Quanto custa um MDR? Modelos de preços, exemplos publicados e comparação com um SOC interno

A deteção e resposta geridas (MDR) são normalmente cobradas por endpoint, utilizador ou identidade, por mês. Os preços de tabela publicados para a deteção gerida em endpoints começam abaixo de 10 USD por endpoint por mês, enquanto os serviços de âmbito completo, que abrangem cloud, identidade e logs, são propostos depois de definido o âmbito. O total depende do número de ativos, da cobertura, da autoridade de resposta e das ferramentas que já possui.

Pontos principais

• O MDR é uma subscrição. A maioria dos fornecedores fatura por endpoint, por utilizador ou por identidade, com encargos adicionais por fontes de logs ou dados de SIEM.
• Os preços de tabela publicados são raros. Um exemplo: a Huntress indica o EDR gerido a um PVP de 8,99 USD por endpoint por mês.
• O nível de serviço pesa mais do que o número de dispositivos. A monitorização apenas com alertas custa muito menos do que analistas 24/7 com autorização para isolar hosts e desativar contas.
• Reutilizar as ferramentas que já licencia (Microsoft Defender, CrowdStrike, um SIEM) costuma reduzir o valor do MDR.
• Um SOC interno 24/7 precisa de cerca de cinco analistas por posto só para cobrir todas as horas da semana, antes das ferramentas.
• Compare o valor anual do MDR com o custo de um incidente: a IBM situa a violação média global de 2026 em 4,99 milhões de USD.

O que é o MDR?

O MDR é um serviço gerido em que uma equipa de segurança externa monitoriza o seu ambiente de forma permanente, investiga alertas e responde a ameaças confirmadas. Paga-se por pessoas e processos, e não apenas por software.

Um serviço MDR típico combina quatro elementos:

• Telemetria: agentes de deteção e resposta em endpoints (EDR), logs de identidade (por exemplo, Entra ID), logs de cloud (AWS CloudTrail, registos de atividade do Azure) e, por vezes, sensores de rede.
• Deteção: regras, análise comportamental e informação sobre ameaças que transformam eventos em bruto em alertas.
• Analistas: um centro de operações de segurança (SOC) que tria alertas, procura ameaças que as regras não apanham e decide o que é real.
• Resposta: ações de contenção como isolar um portátil, terminar um processo, repor credenciais ou bloquear um IP, seguidas de um relatório de incidente escrito.

A diferença entre o MDR e um serviço apenas de monitorização está no último ponto. Se o fornecedor se limita a enviar-lhe um alerta por correio eletrónico às 03:00, está a comprar deteção. Se contém a ameaça e depois lhe telefona, está a comprar resposta. Se precisa dos analistas mas quer operar as ferramentas por si, um fornecedor de SOC como serviço é a opção mais próxima.

Como é fixado o preço do MDR?

O MDR é cobrado como uma taxa recorrente, mensal ou anual, por unidade protegida. A unidade varia consoante o fornecedor, por isso pergunte logo no início qual é a que a proposta utiliza.

Muitas propostas misturam estes modelos. Um padrão comum é um valor por endpoint para a cobertura EDR, um valor por identidade para a deteção de ameaças à identidade e um valor por fonte ou por GB para a monitorização de logs de SIEM.

Quanto custam os serviços MDR? Exemplos publicados

Os grandes fornecedores de MDR raramente publicam preços, por isso encare qualquer valor isolado como ponto de partida. Estes preços de tabela foram publicados em páginas de fornecedores em outubro de 2026:

• A Huntress indica o EDR gerido a um PVP de 8,99 USD por endpoint por mês e a deteção gerida de ameaças à identidade (ITDR) a 4,80 USD por identidade licenciada por mês. A página refere que o valor por unidade desce à medida que o volume aumenta.
• A CrowdStrike publica as licenças de endpoint Falcon a 59,99 USD, 99,99 USD e 184,99 USD por dispositivo por ano (Go, Pro e Enterprise). O seu pacote MDR, o Falcon Complete, é apenas "contacte as vendas".

