防毒軟件、EDR、MDR 的分別：企業該買哪一個

簡短回答：防毒軟件（反惡意軟件）在惡意文件和行為運行之前盡量攔下。EDR（終端偵測與回應）記錄每部設備上發生的事，讓人能發現、調查並遏止攻擊。MDR（Managed Detection and Response，管理型偵測與回應）是 EDR 加上一支盯著警報並採取行動的團隊。關鍵不是「哪個最強」，而是「凌晨兩點誰來看警報，他獲准做什麼」。

本文寫給要選終端防護的企業老闆和 IT 經理。看完後，你可以用同一組要點比較三者，按風險和人手套用五條選擇規則，並核對現有方案實際做了什麼。

三種方案逐項比較

每個方案用相同的要點、相同的次序。

防毒軟件和反惡意軟件

• 做什麼：掃描文件、監察設備上的行為，攔截已知和可疑的惡意軟件。現代產品還加入雲端查詢和行為監察，不只是特徵碼庫。
• 記錄什麼：主要是偵測和攔截結果，並不設計成提供設備上發生過什麼的完整歷史。
• 誰看警報：不需要專人。它自動處理，你看報告。
• 回應方式：對偵測到的內容自動隔離或清除。
• 內部所需技能：低。保持開啟、保持更新、不被關閉。
• 短板：攻擊者使用正常工具或被盜憑據時，可能不觸發偵測，事後也幾乎沒有證據可查。

Windows 內建 Microsoft Defender Antivirus。微軟文檔說明，它使用機器學習和雲端防護，即使威脅已開始運行，也能依據行為阻止（對照 Microsoft Learn 核對，2026 年 10 月 28 日）。

EDR（終端偵測與回應）

• 做什麼：上面的防毒能力可以作為底層，EDR 再加上持續收集設備活動、把相關事件歸併成事故單的警報，以及回應動作。
• 記錄什麼：程序、網絡、登入、登錄檔和文件活動。對 Microsoft Defender for Endpoint，微軟說明遙測數據保存六個月，分析人員可以回溯到攻擊開始的時刻（對照 Microsoft Learn 核對，2026 年 10 月 28 日）。微軟還說明，偵測並不是要記錄終端上的每一項操作。
• 誰看警報：你自己必須有人。要有人讀事故並作決定。
• 回應方式：手動或自動動作，例如把設備從網絡隔離、運行掃描、阻止某個文件。
• 內部所需技能：中到高。研判需要經驗。
• 短板：夜裡沒人看的警報，只是攻擊的記錄，不是防護。

MDR（管理型偵測與回應）

• 做什麼：服務商的分析師全天候監察 EDR（通常還有其他）警報，調查，然後親自回應或明確告訴你怎麼做。
• 記錄什麼：與底層工具相同的遙測，加上服務商的調查記錄和報告。
• 誰看警報：服務商團隊。你的團隊接收升級通知。
• 回應方式：視乎合約。有的服務商會自行執行遏止動作，有的只給建議。要寫進書面協議。
• 內部所需技能：低到中。仍需要有人批准動作並作業務決定。
• 短板：MDR 不等於完整入侵事故的應變處理。微軟自己的 Defender Experts MDR 文檔說明，它不是事故應變服務（對照 Microsoft Learn 核對，2026 年 10 月 28 日）。關於 MDR 與 MSP、MSSP 合約的分別，見 MSSP、MSP 與 MDR 的分別。

XDR 是同樣的思路延伸到終端之外，把電郵、身份和雲端訊號與設備訊號關聯起來。比較產品時它很重要，但上面「防毒、EDR、MDR」的劃分仍然適用。

微軟自家方案包含什麼

以下事實已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。方案名稱和套餐會變，購買前請在自己的租戶裡確認。

• Microsoft Defender for Endpoint Plan 1 包含新一代防護（防毒和反惡意軟件）、攻擊面縮減，以及一組有限的手動回應動作（據微軟 EDR 概述）：運行防毒掃描、隔離設備、停止並隔離文件、新增阻止或允許文件的指標。可單獨訂閱，也包含在 Microsoft 365 E3 中。
• Microsoft Defender for Business 面向最多 300 名用戶的企業，包含在 Microsoft 365 Business Premium 中。微軟自己的比較表為它列出了 EDR（優化版）、自動調查和修復，以及自動攻擊中斷，而 Plan 1 沒有這些。請核對授權：如果你持有 Business Premium，可能已經擁有 EDR。
• Microsoft Defender for Endpoint Plan 2 是以前直接稱為 Defender for Endpoint 的方案，也是完整的 EDR 方案。微軟的 EDR 概述頁面對 Plan 1 和 Defender for Business 只列出手動回應動作，而 Defender for Business 頁面則為 Business 列出了 EDR（優化版）。核對授權包含什麼時，請以比較頁面為準。
• Microsoft Defender Experts MDR 是獨立的管理型服務，微軟說明它與其他 Defender 產品分開銷售。Plan 1 涵蓋你的 Microsoft Defender 工作負載；Plan 2 透過 Microsoft Sentinel 增加選定的非微軟遙測，並要求至少 1,500 個授權席位。

