Kaspersky business.

Cele cinci generații de protecție endpoint

Industria a trecut prin cinci salturi tehnologice, fiecare răspunzând unor amenințări pe care generația anterioară nu le mai oprea. Înțelegerea lor te ajută să citești corect ofertele vendorilor - mulți încă vând Gen 3 cu etichetă "EDR" pe ambalaj.

Generația 1: signature-based AV (anii 1990-2005)

Hash MD5/SHA-1 pe fiecare fișier, comparat cu lista de malware cunoscut, blocat la match. Slăbiciunea: orice fișier modificat cu 1 byte trece nevăzut. Polymorphic malware a omorât complet această abordare prin anii 2005.

Generația 2: heuristic + behavioral (2005-2012)

Motor heuristic care analizează structura fișierului (PE headers, packing) plus HIPS (Host Intrusion Prevention System) care monitorizează acțiuni runtime: scriere în registry sensibil, hooking pe API-uri Windows, injecție în alt proces. Limită: false positive ridicat, regulile statice nu acoperă tehnici noi.

Generația 3: NGAV (Next-Generation Antivirus, 2012-2018)

Machine learning pe milioane de samples, cloud reputation, exploit prevention (blocare tehnici generice precum ROP, heap spray). Forța: detecție care poate folosi și semnale suplimentare față de semnături. Slăbiciune: tot la nivel de "block sau allow" un singur fișier - fără context, fără timeline, fără răspuns post-incident.

Generația 4: EDR (Endpoint Detection and Response, 2014-prezent)

Saltul calitativ real. Agent care colectează telemetry continuă (procese, conexiuni rețea, modificări de fișiere, scripts PowerShell, DNS) și o trimite la consolă centrală unde se analizează pattern-uri de atac în timp real. Nu mai blochezi doar "fișiere rele" - vezi lanțul complet de atac mapat pe MITRE ATT&CK. Capabilități noi: izolare endpoint, kill process la distanță, rollback ransomware, threat hunting pe istoric 30-90 zile.

Generația 5: XDR (Extended Detection and Response, 2020-prezent)

Extinde EDR peste endpoint către network, identity (Active Directory, Entra ID), cloud workloads (AWS/Azure/GCP), email gateway. Corelează cross-domain: login suspect de pe IP nou (identity) + descărcare neobișnuită din SharePoint (cloud) + execuție PowerShell pe endpoint (EDR) = un singur incident, nu trei alerte separate.

MDR - service tier peste EDR/XDR

Managed Detection and Response este model de livrare, nu generație tehnologică. Vendor sau partener rulează EDR-ul/XDR-ul cu analiști SOC 24/7, triază alerte, răspunde la incidente. Plătești pentru oameni, nu doar tool. Variante: vendor MDR (Bitdefender MDR, SentinelOne Vigilance, CrowdStrike Falcon Complete) sau MSSP local (Safetech Innovations, Bit Sentinel, DataNet Systems pe piața RO).

Tabel comparativ AV vs NGAV vs EDR vs XDR

Limitele concrete ale AV-ului tradițional

În termeni simpli: AV-ul clasic prinde ce a mai văzut. Atacatorii moderni se asigură să arate altfel.

Zero-day exploits - vulnerabilitate necunoscută public, fără semnătură. Atacatorul exploatează browser, PDF reader, driver. Cazuri: ProxyLogon (Exchange), MOVEit Transfer, ConnectWise ScreenConnect.

Fileless malware - cod executat direct în memorie prin PowerShell, WMI, .NET reflection. Nu există fișier de scanat. Exemple: Cobalt Strike beacon injectat în explorer.exe, payload-uri AMSI bypass.

Living-off-the-land (LOLBins) - atacatorul folosește binare Windows legitime: certutil.exe pentru download, regsvr32.exe pentru execuție remote, mshta.exe, wmic.exe pentru recunoaștere. AV-ul nu poate bloca aceste binare - sunt parte din sistem. Proiectul LOLBAS catalogă peste 200 de binare exploatabile.

