EDR a antywirus: czym się różnią i kiedy firma potrzebuje EDR

Konsola antywirusa pokazuje zielony status na wszystkich komputerach, a mimo to ktoś z zewnątrz od kilku dni loguje się do serwera plików. Taki scenariusz nie wymaga awarii ochrony. Wystarczy, że atakujący użył narzędzi, które w firmie i tak są: konsoli PowerShell, pulpitu zdalnego, programu do kopii zapasowych. Żaden z tych programów nie jest plikiem, który antywirus miałby powód zablokować.

Właśnie w tym miejscu przebiega granica między antywirusem a EDR. Pierwszy odpowiada na pytanie, czy coś wygląda na znane zagrożenie. Drugi próbuje odpowiedzieć, czy to, co dzieje się na komputerze, ma sens.

Poniżej porządkujemy pojęcia, pokazujemy, kiedy mała firma potrzebuje wykrywania i reakcji, i co w tym wszystkim robi człowiek. Kryteria wyboru opisujemy tak, żeby dało się je przyłożyć do oferty dowolnego producenta.

EDR co to jest i czym różni się od antywirusa

Antywirus w klasycznym rozumieniu porównuje pliki ze znanymi wzorcami zagrożeń i blokuje te, które pasują. Nowoczesne produkty dodają analizę zachowania, ale ich zadaniem pozostaje zapobieganie: zatrzymać szkodliwy plik, zanim się uruchomi.

EPP, czyli Endpoint Protection Platform, to szersza kategoria. NIST w słowniku pojęć definiuje ją jako zabezpieczenia programowe chroniące komputery użytkowników przed atakiem, wymieniając antywirus, ochronę przed oprogramowaniem szpiegującym, zaporę sieciową na komputerze oraz systemy wykrywania i blokowania włamań na poziomie urządzenia. Większość firmowych „antywirusów” jest dziś w praktyce platformą EPP zarządzaną z jednej konsoli.

EDR, czyli Endpoint Detection and Response, zakłada, że część ataków przejdzie przez warstwę zapobiegania. Agent zbiera zdarzenia z urządzenia: uruchamiane procesy, połączenia sieciowe, zmiany w systemie, logowania. Bitdefender w dokumentacji technicznej opisuje EDR jako mechanizm, który zbiera dane ze wszystkich urządzeń i automatycznie identyfikuje incydenty, które ominęły ochronę prewencyjną. Do tego dochodzą narzędzia reakcji, z których najważniejsze to izolacja komputera od sieci.

AV, EPP, EDR, XDR i MDR w jednym zestawieniu

Skróty mieszają się w ofertach, bo część z nich opisuje oprogramowanie, a część usługę. Poniższe zestawienie ma charakter porządkujący; konkretny zakres zawsze trzeba sprawdzić w tabeli funkcji danego produktu.

Kategoria	Co robi	Skąd ma dane	Kto reaguje
Antywirus (AV)	Blokuje znane szkodliwe pliki	Plik na komputerze	Automat, czasem użytkownik
EPP	Zapobiega atakom na urządzeniu: AV, zapora, kontrola urządzeń i stron	Komputer i jego ruch	Automat i administrator konsoli
EDR	Wykrywa podejrzane ciągi zdarzeń, pozwala je zbadać i odizolować urządzenie	Telemetria z komputerów i serwerów	Osoba, która analizuje alerty
XDR	Łączy zdarzenia z komputerów z danymi z poczty, sieci, tożsamości i chmury	Wiele źródeł naraz	Osoba lub zespół z dostępem do wszystkich źródeł
MDR	Usługa: zewnętrzny zespół monitoruje alerty i reaguje w uzgodnionym zakresie	Zwykle EDR lub XDR klienta	Zespół dostawcy usługi

XDR (Extended Detection and Response) według opisu Bitdefender rozszerza EDR o czujniki z poczty, sieci, systemów tożsamości i chmury, żeby widzieć atak na całej jego drodze. MDR (Managed Detection and Response) producent opisuje jako całodobowe monitorowanie dla firm bez własnego zespołu bezpieczeństwa, z analitykami, którzy aktywnie szukają śladów ataku.

Dla małej firmy najważniejszy wiersz to ostatnia kolumna. EDR bez osoby, która czyta alerty, daje dużo danych i niewiele bezpieczeństwa.