Os números da CrowdStrike são um bom lembrete de que as licenças de ferramentas e o serviço gerido são linhas de custo separadas. Se já paga por EDR, um fornecedor que opera os seus agentes existentes cobra sobretudo os analistas e a resposta.

Um exemplo prático: 300 endpoints e 50 servidores na cloud

Considere uma empresa com 300 portáteis, 50 servidores na AWS e no Azure e 320 utilizadores Microsoft 365. Aos preços de tabela da Huntress acima, só a cobertura de endpoints seria 350 × 8,99 USD = cerca de 3150 USD por mês, e a cobertura de identidades 320 × 4,80 USD = cerca de 1540 USD por mês. São aproximadamente 4700 USD por mês, antes de descontos de volume, monitorização de logs ou taxas de onboarding.

O objetivo do exemplo é a estrutura, não o total. A proposta de outro fornecedor pode ser mais baixa ou mais alta, mas decompor-se-á quase sempre nas mesmas linhas: endpoints, identidades, fontes de logs, escalão de serviço e onboarding único.

O que faz o custo do MDR subir ou descer?

Cinco fatores explicam a maior parte da diferença entre duas propostas de MDR para a mesma empresa.

1. Número e tipo de ativos. Os portáteis são os mais baratos. Servidores, cargas de trabalho na cloud, contentores e tecnologia operacional (OT) exigem mais afinação e custam mais.
2. Âmbito de cobertura. O MDR apenas para endpoints é o ponto de entrada. Acrescentar identidade, correio eletrónico, planos de controlo da cloud e logs de firewall aumenta o preço e fecha as lacunas que os atacantes mais exploram.
3. Autoridade de resposta. Pergunte se os analistas podem isolar hosts e desativar contas sem lhe telefonar primeiro. A contenção pré-aprovada custa mais, mas reduz o tempo de que o atacante dispõe.
4. A sua infraestrutura atual. Um fornecedor agnóstico que trabalhe com o seu EDR e SIEM evita o duplo licenciamento. Um fornecedor que exija o seu próprio agente inclui a licença no valor.
5. Reporte de conformidade. As organizações abrangidas pela NIS2 têm de enviar um alerta precoce no prazo de 24 horas após tomarem conhecimento de um incidente significativo e uma notificação mais completa no prazo de 72 horas (Diretiva NIS2, artigo 23.º). Se quiser que o fornecedor prepare essas evidências, preveja esse custo.

O onboarding é a linha escondida. Implementar agentes, ligar fontes de logs e afinar as deteções para o seu ambiente demora normalmente algumas semanas e é muitas vezes faturado uma só vez.

MDR vs criar um SOC interno

Para a maioria das empresas de média dimensão, o MDR custa menos do que um SOC interno 24/7, porque o fornecedor partilha analistas, ferramentas e informação sobre ameaças entre muitos clientes.

As contas de pessoal são simples. Uma semana tem 168 horas. Um analista trabalha cerca de 40 delas, pelo que um único posto coberto de forma permanente precisa de mais de quatro pessoas a tempo inteiro e de mais perto de cinco depois de incluir férias, baixas por doença e formação. Acrescente um responsável de SOC, competências de engenharia de deteção e de resposta a incidentes, e licenças de SIEM e SOAR.

Contratar é o segundo problema. A ISC2 estimou uma escassez global de 4,8 milhões de profissionais de cibersegurança no seu 2024 Cybersecurity Workforce Study, o que torna difícil preencher e manter preenchidos os turnos noturnos e de fim de semana.

Também é comum um modelo híbrido: um responsável de segurança interno assume a política e o risco, e o fornecedor de MDR cobre noites, fins de semana e a primeira resposta.

Vale a pena investir em MDR?

O MDR compensa quando o valor anual é pequeno comparado com o custo de um incidente grave que, de outro modo, seria detetado tarde. Para a maioria das empresas, essa comparação não deixa dúvidas.

