¿Qué ve la red que no ven el EDR ni la identidad?
Por la red pasa todo, tenga agente o no: impresoras, cámaras, sistemas industriales, portátiles personales en la wifi de invitados y los propios dispositivos perimetrales. El informe M-Trends 2026 de Mandiant describe grupos de espionaje que atacan deliberadamente dispositivos de red, como VPN y routers, que normalmente carecen de telemetría EDR, y que usan la propia captura de paquetes del dispositivo para interceptar datos y credenciales en claro.
La puerta de entrada también suele estar ahí. Según el Data Breach Investigations Report 2026 de Verizon, el 31 % de las brechas empiezan con la explotación de vulnerabilidades de software, por delante de las credenciales robadas. Muchas de esas vulnerabilidades están en servicios y dispositivos expuestos a internet, y su explotación deja rastro en el tráfico.
¿Qué señales aporta cada herramienta de red?
| Herramienta | Señales que aporta | Ejemplos |
|---|---|---|
| Firewall de nueva generación | Conexiones permitidas y bloqueadas, detecciones de IPS, aplicaciones identificadas, accesos VPN. | Palo Alto Networks, Fortinet FortiGate, Cisco Firepower, Check Point, Sophos |
| Proxy y seguridad web en la nube | URL visitadas por usuario, categorías, descargas y volumen de subida por destino. | Zscaler, Netskope, Prisma Access |
| DNS y filtrado de dominios | Consultas a dominios recién registrados, generados por algoritmo o usados para tunelizar datos. | Cisco Umbrella, Infoblox |
| NDR | Comportamiento del tráfico interno, balizas periódicas, escaneos y transferencias anómalas. | Darktrace, Vectra AI, ExtraHop, Cisco Secure Network Analytics |
| WAF y CDN | Ataques contra aplicaciones web, bots y picos de peticiones. | Cloudflare, Akamai, Imperva, F5 |
¿Qué ataques se detectan con las señales de red?
- Mando y control: conexiones regulares, de tamaño y periodicidad constantes, hacia un dominio o una IP poco común.
- Exfiltración: subidas de volumen inusual hacia almacenamiento en la nube, FTP o destinos nunca usados, a menudo fuera de horario.
- Movimiento lateral: un puesto de trabajo que empieza a conectarse por SMB, RDP o WinRM a muchos servidores.
- Explotación de servicios expuestos: firmas de IPS contra la VPN o el firewall seguidas de conexiones salientes desde el propio dispositivo.
- Tunelización DNS y dominios generados por algoritmo, típicos de algunas familias de malware.
- Accesos VPN anómalos: la misma cuenta conectada desde dos países, o fuera del patrón habitual de la persona.
¿Qué respuesta se puede orquestar en la red?
La acción más habitual es bloquear un indicador en el punto de control adecuado. Según la herramienta:
- Bloquear una IP en el firewall, normalmente añadiéndola a una lista que una regla de denegación ya consulta.
- Bloquear un dominio o una URL en el proxy, el filtrado DNS o la pasarela web, para que nadie pueda resolverlo ni visitarlo.
- Cortar una sesión VPN o forzar la reautenticación del usuario.
- Aplicar una regla de mitigación en el WAF o la CDN ante un ataque contra una aplicación.
- En los NDR que incluyen respuesta, limitar las conexiones de un dispositivo a su comportamiento habitual.
¿En qué se diferencia de integrar el EDR?
El EDR actúa dentro del equipo y la red actúa sobre el tráfico. Aislar un equipo afecta a una máquina; bloquear un dominio afecta a toda la organización y protege también a los dispositivos sin agente. Se complementan: la red suele dar la primera pista, una conexión rara, y el EDR explica qué proceso la generó.
¿Qué conviene revisar en tu red?
- Registro del tráfico permitido, las amenazas y los accesos VPN, no solo de los bloqueos.
- Inventario de las salidas a internet (sedes, VPN, cloud) para saber qué tráfico no pasa por el firewall.
- Sincronización horaria (NTP) en todos los dispositivos, imprescindible para correlacionar con el endpoint.
Cómo te ayuda Ciberia
Ciberia MDR se integra con tu firewall, proxy, DNS o NDR y correlaciona sus eventos con endpoint, identidad y cloud. Ciberia Intel da contexto a cada conexión con información sobre actores, campañas e IOCs, y los hallazgos de Threat Hunting sobre movimiento lateral se convierten en nuevas reglas de detección. Cuando la decisión es bloquear, sus agentes de IA lo proponen, un analista valida las acciones con impacto y el bloqueo de la IP o el dominio se orquesta según la herramienta, con la acción trazada. Cobertura 24/7, sin sustituir tu firewall ni tu SIEM.