Przykład ataku, którego antywirus nie musi zauważyć

Pracownik otwiera załącznik z fakturą. Dokument uruchamia skrypt, skrypt pobiera legalne narzędzie administracyjne, a ono łączy się z innymi komputerami w sieci i próbuje odczytać zapisane hasła. Każdy krok osobno może wyglądać na zwykłą pracę administratora.

EDR widzi ten ciąg jako całość: program biurowy uruchomił konsolę poleceń, ta nawiązała połączenie z nieznanym adresem, a potem pojawiły się próby logowania na serwer z konta, które nigdy wcześniej tego nie robiło. Dokumentacja Bitdefender podaje jako przykład wykrywanie ruchu bocznego, czyli przemieszczania się atakującego między komputerami, przez obserwację technik zdalnego wykonywania poleceń i korelację zdarzeń.

Do opisywania takich zachowań służy MITRE ATT&CK, publiczna baza taktyk i technik atakujących, zbudowana na podstawie obserwacji rzeczywistych ataków. Dla kupującego jest użyteczna jako wspólny język: pozwala zapytać dostawcę, które techniki produkt wykrywa i jak pokazuje je w konsoli.

Kiedy mała firma potrzebuje EDR

Według raportu ENISA Threat Landscape 2025, obejmującego okres od lipca 2024 do czerwca 2025 r., phishing odpowiadał za około 60% początkowych wektorów włamań, a wykorzystanie podatności za 21,3%. ENISA wskazuje ransomware jako zagrożenie o największym wpływie w Unii Europejskiej. W Polsce CERT Polska odnotował w 2025 r. blisko 3500 incydentów związanych ze złośliwym oprogramowaniem, o 81% więcej niż rok wcześniej, w tym 179 incydentów ransomware.

Te liczby nie oznaczają, że każda firma musi kupić EDR. Pokazują, że atak zaczyna się zwykle od człowieka i poczty, a kończy na danych. Wykrywanie i reakcja mają szczególny sens, gdy:

• przestój systemu ERP, produkcji lub magazynu kosztuje więcej niż kilka godzin pracy;
• przechowujecie dane klientów, dokumentację techniczną albo dane szczególnych kategorii;
• pracownicy pracują zdalnie i laptopy regularnie opuszczają sieć biura;
• klient, ubezpieczyciel albo przepisy wymagają wykazania, jak wykrywacie i obsługujecie incydenty;
• potrzebujecie możliwości szybkiego odcięcia komputera od sieci bez fizycznego dostępu do niego;
• po incydencie chcecie wiedzieć, co się stało i którędy wszedł atakujący.

Dla bardzo prostego środowiska, kilku komputerów bez serwera i bez wrażliwych danych, zarządzana platforma EPP z dobrze ustawionymi politykami jest rozsądnym punktem startowym.

Co z alertem robi człowiek

Alert EDR to pytanie, na które ktoś musi odpowiedzieć. Najpierw trzeba go sklasyfikować: fałszywy alarm, zdarzenie podejrzane albo potwierdzony incydent. Potem trzeba zdecydować o izolacji, skontaktować się z firmą, zabezpieczyć ślady, usunąć przyczynę i opisać, co się stało.

NIST w publikacji SP 800-61 Rev. 3 z kwietnia 2025 r. osadza reagowanie na incydenty w całym zarządzaniu ryzykiem według NIST Cybersecurity Framework 2.0. Dla małej firmy przekłada się to na kilka ustaleń, które trzeba zrobić przed pierwszym alertem:

• kto przegląda alerty i w jakich godzinach;
• które działania system wykonuje automatycznie, a które wymagają zgody firmy;
• kto po stronie firmy może zgodzić się na odłączenie komputera, na przykład w księgowości w dniu zamknięcia miesiąca;
• jak szybko dostawca informuje o zdarzeniu wysokiej wagi i jakim kanałem;
• co firma dostaje po incydencie: opis przyczyny, zakresu i wykonanych działań.

Bez tych ustaleń alert o szyfrowaniu plików o 7:30 rano trafia do konsoli, której nikt jeszcze nie otworzył.

Ochrona stacji roboczych wymaga podstaw

Agent na komputerze jest jedną z warstw. Wspólne konta, brak uwierzytelniania dwuskładnikowego na poczcie, użytkownicy z uprawnieniami administratora, nieaktualne systemy i kopia zapasowa podłączona na stałe do serwera to luki, których żadne narzędzie nie zamknie samo. Kolejność prac, od inwentaryzacji po kopie zapasowe, opisaliśmy w liście kontrolnej cyberbezpieczeństwa małej firmy.