O Cost of a Data Breach Report 2026 da IBM situa a violação média global em 4,99 milhões de USD. O mesmo relatório concluiu que as organizações que fazem uso extensivo de IA e automação de segurança pouparam 1,93 milhões de USD por violação face às que não usam nenhuma. Uma deteção e contenção mais rápidas é exatamente o que o MDR vende.

Construa o business case sobre três números que consiga defender: a proposta anual de MDR, o tempo do pessoal interno que substitui e a sua própria estimativa do custo diário de indisponibilidade dos sistemas mais importantes.

Perguntas a fazer antes de assinar

• Em que unidade faturam e o que conta como endpoint ou identidade?
• Que fontes de dados estão incluídas: endpoint, identidade, correio eletrónico, cloud, firewall?
• O que podem os vossos analistas fazer sem nos contactar e qual é o vosso objetivo de tempo de resposta?
• Podem usar as nossas licenças existentes de EDR e SIEM?
• Onde são armazenados e processados os nossos dados de segurança (UE, Índia, EUA)?
• Quanto custa o onboarding e quanto tempo demora?
• Fornecem relatórios de incidentes num formato que suporte as notificações NIS2 ou RGPD?

Como a Opsio ajuda

A Opsio opera um SOC 24/7 e oferece deteção e resposta geridas que funcionam com as ferramentas de segurança que já utiliza on-premises, no Microsoft 365, na AWS e no Azure. Fixamos o preço com base na sua infraestrutura real, após uma breve chamada de definição de âmbito, para que receba uma única proposta com endpoints, identidades e fontes de logs listados em separado.

Para a Opus Bilprovning, que gere quase 100 estações de inspeção e inspeciona cerca de dois milhões de veículos por ano, a Opsio assegura operações geridas 24/7 na AWS, incluindo monitorização proativa e reforço contínuo da segurança. Leia o caso Opus Bilprovning. Se estiver antes a comparar um modelo de SOC completo, consulte os nossos serviços de SOC e o guia relacionado sobre quanto custa um MSSP.

Perguntas frequentes

Quanto custa o MDR por mês?

Conte com um valor mensal por unidade. Os preços de tabela publicados começam abaixo de 10 USD por endpoint por mês para a deteção gerida em endpoints, por exemplo a Huntress com um PVP de 8,99 USD. Os serviços mais amplos, que acrescentam identidade, cloud e monitorização de logs, são normalmente propostos depois de definido o âmbito. A esses preços de tabela, uma empresa com cerca de 300 utilizadores e dispositivos pagaria alguns milhares de dólares por mês.

O MDR é cobrado por endpoint ou por utilizador?

Ambos os modelos são comuns. O preço por endpoint adequa-se a infraestruturas com muitos dispositivos, e o preço por utilizador ou identidade adequa-se a colaboradores de escritório com vários dispositivos. Muitos fornecedores combinam os dois e acrescentam um valor por fonte ou por GB para os logs de SIEM.

O MDR é mais barato do que um SOC interno?

Para a maioria das pequenas e médias empresas, sim. Um único posto de analista 24/7 exige cerca de cinco colaboradores a tempo inteiro para cobrir 168 horas por semana, além de licenças de SIEM e SOAR. O MDR reparte esses custos por muitos clientes.

Qual é a diferença entre os preços de MDR e de MSSP?

Os contratos de MSSP abrangem muitas vezes a gestão de dispositivos, como firewalls e VPN, com preço por dispositivo ou em avença. O MDR centra-se na deteção e resposta e é cobrado por endpoint, utilizador ou volume de dados. Alguns fornecedores vendem ambos.

Quanto tempo demora o onboarding de MDR?

As implementações standard demoram normalmente algumas semanas: instalar ou ligar agentes, integrar logs de identidade e de cloud e afinar as deteções. Ambientes grandes ou fortemente regulamentados demoram mais.