資安問價錄

價格與比較

EDR、MDR 與 SOC 託管費用比較：怎麼計價、買什麼才夠用

端點偵測 EDR、託管偵測回應 MDR 與 SOC 監控服務的差異與計價方式，說明授權、日誌量、服務時段與回應權限如何影響費用。

更新日期 · 5 分鐘閱讀

EDR、MDR 與 SOC 託管費用比較：怎麼計價、買什麼才夠用

EDR、MDR 與 SOC 常被混用，但費用結構很不一樣：EDR 是端點上的偵測與回應軟體，通常按「每台每年」授權；MDR 是由服務商用 EDR 等工具替你全天候看告警、調查並協助處置，通常按端點數或使用者數訂閱；SOC 則是更廣的安全監控中心，會匯集日誌與多種來源，計價常與日誌量、資料來源數與服務時段相關。中小企業若沒有專職資安人員，買 EDR 卻沒人看告警，等於買了警報器卻沒人聽。

本文說明三者的差異、計價邏輯與採購要問的問題，金額皆為示意。

三種服務到底差在哪裡

項目EDRMDRSOC（託管監控）
本質端點上的偵測與回應工具工具加專家團隊的託管服務集中蒐集多種日誌並監控的服務
誰看告警企業自己服務商服務商或企業自建團隊
常見計價單位每台每年授權端點數或使用者數，月費或年費日誌量、資料來源數、服務時段
適合對象有資安人員的組織沒有專職人員但需要監控規模較大、系統多樣、需要整合
主要風險沒人處理告警回應權限與責任範圍不清日誌品質與調校不足

傳統防毒主要靠特徵碼比對已知惡意程式，EDR 則持續記錄端點行為（程序啟動、檔案變動、網路連線等），能偵測可疑行為並提供調查與隔離功能。但 EDR 產生的告警量不低，需要有人判讀，這正是 MDR 想解決的問題。

影響費用的變數

  1. 端點數量：伺服器與員工電腦都算，數量越多，單價常有級距折扣。
  2. 功能等級：基本防護、行為偵測、威脅獵捕、調查工具、整合其他系統的能力。
  3. 服務時段：週間上班時間、24 小時、7 天全年無休。全天候服務人力成本高，費用也高。
  4. 回應權限：服務商只能通知，還是可以直接隔離主機、封鎖帳號？權限越大，越需要信任與明確的授權範圍。
  5. 日誌來源與保存期間：SOC 類服務會收防火牆、伺服器、雲端與身分系統日誌，來源越多、保存越久，費用越高。
  6. 通報時限與服務水準：嚴重事件幾分鐘內通知？有沒有書面承諾？
  7. 事件應變時數：是否內含一定時數的事故協助，超過如何計費。

範例（示意）：某公司有 80 台端點。假設 EDR 授權每台每年示意 1,500 至 4,500 元，則年費 120,000 至 360,000 元；若升級為 MDR，假設每台每年示意再加 1,500 至 4,000 元，則額外 120,000 至 320,000 元。示意總額為 240,000 至 680,000 元，視功能與時段而異。這些純為算式示範，非行情。

可用資安服務預算估算器選擇「端點偵測與回應 EDR 授權」代入你的台數。

怎麼決定要買哪一種

先問三個問題：

  • 公司有沒有人能在夜間或假日處理告警？ 沒有的話，只買 EDR 授權通常不夠，要考慮 MDR 或至少有明確的通知與處理流程。
  • 系統與日誌來源是否很多？ 多數中小企業以端點與雲端服務為主，MDR 已能涵蓋大部分需求；SOC 整合更適合規模較大、系統複雜者。
  • 有沒有客戶或法規要求保留日誌與監控？ 有的話要確認服務是否滿足保存期間與報告要求。

一個比較務實的路徑是：先把端點防護從傳統防毒升級，並確保多因素驗證、備份與更新到位；若人力不足，再導入 MDR。

簽約前一定要問的事

  • 告警通知給誰、用什麼方式、多久內？
  • 服務商可以代為執行哪些處置，需要事前授權嗎？
  • 服務範圍是否含雲端服務與行動裝置？
  • 誤報如何處理？是否有定期調校？
  • 事故發生時是否含鑑識與報告？範圍與時數？
  • 資料存放在哪裡？是否在境內？合約終止後資料如何刪除？
  • 報告頻率與內容？是否提供月報與事件摘要？