價格請看微軟官方價格頁，這裡不引用。我們自己的終端保安服務如何計價，見保安服務價格。

五條選擇規則

1. 每個人都要防毒加攻擊面縮減。這是基線。確保它開啟、更新、集中匯報，並且用戶關不掉。
2. 只有在每天都有人能在一天內讀警報時，才買 EDR。如果沒有這個人，單買 EDR 只是留證據，不是防護。改選 MDR，或者暫時不買 EDR。
3. 持有敏感數據，或無法容忍停工好幾天，又沒有保安人員隨時候命，就選 MDR。很多小企業就是這種情況，因為攻擊者不會按辦公時間行動。了解全天候監察包含什麼，見我們的保安營運中心服務。
4. 有保安或資深 IT 人員能輪值、也有時間調校警報，就用 EDR 自己做。輪值人手緊張時，夜間和週末再加上 MDR。
5. 工具要配合設備組合。服務器、Mac 和流動設備也要在範圍內。問清廠商哪些平台有偵測，哪些只有防毒。

還有兩個因素會讓決定再升一級：遙距辦公的人數，以及客戶或保險公司是否要求你說明偵測和回應能力。某家保險公司或客戶會接受什麼，我們無法替他們回答。請向對方要來要求的原文，再對照上面的能力。

購買前要問的問題

1. 哪些設備和作業系統有偵測，哪些只有防毒？
2. 遙測數據保存多久？
3. 夜裡通知誰，多長時間內通知？
4. 服務商不致電給你，就能執行哪些回應動作（例如隔離設備）？
5. 設備連不上互聯網時，工具怎樣運作？
6. 排查故障時如何關閉它，關閉時誰會收到警報？
7. 如果我們終止服務，數據和警報記錄怎樣處理？

常見錯誤

• 買了 EDR 卻沒人回應。警報越積越多。解決：購買之前先定好回應負責人和時間。
• 一部設備上讓兩個保安產品同時處於主動模式。它們互相干擾。Microsoft Defender Antivirus 只有在已接入 Defender for Endpoint 的設備上，才能與其他產品並存並以被動模式運行。解決：每部設備只選一個主防毒產品。
• 以為 MDR 包含完整的事故應變。解決：書面問清服務商在遏止階段做什麼，哪些要另外收費。
• 漏掉服務器和個人使用的設備。攻擊者專挑防護最薄的地方。解決：列出所有設備類型，再確認覆蓋。
• 以為已含授權就等於已開啟。解決：看控制台裡的設備狀態，而不是授權清單。
• 因為某個應用程式卡頓就關閉防護，然後忘了。解決：用範圍明確的排除項，記錄下來，每季覆核。

怎樣驗證做對了

1. 在 Windows 設備上打開 PowerShell，運行下面的指令。按微軟文檔，Normal 表示 Microsoft Defender Antivirus 是主動的防毒軟件，Passive mode 表示另一個產品是主產品，EDR Block Mode 表示已啟用 EDR 阻止模式。

Get-MpComputerStatus | Select-Object AMRunningMode

1. 在 Microsoft Defender 門戶確認你預期的設備都在清單中，已接入，並且最近有匯報。
2. 在一部測試設備上，從設備頁面執行「隔離設備（Isolate device）」，確認機器斷網，然後解除。記錄每一步花了多長時間。
3. 請服務商（或你自己的團隊）給你看最近一條已研判的警報：誰處理的，用了多久。
4. 確認已啟用竄改防護（tamper protection），使用戶或惡意軟件不能悄悄關閉防護。

常見問題

終端保安的三大類型是什麼？

沒有統一的官方分類。一種實用的分法是：預防（防毒、反惡意軟件、攻擊面縮減）、偵測與回應（EDR）、管理型回應（MDR，由服務商團隊監察並行動）。多數企業先做第一類，再按風險和人手加上其他兩類。

Microsoft Defender 是 EDR 嗎？

Microsoft Defender Antivirus 是防毒軟件。按微軟的比較，EDR 能力屬於 Microsoft Defender for Endpoint Plan 2 和 Defender for Business。Plan 1 只有手動回應動作。請確認你的授權包含哪一個。

EDR 的例子有哪些？

Microsoft Defender for Endpoint Plan 2 就是一個例子。它收集設備遙測，把警報歸併成事故，讓分析人員調查並執行隔離設備等回應動作。

Symantec 有 EDR 嗎？

產品名稱和版本會變，答案取決於你持有的具體 Symantec 版本和授權。請用上面的購買前問題：書面問清廠商提供哪些回應動作、遙測保存多久、誰看警報。

防毒軟件和 EDR 有什麼分別？

防毒軟件主要自動攔截它認得的威脅。EDR 記錄設備活動，給人提供調查和回應的手段，但需要有人去用。

如果你要的是終端防護背後的人員和流程，而不只是一個工具，請了解我們的終端保安防護服務。