Supply chain compromises - update legitim semnat digital livrează malware. Cazuri istorice: SolarWinds Orion, Kaseya VSA, 3CX, XZ Utils backdoor. AV-ul vede update semnat de vendor de încredere - nu blochează.

Ransomware multi-stage - lanț tipic: phishing → loader → escaladare privilegii → recunoaștere rețea cu BloodHound → exfiltrare cu rclone → criptare cu LockBit/BlackCat. AV-ul prinde poate ultima fază - dar atunci datele sunt deja exfiltrate.

EDR - capabilități core pe care AV-ul nu le are

EDR-ul nu este "AV mai bun". Este o categorie diferită, cu capabilități specifice care răspund tehnicilor de mai sus.

Telemetry collection continuă

Agentul EDR logează în timp real fiecare proces creat (cu părinte, comandă, hash binar, user), fiecare conexiune de rețea, modificări de fișiere, scripts PowerShell/JScript/VBScript cu conținut complet (encoded base64 se decodifică automat), evenimente DNS, WMI activity, scheduled tasks. Datele se trimit la consolă centrală cu retenție 30-90 zile minimum.

Attack chain visualization pe MITRE ATT&CK

Când consola detectează pattern suspect, îți arată graficul complet: ce proces a pornit ce, prin ce comandă, cu ce conexiuni. Fiecare pas este mapat pe technique ID din MITRE ATT&CK (T1059.001 = PowerShell, T1003.001 = LSASS Memory dump, T1486 = Data Encrypted for Impact). Vezi povestea atacului ca timeline vizual, nu loguri brute.

Response actions de la distanță

Cu un click în consolă: isolate endpoint, kill process, delete fișier, quarantine binar, execute script remote (PowerShell custom pentru cleanup). Pentru ransomware: rollback fișiere modificate folosind snapshot-uri locale.

Threat hunting proactiv

Întrebări ad-hoc pe toate endpoint-urile: "procesele care au făcut conexiune pe portul 4444 în ultimele 7 zile", "orice PowerShell encoded base64 executat de user non-admin", "există vreun endpoint care a încărcat mimikatz.exe în memorie?". Răspuns în secunde. Cu AV tradițional - imposibil.

Detection rules customizabile

Scrii propriile reguli pe baza ATT&CK techniques. Exemplu simplificat:

WHEN process_name = "winword.exe"
  AND child_process_name IN ("powershell.exe", "cmd.exe", "wscript.exe")
  AND command_line CONTAINS ("-enc" OR "DownloadString" OR "IEX")
THEN alert severity="high" tag="T1566.001 phishing macro"

Word care lansează PowerShell cu argumente codificate este un semnal de investigat, nu o dovadă suficientă pentru o rată de detecție universală. AV-ul tradițional nu poate exprima această regulă - vede doar binare individuale, nu relații părinte-copil cu argumente.

Când AV tradițional rămâne suficient (decizie IMM)

Nu fiecare firmă are nevoie de EDR. Aici este partea importantă: EDR fără capacitate de răspuns devine doar zgomot scump. Profilul "AV business suficient":

• Sub 10 endpoints (calculator + laptop angajat + 2-3 servere small)
• Fără date PII volume mare (sub 1 000 clienți cu date personale)
• Fără procesare plăți pe infrastructura proprie (folosești Stripe/PayU hosted)
• Fără regulare specifică (nu ești în NIS2, nu medical, nu PCI-DSS Level 1-2)
• Backup 3-2-1 testat trimestrial, 2FA pe conturi critice, DNS filtering (Cloudflare for Teams, Quad9, NextDNS), patch management lunar

În acest profil, costul EDR (60-150 EUR/endpoint/an) nu se justifică versus riscul rezidual. Investește economiile în backup robust, training phishing și audit anual de la MSSP local.

