EDR / Conceptos y funciones principales

EDR (Endpoint Detection and Response, detección y respuesta en endpoints) recopila y analiza la actividad de PCs y servidores para identificar amenazas y apoyar investigaciones y acciones como el aislamiento de dispositivos. Además de evaluar un archivo, relaciona procesos, comunicaciones y cambios para determinar qué ocurrió y hasta dónde llegó el impacto.

Función del EDR y diferencia con el antivirus

Un endpoint es un dispositivo donde se usan datos y aplicaciones, como el PC o portátil de un empleado o un servidor empresarial. El EDR suele combinar un sensor o agente local con gestión y análisis centralizados. Comprueba los sistemas operativos compatibles y la cobertura de servidores y entornos virtuales en el producto y el contrato.

El antivirus se centra en prevenir y bloquear malware; el EDR aporta visibilidad e investigación y respuesta ante intrusiones. Sin embargo, los antivirus modernos también utilizan análisis de comportamiento y en la nube: dividirlos en “solo firmas” frente a “solo comportamiento” es inexacto. Ambas funciones pueden integrarse en un producto. La descripción de seguridad de endpoints de Microsoft distingue el antivirus de nueva generación del EDR y los presenta como complementarios.

PowerShell, por ejemplo, es una herramienta legítima de administración. Su ejecución inesperada desde una aplicación de documentos, seguida de una conexión a una dirección desconocida, merece investigación. Examina ruta, línea de comandos, cuenta y actividad posterior en conjunto. El nombre del programa o esa combinación no confirman por sí solos una intrusión.

¿Qué información recopila y relaciona?

Los datos de actividad recogidos para análisis de seguridad se denominan telemetría. Los siguientes son ejemplos habituales, sin garantizar que todos los productos registren los mismos campos en cada dispositivo.

• Procesos: ruta del ejecutable, hora de ejecución, línea de comandos y relaciones padre-hijo. El árbol de procesos muestra qué programa inició otro.
• Archivos: creación, modificación, ejecución y hashes permiten rastrear archivos sospechosos y rutas afectadas. Un hash identifica o compara archivos; su valor por sí solo no demuestra que sean maliciosos.
• Red: relacionar procesos con direcciones y puertos de destino ayuda a investigar comunicaciones. Los registros de conexión no revelan necesariamente todo el contenido transmitido ni todos los datos exfiltrados.
• Cambios del sistema: el Registro de Windows y la configuración de inicio pueden aportar indicios de persistencia. Los datos disponibles dependen del sistema operativo.
• Actividad de cuentas: los inicios de sesión y las cuentas de ejecución se relacionan con otras actividades. Los registros de autenticación y correo de toda la organización pueden requerir fuentes o integraciones adicionales.

La cronología y el árbol de procesos ayudan a diferenciar la ejecución inicial de los cambios posteriores. No obstante, la introducción al EDR de Microsoft aclara que no es un registro de auditoría de todas las operaciones. La ausencia de pruebas no confirma normalidad: revisa recopilación, estado del sensor, retención y otros registros.

Funciones principales de detección, investigación y respuesta

Los nombres cambian, pero los productos suelen combinar las funciones siguientes. La automatización, las aprobaciones y las acciones disponibles dependen del sistema operativo, la licencia y las políticas.

• Detección y priorización: el análisis de comportamiento y la inteligencia de amenazas generan alertas. Agrupar las relacionadas en un incidente facilita investigar efectos en varios dispositivos. Una gravedad alta no elimina la necesidad de verificar las pruebas.
• Investigación y búsqueda: cronologías, árboles y búsquedas permiten establecer causa y alcance. También apoyan la búsqueda proactiva de amenazas al localizar el mismo hash o destino en otros dispositivos.
• Contención: puede incluir aislamiento de red, detención de procesos y cuarentena de archivos. La cuarentena impide ejecutar el archivo; el aislamiento del dispositivo limita las comunicaciones. Sus objetivos y efectos operativos son distintos.
• Registro de acciones: documenta quién solicitó cada medida y si tuvo éxito, falló o está pendiente. Pulsar un botón o activar una política automática no equivale a confirmar su finalización.