常見誤解

  • 「裝了 EDR 就安全」：EDR 能偵測與調查，但設定不當、沒人處理，或攻擊從未受管的設備進入，都會失效。
  • 「MDR 等於外包全部資安」：MDR 只涵蓋偵測與回應，帳號管理、更新、備份與員工教育仍是企業自己的責任。
  • 「價格差不多，功能就差不多」：不同服務的回應權限、時段與調校品質差異很大，需看合約條款而非行銷字眼。

導入託管服務的前三十天

簽約只是開始，導入期的品質往往決定整個服務的成效。以下是導入託管偵測服務時，前三十天可以安排的重點。

第一週：盤點與部署。確認所有端點與伺服器清單，分批部署代理程式，先從少量測試機開始，確認不會影響業務應用程式，再擴大到全公司。同時確認哪些設備因為老舊或特殊用途無法安裝，並為它們找替代的防護方式。

第二週：調校與例外。初期通常會有不少誤報，例如內部管理工具、備份軟體或自行開發的程式被判定為可疑。要與服務商一起建立例外清單，並記錄每個例外的理由與負責人，避免日後被濫用成為防護缺口。

第三週：回應流程演練。與服務商確認告警通知的對象、聯絡方式與處置授權，並模擬一次事件，檢視通知是否順暢、誰有權限決定隔離主機、隔離後業務如何維持。很多企業直到真的發生事件，才發現授權鏈有缺口。

第四週：報告與檢討。檢視第一個月的告警統計、誤報率、處置紀錄與建議事項，討論是否需要調整服務範圍或內部流程，並確認月報格式是否符合你對客戶與管理層說明的需求。

導入期也要留意員工的接受度。端點偵測可能影響電腦效能或蒐集使用行為資料，建議先向員工說明目的與範圍，並確認蒐集的資料符合個資與隱私相關規範，必要時與法務或人資確認。

自建團隊與託管服務的成本比較思維

規模較大的企業，有時會考慮自建資安監控團隊。要判斷自建或託管，可以從幾個面向比較，而不只是看帳面費用。

人力成本：全天候監控需要多個班次的人員，加上人員的訓練、流動與備援。小型團隊很難在不增加過勞風險的情況下維持全年無休。

專業深度：託管服務商同時服務多家客戶，累積的告警處理經驗與威脅情報，可能比單一企業自建團隊更廣；但自建團隊對公司內部系統與業務更熟悉，能更準確判斷什麼是異常。

工具與維運：自建需要採購並維護多種工具，例如日誌平台與分析工具，還要持續調校規則。託管服務將這部分打包，但要確認可客製的程度。

控制與彈性：自建團隊對資料與流程的控制較強；託管則要依賴服務商的流程與合約。

混合模式：許多企業採用混合方式，由內部人員處理日常與業務相關的判斷，由外部服務商負責夜間與假日的監控，並在大型事件時提供支援。這種方式能兼顧成本與回應速度，但需要明確的分工與溝通流程。

最後，請把「人員離職或服務商更換時，知識如何交接」納入評估，避免關鍵能力集中在一兩個人身上。

什麼時候該諮詢專業人士

若公司處理敏感個資、曾遭入侵、或需要滿足客戶的監控與日誌要求，建議請有經驗的資安顧問協助撰寫需求說明書，並以試用或小範圍導入驗證服務品質，再全面推廣。

常見問題

小公司需要 SOC 嗎？

多數情況下不需要自建或採購完整 SOC，可從端點防護、MDR 與雲端服務自帶的安全功能開始，依風險再擴充。

EDR 可以取代防毒嗎？

許多 EDR 產品已內含防毒功能，但具體取決於產品，請向廠商確認並避免多款安全軟體互相衝突。

MDR 服務商能保證擋下所有攻擊嗎？

不能。任何服務都無法保證百分之百阻擋，重點是縮短偵測與回應時間，並降低損害。

訂閱期間可以調整台數嗎？

視合約而定，簽約前要確認增減台數的計價與時點。

資料來源

相關指南