¿Qué es Endpoint Detection and Response?

• Monitorización continua y recopilación de datos: La seguridad de EDR implementa agentes en cada endpoint para observar y registrar constantemente las actividades. Esto permite el seguimiento de un amplio abanico de eventos y comportamientos, con la confección de registros detallados de las operaciones en los endpoints.

• Análisis del comportamiento y detección de amenazas: Mediante un análisis sofisticado del comportamiento, el software de EDR encuentra patrones en los datos recopilados para identificar anomalías. Este método es eficaz contra amenazas complejas, como los ataques sin archivos, el ransomware y los exploits de día cero.

• Administración y análisis centralizados: Los datos de los endpoints se reúnen y analizan en un único centro de control, que a menudo se apoya en tecnologías de nube. Este análisis centralizado ayuda a encontrar patrones de amenazas y ofrece una completa visión de la situación de la seguridad.

• Respuesta manual o automática y priorización de los incidentes: Cuando detectan una amenaza, las soluciones de seguridad de EDR facilitan respuestas manuales o automáticas, como aislar los endpoints o eliminar los archivos maliciosos. Asimismo, priorizan las alertas, para que los equipos de seguridad puedan centrarse en los incidentes críticos. 

• Análisis de riesgos y del comportamiento de los usuarios: Las soluciones de EDR avanzadas extienden su análisis para incluir el comportamiento de los usuarios y el riesgo que corre la organización, evaluando varios factores para identificar y mitigar los posibles riesgos en toda la red.

• Apoyo a la búsqueda de amenazas y a la investigación forense: La tecnología EDR facilita la búsqueda proactiva de amenazas y la investigación forense proporcionando información detallada sobre las actividades en los endpoints y los datos históricos, todo lo cual contribuye a la identificación de patrones y a una mejor protección.

A lo largo del tiempo, el panorama de las herramientas de seguridad informática se ha ido enriqueciendo con siglas, como EDR, EPP, XDR y MDR, que suelen aportar más confusión que claridad entre las personas ajenas al sector. Veamos los matices de esta jerga y las funciones y puntos fuertes particulares de estas soluciones en la actualidad.  

EDR frente a EPP

Las plataformas de protección de endpoints (EPP) son la primera línea de defensa de los endpoints contra las amenazas digitales. Se trata de soluciones de seguridad integradas que suelen incluir antivirus de última generación, antimalware, control web, cortafuegos y puertas de enlace de correo electrónico. Están diseñadas para prevenir las amenazas conocidas y las que muestran patrones reconocibles de comportamientos maliciosos. El objetivo de las EPP es detener las amenazas a nivel de los endpoints. Mientras que las EPP se centran en la prevención, la EDR brinda a las organizaciones las herramientas para detectar y responder a las amenazas después del compromiso. Es capaz de identificar, investigar y contener amenazas que hayan eludido la defensa inicial que proporcionan las EPP. Las soluciones de ciberseguridad de EDR son una segunda capa de protección, que ofrece a los analistas de seguridad las herramientas necesarias para buscar amenazas y detectar otros peligros más sutiles. Puede proporcionar valiosa información sobre cómo se produjo una vulneración, facilitar el seguimiento de los movimientos dentro de la red de los responsables de la amenaza y aportar los medios para responder eficazmente ante los incidentes.

La distinción entre EPP y EDR empieza a resultar algo difusa, dado que muchas soluciones de EPP modernas incorporan también capacidades de detección y respuesta en los endpoints, como análisis para la detección de amenazas avanzadas y análisis del comportamiento de los usuarios, con el fin de ofrecer una perspectiva más global de la seguridad de endpoints.

EDR frente a XDR y MDR

Aunque la detección y respuesta en los endpoints (EDR), la detección y respuesta ampliadas (XDR) y la detección y respuesta administradas (MDR) desarrollan labores distintas, estas soluciones de seguridad avanzadas lo que sí son es complementarias. Actúan como capas de defensa adaptadas a la naturaleza cambiante tanto de las infraestructuras de las organizaciones como de la seguridad informática en general.