Când EDR devine obligatoriu

Profilul "EDR mandatory":

• Peste 10 endpoints, în special cu servere Windows și Active Directory
• Date sensibile: financiar (IBAN, conturi), medical, PII volume mare (peste 5 000 persoane)
• Firmă reglementată: NIS2 (energie, transport, sănătate, infrastructură digitală, financiar), ISO 27001, PCI-DSS, GDPR cu DPO obligatoriu
• Workforce remote majoritar, în special BYOD sau VPN corporate
• Procesare plăți pe infrastructura proprie
• Istoric de incidente recente (ransomware sau tentativă serioasă)
• Lanț de aprovizionare critic - clienți enterprise care cer dovada controalelor

Calcul simplu: IMM cu 30 endpoints plătește 3 000-4 500 EUR/an EDR. Un incident ransomware adună downtime de zile, cost de recuperare, consultanță juridică și o posibilă sancțiune. Pentru multe firme, un singur incident evitat acoperă ani de licență EDR.

Produse EDR - opțiuni relevante pentru piața RO

Lista acoperă produse cu reprezentanță sau partener integrator activ în România. Plain text, fără ranking strict - alegerea depinde de stack-ul existent și bugetul de management.

• Bitdefender GravityZone Premium / Ultra - vendor român, suport RO nativ, consolă cloud sau on-prem, MDR adițional. Preferat pentru IMM-uri RO care vor un singur vendor + suport local.
• ESET Inspect (cu PROTECT MDR) - vendor european (Slovacia), suport RO via partener, raport bun detection/false positive, agent ușor. Alegere bună dacă deja folosești ESET ca AV.
• CrowdStrike Falcon Insight - lider Gartner Magic Quadrant EDR, agent cloud-only ușor, threat intelligence puternică. Mai scump (90-150 EUR/endpoint/an), justificat pentru maturitate ridicată.
• SentinelOne Singularity - approach autonomous (răspuns automatizat fără intervenție manuală), rollback ransomware solid, AI engine local pe agent (funcționează offline).
• Sophos Intercept X EDR (cu MTR ca MDR) - integrare cu Sophos Firewall pentru synchronized security, management cloud Sophos Central, preț competitiv pe bundle.
• Microsoft Defender XDR (cu Defender for Endpoint Plan 2) - inclus în Microsoft 365 E5 sau standalone, integrare nativă cu Entra ID, Defender for Office 365 și Sentinel SIEM.
• Cybereason Defense Platform - approach MalOp (Malicious Operation, gruparea automată a alertelor într-un singur incident), bun pentru volume mari de endpoint-uri.

Microsoft Defender for Business - EDR-ul pe care poate îl plătești deja

Multe IMM-uri din România lucrează deja pe Microsoft 365. Înainte să cumperi un EDR separat, verifică ce licență aveți.

Ce este. Microsoft Defender for Business este varianta pentru firme de până la 300 de utilizatori a Defender for Endpoint. Include antivirus de nouă generație, EDR, investigare și remediere automată și întreruperea automată a atacurilor. Agentul acoperă Windows, macOS, iOS și Android.

Cum îl obții. Este inclus în Microsoft 365 Business Premium. Separat, se cumpără standalone, inclusiv de firme pe Microsoft 365 Business Basic sau Business Standard. Prețuri de listă din lista de prețuri Microsoft pentru zona euro, fără TVA, cu facturare anuală (verificat octombrie 2026):

• Defender for Business standalone: 2,60 EUR/utilizator/lună, până la 5 dispozitive per utilizator;
• Microsoft 365 Business Premium: 19,06 EUR/utilizator/lună (16,28 EUR în varianta fără Teams).

Ce să verifici înainte de decizie:

• Serverele. Protecția pentru servere nu intră în licența per utilizator; este add-on separat.
• Cine se uită la alerte. Investigarea automată reduce munca, dar nu înlocuiește un om care răspunde la incident. Fără admin IT disponibil, ia în calcul un MSSP sau un serviciu MDR.
• Peste 300 de utilizatori. Treci pe Defender for Endpoint Plan 2, gândit pentru enterprise.
• Stack mixt. Dacă firma nu folosește Microsoft 365, un EDR independent de ecosistem poate fi mai simplu de administrat - vezi opțiunile din topul antivirus business pentru firme din România.