El aislamiento puede frenar la propagación, pero también interrumpir accesos remotos y servicios empresariales. Comprueba cómo se mantiene la comunicación de gestión, las restricciones con redes privadas virtuales (VPN) o proxies y el procedimiento para levantar el aislamiento. Consulta la documentación correspondiente, como la guía de acciones de respuesta de Microsoft.

Ejemplo: investigar una alerta de documento sospechoso

Este flujo hipotético parte de una aplicación de documentos que inicia una herramienta de scripts y contacta con una dirección externa. No es un incidente real ni una prueba de producto; adáptalo a los procedimientos de respuesta aprobados.

1. Verifica el objetivo y la hora. Registra dispositivo, usuario, hora y zona horaria de la alerta. Confirma que el sensor envía datos actuales y compara identificadores para no investigar otra máquina con el mismo nombre.
2. Relaciona el contexto de ejecución. Revisa aplicación, procesos secundarios, línea de comandos y destinos en la cronología. Contrasta con la actividad del usuario y los cambios administrativos para evaluar automatizaciones legítimas. No ejecutes archivos sospechosos en un PC de trabajo.
3. Contén según el riesgo. Si la actividad maliciosa continúa o puede propagarse, los responsables deben evaluar el impacto empresarial y elegir medidas como el aislamiento. Conserva las pruebas necesarias y verifica resultados y motivos de fallo.
4. Amplía la investigación. Busca los mismos archivos, direcciones y comportamientos en otros dispositivos y correlaciona registros de autenticación y correo. Que una máquina no tenga alertas no garantiza la seguridad de las cuentas y demás sistemas.
5. Comprueba la recuperación y posibles recurrencias. Tras eliminar la causa, aplicar parches y medidas sobre cuentas y validar la recuperación, levanta el aislamiento mediante el proceso aprobado. Verifica los servicios y nuevas alertas y documenta las decisiones.

El resultado debe ir más allá de cerrar una alerta. Organiza pruebas, dispositivos y cuentas afectados, medidas realizadas e incertidumbres pendientes para que otro responsable pueda continuar la respuesta.

Límites y problemas que el EDR no resuelve

Los sensores ausentes o detenidos, los fallos de conexión y una retención corta crean vacíos de investigación. La administración legítima puede generar alertas y algunos ataques pasar inadvertidos. Demasiadas exclusiones reducen la visibilidad: gestiona alcance, motivo y plazo de revisión.

Aislar un dispositivo o borrar un archivo no recupera datos robados ni restaura automáticamente archivos cifrados. El EDR no sustituye parches, privilegio mínimo, autenticación multifactor (MFA) ni copias de seguridad. La guía sobre ransomware de CISA, FBI y colaboradores (PDF) también recomienda copias aisladas, pruebas de recuperación y planificación de respuesta.

Se necesitan personas para investigar alertas y decidir. Si faltan recursos internos, evalúa un servicio de detección y respuesta gestionadas (MDR, Managed Detection and Response). Define en el contrato horarios, autoridad para actuar, traspaso de incidentes y responsabilidades de recuperación. Comprar EDR no incluye automáticamente esos servicios.

Qué comprobar antes del despliegue

Además de listas de productos y tasas de detección anunciadas, confirma si la organización puede operar la solución. Un entorno pequeño de pruebas autorizadas permite validar los siguientes puntos antes de ampliarla.

• Cobertura: compara el inventario de PCs y servidores con los sistemas y versiones compatibles. Comprueba el estado del sensor y su última comunicación, no solo su instalación.
• Impacto empresarial: evalúa CPU, memoria, disco, latencia y conflictos con aplicaciones reales. Revisa las condiciones de coexistencia con otros productos de seguridad.
• Datos de investigación: verifica campos recopilados, búsqueda, retención, exportación e integraciones. Como pueden incluir líneas de comandos e información de usuarios, revisa permisos y ubicaciones de almacenamiento.
• Autoridad y recuperación: define quién aprueba aislamiento o detención y cómo tratar servidores críticos. Usa pruebas seguras del proveedor para comprobar generación de alertas, notificación, estado de acciones y levantamiento del aislamiento.
• Coste operativo: suma personal de revisión, formación, almacenamiento adicional y servicios externos a las licencias. Responsables definidos y procedimientos de relevo convierten la detección en respuesta efectiva.