¿Qué es la detección y respuesta en endpoints (EDR)?

Según el informe «State of the MSP» de Kaseya de 2026, el 71 % de los MSP registraron un crecimiento interanual de los ingresos por ciberseguridad, y el EDR se ha convertido en el control de seguridad básico que los clientes dan por sentado. La cuestión ya no es si necesitas un EDR, sino si el EDR que tienes es capaz de hacer frente a las amenazas a las que se enfrentan los terminales en 2026.

Durante décadas, Antivirus el estándar de seguridad para la protección de los puntos finales. Funcionaban bien cuando el malware era mayoritariamente conocido, se basaba en firmas y se propagaba a través de vectores predecibles. Sin embargo, ante el panorama actual de amenazas, ofrecen una protección mínima. Los ataques modernos utilizan malware sin archivos que se ejecuta íntegramente en la memoria, técnicas de «living-off-the-land» que aprovechan herramientas legítimas del sistema, y malware polimórfico que cambia su firma en cada instancia. Ninguno de ellos deja el tipo de huella de archivo que la detección basada en firmas puede detectar.

La detección y respuesta en endpoints (EDR) se diseñó para cubrir esa laguna. En lugar de comparar archivos con una base de datos de amenazas conocidas, la EDR supervisa continuamente el comportamiento de los endpoints e identifica los patrones de actividad asociados a los ataques, independientemente de si la técnica concreta se ha detectado anteriormente.

¿Qué es el EDR?

EDR es una tecnología de seguridad para dispositivos finales que supervisa de forma continua la actividad de dichos dispositivos, la ejecución de procesos, las modificaciones de archivos, las conexiones de red y los cambios en el registro, así como las acciones de las cuentas de usuario, y utiliza esos datos de telemetría para detectar amenazas y responder a ellas en tiempo real.

El enfoque de «detección y respuesta» es fundamental. El EDR no solo identifica las amenazas, sino que permite investigarlas y responder a ellas. Cuando se detecta una amenaza, el EDR proporciona los datos forenses necesarios para comprender qué ha ocurrido, hasta qué punto ha avanzado el ataque, a qué se ha accedido y qué medidas correctivas hay que tomar. Además, ofrece capacidades de respuesta directa: aislar el terminal afectado de la red, detener los procesos maliciosos, revertir los cambios y evitar que el ataque se propague.

El EDR se ha convertido en el estándar de referencia para la seguridad de los dispositivos finales en entornos empresariales. Cada vez es más frecuente que las pólizas de seguro cibernético lo exijan, que los marcos de cumplimiento lo impongan y que las evaluaciones de seguridad lo especifiquen como control básico. Para los proveedores de servicios gestionados (MSP), el EDR está pasando de ser un complemento opcional a convertirse en un componente estándar de la prestación de servicios gestionados y, cada vez más, en un requisito previo para que los clientes puedan contratar un seguro.

Cómo funciona el EDR

Un administrador de TI instala un agente EDR en cada terminal. Una vez en funcionamiento, el agente supervisa los procesos, las aplicaciones, las conexiones de red y los archivos, creando con el tiempo un perfil de comportamiento de referencia para el dispositivo. Cuando una actividad se desvía de ese perfil, el agente la señala, la analiza en busca de indicadores de amenazas y, en función de la gravedad, responde o emite una alerta.

Un ejemplo concreto: si el agente EDR detecta la creación inusual de procesos secundarios en el marco de una aplicación legítima, una conexión saliente inesperada en un puerto no estándar o un comportamiento de cifrado de archivos en varios directorios a la vez, interpreta ese patrón de comportamiento como una señal de amenaza y actúa en consecuencia sin esperar a que se produzca una coincidencia del hash del archivo con una base de datos de malware conocida.

Cuando se activan varias alertas, las herramientas de EDR las clasifican según su gravedad, garantizando que los incidentes más críticos lleguen primero a los equipos de seguridad. Una vez resuelto el incidente, la función forense reconstruye la cronología completa del mismo: el vector de acceso inicial, el movimiento lateral, los archivos afectados y las credenciales a las que se ha accedido, proporcionando así los datos sobre la causa raíz necesarios para evitar que se repita.