Dacă ai deja Business Premium și folosești doar antivirusul încorporat în Windows, primul pas nu este o licență nouă, ci activarea și configurarea Defender for Business pe toate dispozitivele. Pentru restul măsurilor anti-ransomware, vezi ghidul de protecție ransomware pentru firme din România.

Conformitate - cum citesc standardele EDR

Standardele moderne nu numesc explicit "EDR" în cerințe, dar capabilitățile cerute sunt practic imposibil de implementat cu AV tradițional. Mapare pentru auditor:

NIS2 este transpusă în România prin OUG 155/2024, aprobată cu modificări prin Legea 124/2025. Gestionarea incidentelor cere capacități adecvate de detectare și răspuns, proporționale cu riscurile. EDR sau MDR pot susține aceste capacități, dar legea nu impune universal cumpărarea unui produs EDR. Încadrarea firmei și cerințele sectoriale trebuie verificate separat.

ISO/IEC 27001:2022 Anexa A.8.7 ("Protecție împotriva malware") cere protecție împotriva malware, susținută de conștientizarea utilizatorilor. În practică, auditorii caută detectare, prevenire și recuperare, nu doar un AV instalat. O soluție doar pe semnături este greu de apărat ca suficientă.

PCI DSS v4.0 Requirement 5 - 5.2.1 cere soluție anti-malware pe componentele de sistem, cu excepția celor evaluate ca nefiind la risc (5.2.3). 5.3.2 acceptă fie scanări periodice și în timp real, fie analiză comportamentală continuă a sistemelor sau proceselor. 5.3.4 cere log-uri de audit ale soluției anti-malware activate și păstrate conform Requirement 10 - practic o consolă centralizată cu retenție.

Ghidurile autorităților - pentru entitățile NIS2, verifică materialele publicate de DNSC pe dnsc.ro. Nu presupune că un anumit tip de produs este cerut nominal; auditorul verifică dacă măsurile sunt adecvate riscului și documentate.

Pentru context complet pe sancțiuni dacă incidentul scapă fără EDR în loc, vezi articolele sancțiuni GDPR pentru IMM-uri din România și checklist NIS2 deadline pentru IMM.

Tendințe în securitatea IT pentru IMM-urile din România - unde le urmărești

Tendințele relevante pentru un IMM le afli din sursele oficiale care publică periodic analize și alerte, nu din statisticile citate în materiale comerciale: DNSC (Directoratul Național de Securitate Cibernetică - dnsc.ro) publică alerte despre campanii active în România, ghiduri și rapoarte; ENISA (enisa.europa.eu) publică anual raportul Threat Landscape pentru Uniunea Europeană; producătorii de securitate publică rapoarte proprii, utile dar de citit ca sursă comercială.

Cum le folosești concret:

• Urmărește alertele DNSC despre phishing și fraude care folosesc numele ANAF, al băncilor sau al curierilor - sunt cele care ajung cel mai des în căsuțele de email ale angajaților și merită transmise echipei.
• Citește în rapoartele anuale ce vectori de atac cresc (phishing, conturi compromise, servicii expuse în internet, furnizori compromiși) și verifică dacă ai măsura corespunzătoare: MFA, actualizări, backup testat, detecție pe stații.
• Verifică dacă intri sub NIS2 - cadrul de securitate cibernetică s-a extins la mai multe sectoare și tipuri de entități, iar obligațiile de gestionare a riscurilor și de notificare a incidentelor se aplică direct entităților vizate.
• Revizuiește anual stack-ul de securitate pe baza acestor surse - când apare un vector nou relevant pentru tine, adaugi controlul, nu cumperi automat un produs nou.

Ce rămâne constant de la an la an pentru firmele mici: multe incidente pornesc de la un email de phishing sau de la un cont fără autentificare multifactor, iar recuperarea depinde de backup-ul testat.

Pilot EDR - cum implementezi corect în 30 de zile

Roll-out direct pe 50 endpoints = recipe for disaster. False positive pe aplicație custom, alert storm care îneacă echipa IT. Setup minim corect:

Săptămâna 1 - scope și baseline: selectează 5-10 endpoints reprezentative (1 server, 1 laptop IT, 2-3 user normal, 1 cu aplicații custom problematic). Documentează aplicațiile critice. Activează agentul în detection-only mode (alertează, nu blochează).