La XDR amplía la EDR integrando datos relevantes para la seguridad de toda la infraestructura de una organización: no se limita a los endpoints, sino que incluye redes, correo electrónico, aplicaciones, servicios en la nube, etc. La XDR unifica puntos de control de seguridad, telemetría, análisis y operaciones en un solo sistema empresarial. Aprovecha los análisis de seguridad a nivel de toda la organización y relaciona autónomamente los eventos de seguridad para aportar un enfoque más global. La XDR aumenta la eficiencia y la eficacia de los centros de operaciones de seguridad (SOC) gracias a la visión integral del panorama de amenazas, la automatización y la optimización de los procesos de seguridad.

Por otra parte, la MDR es un servicio subcontratado donde profesionales externos administran las operaciones de seguridad informática y ofrecen monitorización y gestión continua de las amenazas mediante tecnologías avanzadas de detección y respuesta. Estos servicios son especialmente valiosos en el caso de organizaciones que precisen mejorar sus capacidades de ciberseguridad o que carezcan de los recursos necesarios para gestionar un SOC completo, dado que, normalmente, proporcionan monitorización, detección de amenazas y apoyo para la reparación a todas horas.

En resumen, las soluciones de EDR se centran en los endpoints, con información detallada y respuestas a las amenazas en este nivel, mientras que los servicios de XDR y de MDR amplían la protección y el apoyo mediante una mayor presencia en la huella digital de una organización y, en el caso de la MDR, a través de la protección como servicio administrado.

La implementación de la ciberseguridad con EDR puede abrir la puerta a una extensa serie de mejoras en la posición de seguridad informática de la organización y en la eficiencia operativa. A continuación, se recopilan ejemplos y casos de uso reales indicativos de la versatilidad y el impacto de la EDR en la mejora de las medidas de ciberseguridad y la optimización de los procedimientos operativos en diversos sectores.

• Aumento de la eficiencia operativa: Un estudio de arquitectura mejoró su eficiencia operativa gracias a una evaluación automatizada de los riesgos y a las características de administración desde una única consola de la EDR. De manera similar, un fabricante internacional de baterías redujo a la mitad el tiempo de respuesta ante incidentes, lo que demuestra que esta solución es capaz de optimizar las operaciones de seguridad. 

• Reducción del tiempo de administración de la seguridad: En una institución educativa francesa, la EDR contribuyó a una reducción del 70 % del tiempo dedicado a administrar la seguridad, mientras que un fabricante italiano de sistemas de embalaje también redujo entre un 20 % y un 30 % el tiempo de administración de la seguridad.

• Eliminación de violaciones de seguridad: Las soluciones de detección y respuesta en los endpoints tienen un dilatado historial de violaciones de seguridad detenidas. Una empresa de ingeniería italiana erradicó las violaciones de seguridad y, además, aumentó un 25 % el rendimiento de sus endpoints. 

• Reducción de los falsos positivos: Muchas cadenas comerciales han empleado la EDR para reducir la tasa de falsos positivos, como por ejemplo uno de los principales minoristas de equipamiento para motocicletas de Europa, que consiguió aumentar un 20 % el rendimiento de sus endpoints y dar más fluidez a sus operaciones de comercio electrónico y en las tiendas físicas.

• Mayor cumplimiento en cuanto a parches: La EDR puede mejorar drásticamente la aplicación de parches, como pudo comprobar una correduría de seguros americana que pasó de un 50 % de cumplimiento en la aplicación de parches al 90 % o un fabricante de materiales de alta gama que alcanzó una tasa de aplicación de parches del 97 %. Otro buen ejemplo de ello es un banco con sede en Wisconsin, que reforzó sus defensas contra malware y spyware sofisticados con un 95 % de cumplimiento en cuanto a aplicación parches. 

• Simplificación del cumplimiento normativo sobre protección de datos: La EDR ayuda a navegar por el complejo panorama de las normas de obligado cumplimiento. Una organización sin ánimo de lucro para la ayuda a personas afectadas por el cáncer aprovechó las herramientas de detección y respuesta en sus endpoints para mejorar la protección de los datos de carácter personal, con el consiguiente ahorro sustancial de tiempo y costes.

• Mayor rendimiento de los endpoints: Las soluciones de EDR suelen ser de pequeño tamaño, lo que aumenta el rendimiento de las estaciones de trabajo de los usuarios, como puso de manifiesto una empresa de fabricación italiana que experimentó una mejora del 25 % durante los análisis. 