Szczególnie ważna jest kopia odseparowana od sieci produkcyjnej. Mechanizmy cofania zmian po ransomware wbudowane w niektóre produkty pomagają, ale nie zastępują osobnego systemu kopii z testem odtworzenia, o którym piszemy we wpisie o backupie danych w firmie.

Ile kosztuje ochrona stacji roboczych z EDR

Licencje ochrony stanowisk rozlicza się zwykle za urządzenie i miesiąc. Jako Partner Bitdefender rozliczamy je w naszym cenniku tak:

Wariant	Cena netto
Ochrona stanowiska, pakiet bazowy	od 19 zł za stanowisko miesięcznie
Ochrona stanowiska z wykrywaniem zagrożeń	od 29 zł za stanowisko miesięcznie
Asysta wdrożeniowa do 99 stanowisk	od 1 000 zł jednorazowo
Audyt istniejącej instalacji Bitdefender	od 500 zł jednorazowo

Dla firmy z 10 komputerami różnica między wariantem bazowym a wariantem z wykrywaniem wynosi więc od 100 zł netto miesięcznie. Licencja to jednak mniejsza część rachunku. Większą stanowi czas osoby, która konfiguruje polityki, przegląda alerty i reaguje. Ten koszt powinien być w ofercie nazwany wprost: w abonamencie opieki, w usłudze MDR albo w rozliczeniu godzinowym.

Kryteria wyboru niezależne od producenta

Porównując oferty, nie zaczynajcie od nazwy produktu. Lista pytań, którą można przyłożyć do każdego rozwiązania:

• Czy wszystkie Wasze systemy (Windows, macOS, Linux, serwery) mają agenta z pełnym zestawem funkcji, czy tylko część?
• Jak długo przechowywana jest telemetria potrzebna do analizy incydentu?
• Czy da się odizolować komputer zdalnie i co wtedy nadal działa?
• Jak produkt pokazuje przebieg incydentu i czy opisuje techniki w kategoriach MITRE ATT&CK?
• Ile fałszywych alarmów generuje w pierwszych tygodniach i kto je wycisza?
• Kto ma dostęp do konsoli: tylko dostawca czy także firma?
• Czy przy zmianie dostawcy możecie przenieść licencje albo wyeksportować dane?
• Kto reaguje poza godzinami pracy i w jakim zakresie?

Jeśli macie już na stole konkretną platformę, opis edycji i ograniczeń jednego z produktów znajdziecie we wpisie o Bitdefender GravityZone, a zakres i koszt wdrożenia na stronie Bitdefender GravityZone: wdrożenie i opieka. Ten tekst dotyczy kategorii, tamte konkretnego narzędzia.

Jak podjąć decyzję

Zacznijcie od pytania, ile kosztuje Was dzień bez kluczowego systemu i kto w firmie zauważy atak, który nie zostawił szkodliwego pliku. Jeśli odpowiedź na drugie pytanie brzmi „nikt”, sam antywirus nie wystarczy, a EDR ma sens tylko razem z ustaloną obsługą alertów.

Zakres ochrony stanowisk, kont i kopii zapasowych, który wdrażamy i utrzymujemy, opisaliśmy na stronie cyberbezpieczeństwa.

Źródła

• NIST Computer Security Resource Center, Glossary: Endpoint Protection Platform (źródło definicji: NIST SP 800-128), https://csrc.nist.gov/glossary/term/endpoint_protection_platform (dostęp 2.10.2026)
• NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, kwiecień 2025, https://csrc.nist.gov/pubs/sp/800/61/r3/final (dostęp 2.10.2026)
• MITRE, ATT&CK Resources, https://attack.mitre.org/resources/ (dostęp 2.10.2026)
• ENISA, ETL 2025: EU consistently targeted by diverse yet convergent threat groups, 1.10.2025, https://www.enisa.europa.eu/news/etl-2025-eu-consistently-targeted-by-diverse-yet-convergent-threat-groups (dostęp 2.10.2026)
• NASK, Prawie 2 tys. zgłoszeń każdego dnia. Raport CERT Polska za 2025 rok, 8.04.2026, https://www.nask.pl/aktualnosci/prawie-2-tys-zgloszen-kazdego-dnia-raport-cert-polska-za-2025-rok (dostęp 2.10.2026)
• Bitdefender TechZone, EDR, XDR and MDR overview, https://techzone.bitdefender.com/en/security-layers/detection/edr-xdr-and-mdr-overview.html (dostęp 2.10.2026)

Stan na 2 października 2026 r.