Săptămâna 2 - tuning și whitelist: triază alertele zilnic. Construiește whitelist pentru aplicații custom (hash binar, semnătură publisher, locație). Documentează excluderi necesare pentru ERP/contabilitate (SAP, Charisma, WizPro, Smart Factura au tipare care arată "suspect" dar sunt legitime).

Săptămâna 3 - prevention și runbook: treci pe prevention mode pe profile-urile tunate. Scrie runbook incident: cine primește alerta P1, cine izolează endpoint, cine comunică cu user-ul, cine notifică management. Test scenarii cu EICAR și sample Mimikatz de la AtomicRedTeam.

Săptămâna 4 - extindere și raportare: extinde pe restul flotei în val-uri de 10-20 endpoints. Raport pilot către management: detection rate, false positive rate, timp mediu de răspuns. Decide MDR vs in-house - dacă triaj-ul depășește 8h/săptămână, MDR devine mai ieftin decât FTE intern.

Greșeli frecvente la migrare AV → EDR

• AV + EDR simultan de la vendori diferiți - performance hit major (dublu hooking kernel), blue screen frecvent. Dezinstalează AV-ul vechi înainte de roll-out.
• Licență fără factor MDR - MDR este addon separat. Calculează TCO complet înainte de comandă.
• Console pe internet fără MFA - consola EDR este "ultima ușă". MFA obligatoriu, idealmente hardware token (YubiKey) pe contul admin principal.
• Logging retention prea mic - default este 30 zile telemetry. Pentru investigation post-incident ai nevoie de 90+ zile. Negociază în contract.
• Ignorarea integrării cu SIEM - un EDR izolat poate pierde context important. Integrare cu Wazuh, Microsoft Sentinel sau Splunk permite corelare cu firewall, identity, email gateway.
• Tratarea EDR ca "set și uită" - tuning policy lunar minimum, threat hunting săptămânal pentru maturitate completă. Bugetează ore IT, nu doar licență.
• Pilot prea scurt - sub 30 zile nu surprinzi tipare lunare (closing financiar, run-uri ERP). Întinde la 45 zile dacă firma are sezonalitate.

Întrebări frecvente

Pot folosi Microsoft Defender pentru Endpoint în loc de produs comercial separat?

Da, Defender for Endpoint Plan 2 este EDR/XDR matur, inclus în Microsoft 365 E5 sau standalone (5-10 EUR/user/lună). Foarte bun pe stack 100% Windows + Microsoft 365, integrare nativă cu Entra ID și Sentinel. Slăbiciuni: management cross-platform (macOS, Linux) mai puțin matur decât la vendori dedicați. Pentru IMM RO 100% Microsoft - alegere rațională cost/feature.

EDR free există?

Pentru testare/learning: OpenEDR de la Comodo și Wazuh (SIEM + EDR module) sunt viabile pentru homelab sau non-profit. Pentru producție nu recomand - lipsește suport, threat intelligence updated și UI matur. Pentru pilot serios, folosește demo-urile gratuite 30 de zile ale vendorilor comerciali.

Câte endpoints minim ca să justifice EDR?

Pragul economic clasic este 10 endpoints, dar contează mai mult tipul de date. O firmă de 5 angajați care procesează PII pentru 50 000 clienți are nevoie de EDR mai mult decât una de 30 angajați care vinde produse fizice fără PII stocat. Calcul: dacă un incident îți costă peste 20 000 EUR, EDR-ul la 60-150 EUR/endpoint/an este investiție profitabilă imediat.

EDR încetinește calculatoarele utilizatorilor?

Agenții moderni (CrowdStrike, SentinelOne, Bitdefender) sunt proiectați să fie ușori, iar pe hardware recent impactul este de regulă greu de observat. Pe calculatoare vechi poate fi sesizabil. Regula practică: include în pilot cele mai slabe 3 endpoint-uri din firmă și măsoară înainte și după.