Puede leer más casos prácticos sobre la EDR aquí.

Hacia 2010, las soluciones antivirus tradicionales, apoyadas sobre todo por la detección basada en firmas, empezaron a considerarse insuficientes porque los atacantes fueron desarrollando métodos de ejecución de códigos maliciosos sin instalar un malware reconocible, lo que eludía esas defensas tradicionales.

Existía malware basado en documentos, que incorporaban secuencias de comandos dañinas en archivos de Excel, PDF, Word, PowerPoint, etc. y que frecuentemente se distribuían mediante campañas de phishing. Los ataques sin archivos ejecutaban procesos en la memoria o se aprovechaban de procesos legítimos del sistema, lo que los volvía invisibles para las herramientas de detección basadas en firmas. El exploit EternalBlue, utilizado por malware como WannaCry y NotPetya, entró en los libros de historia de la ciberseguridad. Los antivirus tradicionales solo podían combatir el malware conocido y dejaban pasar gran parte de las nuevas amenazas. Los primeros productos de software de EDR eran complejos y podían conllevar una sobrecarga de alertas, por lo que manejarlas eficazmente requería conocimientos avanzados de seguridad y muchos recursos.

El término “detección y respuesta de endpoints” lo acuñó oficialmente, en el año 2013, el analista de Gartner Anton Chuvakin, quien lo introdujo en la jerga conceptualizándolo como una solución para aportar visibilidad detallada de las actividades del sistema y para detectar e investigar actividades sospechosas en hosts y endpoints.

Al tiempo que evoluciona el campo de la seguridad informática, también lo hacen sus herramientas, y una de las principales tendencias que señalan los especialistas es el avance hacia la integración de las plataformas de seguridad. Por ejemplo, ya en 2019 Gartner anticipó la convergencia de la EDR y las EPP en sistemas unificados y administrados desde una única interfaz. Estas soluciones integradas ofrecen mayor rapidez en la detección de amenazas y respuestas automatizadas, lo que supone una evolución significativa en cuanto a los juegos de herramientas y las prácticas de la seguridad de endpoints.

Otra importante tendencia son las soluciones basadas en la nube que ofrecen protección de endpoints, detección y respuesta en los endpoints, defensa contra amenazas móviles y gestión integrada de vulnerabilidades. Casi seguro que las soluciones avanzadas de EDR seguirán aprovechando la automatización, el machine learning y la inteligencia artificial (IA) para aumentar la eficiencia y para una mejor incorporación del análisis del comportamiento de usuarios y entidades (UEBA), con el fin de detectar anomalías basadas en estos parámetros. 

El punto de partida para adoptar la EDR es asumir la inevitabilidad de las violaciones de la seguridad y la importancia de una detección y respuesta rápidas. Una solución de detección y respuesta en los endpoints ofrece a su organización mayor visibilidad de las amenazas avanzadas, lo que a su vez facilita una rápida intervención. 

Equilibrar eficazmente la seguridad tradicional con la EDR pasa por integrarla en las plataformas de protección de endpoints. Por último, y no por ello menos importante, cabe recordar que escoger soluciones fáciles de usar minimiza el impacto de cualquier carencia de conocimientos en el equipo de ciberseguridad.

Implementar una solución de ciberseguridad EDR conlleva sus propios desafíos y consideraciones. La eficacia de una solución ha de medirse según su capacidad para detectar amenazas y su cobertura, además de que la solución no introduzca una complejidad innecesaria en la organización. Por otra parte, la decisión entre la gestión interna de la EDR u optar por una solución administrada conlleva importantes implicaciones en cuanto a la carga de trabajo del equipo de seguridad y la preparación en materia de ciberseguridad que tenga la organización.

Elegir la solución adecuada es una decisión que debe adaptarse a las necesidades concretas de la organización, tomando en consideración el sector, el tamaño, la infraestructura de seguridad existente y las posibilidades de crecimiento. Contar con una solución que pueda evolucionar, potencialmente a XDR o MDR, es una excelente manera de preparar la estrategia de seguridad informática de la organización de cara al futuro. Conforme va creciendo la organización, la solución de EDR puede escalar para adaptarse a su vez a los nuevos desafíos.