¿Qué es el EDR?

La detección y respuesta en terminales (EDR) es una categoría de software de ciberseguridad que supervisa de forma continua los dispositivos terminales —ordenadores portátiles, teléfonos, servidores y dispositivos del Internet de las cosas (IoT)— en busca de indicios de compromiso, correlaciona esos datos de telemetría para generar alertas y proporciona a los equipos de seguridad las herramientas necesarias para investigar y contener una amenaza antes de que se propague.

Puntos clave

• El sistema EDR supervisa continuamente los dispositivos finales y señala cualquier comportamiento sospechoso en tiempo real.
• Recopila datos de telemetría para que los equipos puedan investigar y contener las amenazas rápidamente.
• Entre los principales proveedores se encuentran CrowdStrike, Microsoft Defender y SentinelOne.
• Versa incorpora las puntuaciones de riesgo del EDR a los perfiles de riesgo unificados de las entidades a efectos de la política.
• Los puntos finales de alto riesgo pueden aislarse, bloquearse o enviarse para una inspección más exhaustiva.

En esta página: Por qué es importante · Cómo funciona · Tipos · EDR y Versa · Preguntas frecuentes

¿Por qué es importante el EDR?

Las defensas perimetrales, como los cortafuegos y los antivirus, detienen las amenazas conocidas en el perímetro de la red, pero los atacantes que logran sortearlas —mediante phishing, el robo de credenciales o un exploit de día cero— actúan con total libertad una vez que llegan a un terminal, a menos que haya algo vigilando desde dentro. El EDR cubre esa brecha: observa el comportamiento de los procesos, los cambios en los archivos y las conexiones de red en el propio dispositivo, detectando técnicas que nunca activan una alerta basada en firmas.

La importancia de esto se refleja en el tiempo de respuesta. Sin visibilidad a nivel de terminal, una intrusión puede permanecer oculta durante días o semanas antes de que alguien detecte un movimiento inusual de datos o tráfico lateral. El EDR acorta ese margen de tiempo al correlacionar la telemetría de los terminales en una visión global del riesgo y al proporcionar a los analistas las herramientas necesarias —aislar el dispositivo, detener el proceso, revertir el cambio— para actuar de inmediato. Para las organizaciones que están trasladando la seguridad a la nube, los datos del EDR también se convierten en información sobre la que pueden actuar otros sistemas, ampliando el estado de seguridad de los terminales a la red y a las políticas de acceso, en lugar de dejarlo aislado en el dispositivo.

¿Qué es el EDR?

Una plataforma EDR ejecuta un agente ligero en cada terminal protegida que registra la actividad de los procesos, los cambios en el sistema de archivos, las modificaciones del registro y las conexiones de red, y a continuación transmite esos datos de telemetría a un motor de análisis en la nube o local. El motor aplica análisis de comportamiento e inteligencia sobre amenazas al flujo de datos, señala las anomalías y asigna a la terminal una puntuación de riesgo o de amenaza.

Cuando el EDR detecta una actividad maliciosa, no se limita a alertar, sino que responde. Dependiendo de la configuración, esto puede suponer cerrar automáticamente un proceso malicioso, poner un archivo en cuarentena, aislar el terminal de la red o revertir los cambios realizados por un atacante. Los analistas también disponen de un historial de eventos del terminal en el que se pueden realizar búsquedas, lo que convierte la respuesta ante incidentes de una mera conjetura en una cronología: qué se ejecutó, a qué tuvo acceso y adónde intentó dirigirse a continuación.