MDR vendor sau MSSP local român?

MDR vendor (Bitdefender MDR, SentinelOne Vigilance, CrowdStrike Falcon Complete) = SOC global, threat intelligence proprie, suport în engleză. MSSP local (Safetech, Bit Sentinel, DataNet) = comunicare RO, context legal local (NIS2 RO, ANSPDCP, partener DNSC), volume detection mai mici. Trade-off: vendor MDR pentru capabilitate tehnică pură, MSSP local pentru compliance RO.

Cum măsor că EDR-ul funcționează după implementare?

Urmărește timpul de detectare, timpul de răspuns, alertele false și acoperirea scenariilor relevante. Stabilește obiective după riscurile și capacitatea echipei, apoi cere metodologia rapoartelor furnizorului sau MSSP-ului.

EDR poate înlocui complet AV-ul tradițional?

Da, EDR-urile moderne includ NGAV ca componentă base - nu rulezi două produse în paralel. CrowdStrike Falcon, SentinelOne Singularity, Bitdefender GravityZone Premium au prevention layer (semnături + ML + exploit prevention) plus EDR layer într-un singur agent. La migrare, dezinstalezi AV-ul vechi înainte de a instala EDR-ul nou.

Diferența între EDR și XDR pentru un IMM RO?

EDR acoperă endpoint-uri. XDR adaugă network (firewall logs), identity (Active Directory, Entra ID), cloud workloads (Azure, AWS), email gateway. Pentru IMM 100% on-prem fără cloud workload semnificativ, EDR este suficient. Pentru IMM pe Microsoft 365 sau Azure/AWS, XDR aduce valoare reală prin corelare cross-domain.

Concluzie

AV-ul tradițional bazat pe semnături nu este "rău" - este pur și simplu insuficient pentru tipul de atacuri care domină piața acum. Pentru IMM cu profil low-risk (sub 10 endpoints, fără date sensibile, fără regulare specifică), AV business serios plus controale de bază (backup 3-2-1, 2FA, DNS filtering, patch management) rămâne stack rezonabil sub 500-800 EUR/an total.

Peste pragul de 10 endpoints, date sensibile sau regulare (NIS2, ISO 27001, PCI DSS, GDPR cu DPO obligatoriu), EDR sau MDR devine implicit obligatoriu - nu pentru că o impune cineva strict, ci pentru că riscul economic al unui incident depășește multiplu costul tooling-ului. Un singur incident evitat poate acoperi ani de licență.

Cea mai frecventă greșeală: firme cumpără EDR enterprise scump și îl lasă neconfigurat sau fără analist care să triază alertele. EDR fără response capability = alert fatigue garantat. Dacă nu ai SOC intern, alege MDR de la început - costul incremental față de EDR vanilla (15-40 EUR/endpoint/an) este derizoriu față de valoarea adăugată de oameni care răspund la 3 noaptea.

Pe scurt: AV pentru "set și uită", EDR pentru "vreau să văd ce se întâmplă pe endpoint-uri", MDR pentru "vreau să dorm liniștit".

Surse

• DNSC - Directoratul Național de Securitate Cibernetică, ghiduri NIS2 IMM 2024-2025 (dnsc.ro)
• ENISA Threat Landscape Report 2024 (enisa.europa.eu)
• MITRE ATT&CK Framework v15 (attack.mitre.org)
• LOLBAS Project - Living Off The Land Binaries (lolbas-project.github.io)
• Gartner Magic Quadrant for Endpoint Protection Platforms 2024
• ISO/IEC 27001:2022 + 27002:2022 Annex A.8.7 implementation guidance
• PCI DSS v4.0 Requirements and Security Assessment Procedures
• Directiva (UE) 2022/2555 NIS2, OUG 155/2024, aprobată cu modificări prin Legea 124/2025 transpunere RO
• Microsoft Learn - learn.microsoft.com/en-us/defender-business/mdb-overview
• Microsoft Defender for Business, planuri și prețuri (piața DE, EUR) - microsoft.com/de-de/security/business/endpoint-security/microsoft-defender-business (verificat octombrie 2026)