¿Qué señales aporta el EDR a la detección?
El EDR registra lo que ocurre dentro de cada equipo con agente. Es la fuente más detallada para reconstruir un ataque en el endpoint y la que permite actuar en segundos. Las señales más usadas:
- Árbol de procesos: qué proceso lanzó a cuál, con qué línea de comandos y usuario. Es lo que delata un documento de Word que abre PowerShell.
- Ficheros y registro: ejecutables en rutas temporales, entradas de arranque automático, tareas programadas y servicios nuevos (persistencia).
- Conexiones de red por proceso, útiles para detectar comunicaciones de mando y control.
- Acceso a credenciales: intentos de leer la memoria de LSASS o de volcar hashes de contraseñas.
- Detecciones del fabricante, con severidad y técnica de MITRE ATT&CK cuando la herramienta la informa.
- Estado del agente: equipos sin agente, desactualizados o con la protección desactivada. Que alguien apague el EDR también es una señal de ataque.
¿Qué se le escapa al EDR y por qué hay que correlacionarlo?
El EDR solo ve los equipos donde está instalado. Cortafuegos, VPN, routers, impresoras o sistemas industriales no suelen admitir agente. El informe M-Trends 2026 de Mandiant describe grupos de espionaje que atacan deliberadamente dispositivos de red, como VPN y routers, que normalmente carecen de telemetría EDR. El mismo informe sitúa la mediana global de permanencia del atacante en 14 días, frente a 11 el año anterior.
Tampoco ve lo que pasa fuera del equipo, como un inicio de sesión con credenciales robadas en Microsoft 365. Una ejecución sospechosa en un portátil se lee distinto si diez minutos antes ese usuario inició sesión desde un país donde no tiene actividad, y eso solo se sabe cruzando el EDR con identidad.
¿Qué acciones de respuesta permite un EDR?
Casi todos los EDR ofrecen acciones de respuesta parecidas. Los nombres cambian entre fabricantes y algunas dependen de la licencia: según la documentación de Microsoft, el plan 1 de Defender for Endpoint solo incluye algunas acciones manuales, como el aislamiento, y el plan 2 incluye el conjunto completo.
| Acción | Para qué sirve | Cómo suele aparecer | Ten en cuenta |
|---|---|---|---|
| Aislar el equipo | Cortar movimiento lateral y exfiltración sin apagar la máquina, que conserva la memoria. | Network containment (CrowdStrike), Isolate device (Microsoft Defender), Disconnect from network (SentinelOne), Isolate endpoint (Cortex XDR). | Sigue conectado a la consola del EDR. En servidores críticos, pacta antes quién lo autoriza. |
| Terminar un proceso | Detener un cifrado en curso, un minero o una herramienta de acceso remoto. | Kill o terminate process, o desde la respuesta en vivo. | Si hay persistencia, volverá a arrancar. |
| Cuarentena o bloqueo de hash | Impedir que el binario se ejecute en otros equipos. | Quarantine file, indicadores personalizados o listas de bloqueo. | Si el atacante recompila, el hash cambia. |
| Recoger evidencias | Guardar procesos, conexiones y registros antes de remediar. | Paquete de investigación, live response o real time response. | Hazlo antes de reiniciar o reinstalar. |
| Revertir cambios | Deshacer cifrados o modificaciones en algunos escenarios. | Rollback en SentinelOne (Windows) o remediación automática según el producto. | No sustituye a las copias de seguridad. |
¿Qué aporta un MDR sobre el EDR que ya tienes?
El EDR detecta y permite actuar, pero alguien tiene que mirar la alerta a las tres de la mañana, decidir si es real y contener. Eso es lo que suele añadir un MDR:
- Triaje 24/7: descartar falsos positivos y escalar lo que importa con contexto.
- Correlación con identidad, correo, red y cloud, que el EDR no ve por sí mismo.
- Contención pactada: qué acciones ejecuta el proveedor sin llamarte y cuáles necesitan tu aprobación.
- Búsqueda proactiva de amenazas en la telemetría histórica, aunque no hayan generado alertas.
- Revisión de exclusiones demasiado amplias y políticas en modo solo detección.
Un MDR agnóstico trabaja sobre el EDR que ya tienes. Si un proveedor te exige cambiarlo, valora el coste de migrar y qué pasa con el histórico.
¿En qué se diferencia de integrar otras fuentes?
El EDR es la integración con más respuesta directa, porque actúa sobre el equipo donde está el atacante. Identidad y correo actúan sobre cuentas y buzones, la red sobre el tráfico, y el SIEM aporta histórico pero normalmente no ejecuta acciones. En una investigación se usan todas: el EDR explica qué pasó en el equipo y las demás, cómo llegó el atacante y a dónde intentó ir.
¿Qué conviene revisar en tu EDR?
- Cobertura: compara el inventario con los equipos que reportan al EDR. Los que faltan son puntos ciegos.
- Modo de las políticas: muchas instalaciones siguen en modo solo detección meses después del despliegue.
- Qué equipos se aíslan sin consulta (portátiles) y cuáles requieren aprobación (servidores de producción, planta).
- Retención: si el histórico basta para investigar un ataque que empezó semanas antes.
Cómo te ayuda Ciberia
Ciberia MDR se conecta a tu EDR o XDR y no lo sustituye. Sus agentes de IA, de desarrollo propio, investigan cada alerta en segundos, la correlacionan con el resto de fuentes integradas y la enriquecen con la inteligencia de Ciberia Intel. El flujo es Alerta, Contexto, Decisión y Acción: los agentes automatizan alrededor del 90 % del triaje y proponen la respuesta, y un analista valida las decisiones con impacto antes de orquestar la contención con las acciones de tu EDR, como aislar el equipo o terminar el proceso. Para alertas críticas, el SLA contractual es de 15 minutos hasta la contención inicial, con cobertura 24/7 y cada acción trazada.