Tipos de EDR

El EDR se implementa en varios modelos distintos. El EDR autónomo funciona como un agente independiente centrado exclusivamente en la detección y la respuesta, y suele integrarse sobre un producto antivirus independiente. El EDR dentro de una suite de EPP agrupa la detección y la respuesta en una plataforma de protección de terminales (EPP) más amplia que también gestiona el antivirus, el control de dispositivos y las listas de aplicaciones autorizadas; este es el modelo empresarial más habitual en la actualidad. La detección y respuesta gestionadas (MDR) externaliza la supervisión y la clasificación a un equipo de operaciones de seguridad externo que supervisa la telemetría del EDR y responde en nombre del cliente. La detección y respuesta ampliadas (XDR) amplía aún más el alcance, correlacionando los datos de los terminales con la telemetría de la red, la nube y las identidades en un único motor de detección, en lugar de tratar el terminal de forma aislada.

EDR y Versa

Versa No sustituye al EDR, sino que lo utiliza. A través de «Configure Endpoint Detection and Response», Concerto se integra directamente con CrowdStrike, Microsoft Defender y SentinelOne, consultando la API de cada proveedor a intervalos configurables para obtener los datos de riesgo del terminal.

Esa señal del EDR se incorpora a un «Perfil de riesgo unificado de la entidad», donde un administrador la pondera junto con los datos procedentes de la gestión de vulnerabilidades y el análisis de comportamientos para generar una puntuación de riesgo compuesta por cada terminal, que va desde «Fiable» hasta «Alto riesgo». Versa Advanced Security Cloud calcula dicha puntuación y la distribuye a las pasarelas de SASE .

Las políticas de seguridad y acceso actúan entonces directamente sobre la puntuación. Tal y como se describe en «Configurar puntuaciones de riesgo unificadas», una puntuación de alto riesgo o sospechosa puede denegar la conexión de un dispositivo a la pasarela de SASE , activar inspecciones adicionales, como el análisis IPS o DLP, o rechazar el acceso a aplicaciones privadas que no sean web, como RDP y SSH, convirtiendo así el estado del terminal en una política de red en tiempo real, en lugar de una alerta aislada que permanece en la consola EDR.

Preguntas frecuentes

¿Cuál es la diferencia entre un EDR y un antivirus?

Los antivirus tradicionales comparan los archivos con firmas de malware conocido y bloquean lo que reconocen. Por el contrario, el EDR supervisa continuamente el comportamiento de los terminales, detectando técnicas —como los ataques «living-off-the-land»— que nunca coinciden con ninguna firma, y proporciona a los analistas herramientas para investigar y responder tras la detección.

¿Cuál es la diferencia entre EDR y XDR?

El EDR analiza únicamente la telemetría de los terminales. El XDR (detección y respuesta ampliadas) correlaciona esos datos de los terminales con la telemetría de la red, la nube y las identidades en un único motor de detección, a cambio de la profundidad a nivel de dispositivo que ofrece el EDR por una visibilidad de todo el entorno.

¿Con qué proveedores de EDR se integra Versa ?

Versa Versa se integra con CrowdStrike, Microsoft Defender y SentinelOne. Los datos de riesgo o la puntuación combinada de cada proveedor pueden ponderarse para crear un perfil de riesgo de entidad unificado de y utilizarse como base para las políticas de acceso seguro y protección en Internet.

¿Qué licencia se necesita para la integración de EDR en « Versa »?

La puntuación de riesgos, incluida la integración con EDR, requiere una licencia « Versa » de Secure Private and Internet Access (VSPIA) o una licencia « Versa » de Secure Access Fabric (VSAF) Professional. Además, necesitarás tu propia licencia y cuenta independientes con cada proveedor de EDR al que te conectes, como CrowdStrike o Microsoft Defender.

¿Pueden los datos del EDR bloquear el acceso a la red, y no solo generar alertas?

Sí. En la implementación de Versa, la puntuación de riesgo de un punto final, derivada del EDR, puede utilizarse como criterio de coincidencia en las reglas de acceso seguro basado en el cliente y de protección de Internet, denegando o restringiendo automáticamente el acceso a la red cuando la puntuación supera un umbral configurado.

Más información sobre EDR

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre EDR, te conviene echar un vistazo a lo siguiente.