EDR to nowoczesna platforma bezpieczeństwa instalowana na każdym endpointcie (laptop, serwer, stacja robocza), która rejestruje szczegółową telemetrię — każdy uruchomiony proces, każdy dostęp do pliku, każde połączenie sieciowe — i wykorzystuje analitykę behawioralną do wykrywania ataków których antywirus signature-based nie łapie. Gdy zagrożenie zostanie wykryte, EDR dostarcza timeline śledztwa pokazujący pełen łańcuch ataku, plus narzędzia do reakcji (izoluj urządzenie, zabij procesy, kwarantannuj pliki, cofnij zmiany). EDR jest fundamentem nowoczesnego bezpieczeństwa endpointów; legacy antywirus już nie wystarcza przeciw ransomware, fileless malware i atakom wspomaganym AI.

**Antywirus (AV)** używa sygnatur i podstawowej heurystyki do wykrywania znanych złośliwych plików — skuteczny przeciw szeroko dystrybuowanemu malware, ale omijany przez polymorfizm, fileless ataki i zero-days. **EDR** monitoruje *zachowanie* na endpointcie — jakie procesy działają, co dotykają, z czym się komunikują — i wykrywa podejrzane wzorce niezależnie od pliku bazowego. EDR dostarcza też widoczność forensyczną (możesz zbadać 'co działo się na tej maszynie w ostatnich 30 dniach') i możliwości reakcji (izoluj, zabij, rollback). Nowoczesne produkty endpoint protection łączą NGAV (next-gen antivirus) z EDR — nazywane czasem EPP+EDR lub po prostu EDR. Czysty antywirus signature-based już nie wystarcza dla żadnej organizacji w 2026.

EDR monitoruje *tylko endpointy*. XDR (Extended Detection and Response) rozszerza EDR o telemetrię z email, tożsamości (Active Directory, Entra ID, Okta), obciążeń chmury (AWS, Azure, GCP), aplikacji SaaS i ruchu sieciowego, i koreluje wydarzenia we wszystkich. Praktyczny przykład: EDR widzi podejrzany proces na laptopie. XDR widzi ten sam proces *plus* email phishingowy który go dostarczył, *plus* tożsamość użytkownika której nadużył, *plus* zasoby chmurowe które próbował dosięgnąć — i produkuje jeden incydent zamiast czterech rozłącznych alertów. XDR jest naturalną ewolucją; większość organizacji startujących od zera w 2026 wdraża XDR zamiast standalone EDR.

EDR działa w 4 krokach: (1) **Lekki agent** zainstalowany na każdym endpoincie rejestruje tworzenie procesów, operacje na plikach, zmiany rejestru, połączenia sieciowe, command-line argumenty, relacje parent-child procesów, (2) **Telemetria wysyłana do cloud backend** dla storage i analityki (zwykle retencja 30-90 dni), (3) **Silnik detekcji** łączy sygnatury, reguły behawioralne, machine learning i threat intelligence żeby wykryć podejrzane wzorce — np. 'PowerShell uruchomiony przez Outlook, pobierający z TLS-fingerprintowanej domeny C2, potem dostęp do LSASS', (4) **Akcje reakcji** triggerowane ręcznie lub automatycznie: izoluj endpoint od sieci, zabij proces, kwarantannuj plik, blokuj hash globalnie, cofaj zmiany (niektórzy dostawcy). Tier 1 SOC analitycy obsługują alerty; Tier 2/3 robią głębsze śledztwo po pełnym timeline.

5 liderów rynku: (1) **CrowdStrike Falcon** — lider rynku, cloud-native, premium pricing (250-700 PLN/endpoint/rok), (2) **Microsoft Defender for Endpoint** — wliczony w M365 E5, bardzo silny na Windows, słabszy na Mac/Linux, (3) **SentinelOne Singularity** — autonomiczna AI-driven reakcja, silny na Linux, (4) **Palo Alto Cortex XDR** — integruje się z Palo Alto firewall, silna network correlation, (5) **Trellix EDR** — utworzony z McAfee + FireEye. Mid-market: Sophos Intercept X, Bitdefender GravityZone, Trend Micro Vision One, Cybereason. Open-source: Wazuh, OSQuery + Fleet (DIY ale wykonalne dla zespołów technicznych). Wybór zależy od istniejącego zestawu narzędzi bezpieczeństwa, mixu OS, licencji M365 i bazy umiejętności.

EDR cennik typowo per endpoint na rok. Typowe zakresy 2026: CrowdStrike Falcon — 250-700 PLN/endpoint/rok zależnie od modułów; Microsoft Defender for Endpoint — wliczony w M365 E5 (3000 PLN/użytkownika/rok) lub 150 PLN/użytkownika/rok standalone; SentinelOne — 170-450 PLN/endpoint/rok; Sophos Intercept X — 130-260 PLN/endpoint/rok. TCO obejmuje też wdrożenie klienta (zwykle 2-4 tygodnie), tuning i (dla większości organizacji) zarządzaną usługę EDR/MDR (130-330 PLN/endpoint/rok) na 24/7 triaż. Dla 500-osobowej firmy: oczekuj 130k-650k PLN/rok na licencje plus opcjonalny MDR.

Tak — EDR nie jest już opcjonalny w 2026. Ubezpieczenie cybernetyczne ubezpieczyciele coraz częściej wymagają EDR (wraz z MFA, niemodyfikowalnymi kopiami zapasowymi i monitoringiem 24/7) jako warunek ubezpieczenia. Frameworki regulacyjne (NIS2, DORA, ISO 27001) faktycznie nakładają go przez wymogi endpoint security. Dla małych organizacji (<50 endpointów) Microsoft Defender for Endpoint przez Business Premium to najprostsza ścieżka. Dla średnich i większych wybór zależy od istniejącego stacku — większość idzie z CrowdStrike, SentinelOne lub Defenderem. Największy błąd to wdrożenie EDR bez monitoringu 24/7 (przemęczenia alertami (alert fatigue) powoduje że prawdziwe ataki są pominięte); paruj EDR z wewnętrznym SOC lub managed detection and response (MDR).