En qué se diferencia el EDR de Antivirus

La diferencia radica en el método de detección y el alcance.

• Antivirus compara los archivos con una base de datos de firmas maliciosas conocidas. Es eficaz contra el malware conocido basado en archivos. No puede detectar amenazas desconocidas, ataques sin archivos ni anomalías de comportamiento que no coincidan con un patrón conocido. Para cuando una nueva variante de malware aparece en la base de datos de firmas, ya se ha propagado por la red.
  
• EDR supervisa el comportamiento en todo el dispositivo, no solo en los archivos, mediante una combinación de detección basada en reglas, aprendizaje automático e inteligencia sobre amenazas, con el fin de identificar tanto las amenazas conocidas como las técnicas nunca vistas hasta ahora.

Un ataque sin archivos que inyecta código malicioso en un proceso legítimo no genera ningún archivo que el antivirus pueda detectar. Un proceso de supervisión EDR detecta el proceso secundario inusual, la conexión de red inesperada y el acceso anómalo a la memoria, y reacciona ante ese comportamiento en lugar de ante un archivo.

En la práctica, el EDR ha sustituido al antivirus como principal capa de protección de los dispositivos finales. La mayoría de las plataformas EDR modernas incluyen la detección basada en firmas como componente complementario, por lo que no hay que elegir entre una u otra. Se añade la capa de análisis de comportamiento que el antivirus por sí solo no puede proporcionar.

Funcionalidades básicas de EDR

Recopilación continua de datos de telemetría en los puntos finales. Los agentes EDR recopilan registros detallados sobre la ejecución de procesos, las operaciones con archivos, las conexiones de red, los cambios en el Registro y las acciones de las cuentas de usuario. Estos datos de telemetría constituyen la base de toda detección, investigación y búsqueda de amenazas.

Detección de amenazas basada en el comportamiento. Las reglas de detección y los modelos de aprendizaje automático identifican patrones de ataque en el flujo de telemetría: movimiento lateral, escalada de privilegios, extracción de credenciales, comportamiento de cifrado del ransomware y comunicaciones de mando y control. La detección se basa en lo que hace el terminal, no en los archivos que contiene.

Respuesta y contención automatizadas. Cuando se confirma una amenaza, el EDR puede responder de inmediato: aislando el terminal afectado de la red, deteniendo los procesos maliciosos, bloqueando las conexiones maliciosas y poniendo los archivos en cuarentena. Esta automatización es lo que convierte al EDR en una herramienta de contención, y no solo en una herramienta de detección. La respuesta se produce en cuestión de segundos, y no en el tiempo que tarde un técnico en detectar la alerta.

Investigación de amenazas y análisis forense. La telemetría de EDR ofrece una cronología completa de los eventos en los dispositivos finales: qué se ejecutó, qué hizo, a qué archivos accedió y qué conexiones estableció. Estos datos son esenciales para confirmar el alcance total de la intrusión, rastrear el punto de acceso inicial y verificar que se han eliminado todos los componentes del ataque antes de restablecer el dispositivo final en el entorno de producción.

Búsqueda de amenazas. Además de la detección automatizada, el EDR permite la búsqueda proactiva de amenazas, analizando los datos de telemetría de los dispositivos finales en busca de indicadores de compromiso que las reglas automatizadas puedan haber pasado por alto. La búsqueda de amenazas requiere la intervención de analistas humanos, por lo que el EDR suele combinarse con servicios de MDR en aquellas organizaciones que no cuentan con personal de seguridad interno.

Informes y pruebas de cumplimiento. El EDR genera informes detallados sobre las amenazas detectadas, las medidas de respuesta y el estado de seguridad de los dispositivos finales. Para las organizaciones sujetas a los requisitos de PCI DSS, HIPAA, Cyber Essentials o CMMC, estos informes proporcionan el registro de pruebas que exigen los auditores.

¿Contra qué amenazas protege el EDR?

Ransomware. La detección basada en el comportamiento de la EDR detecta el ransomware en la fase de ejecución, identificando el cifrado masivo de archivos, la eliminación de instantáneas y la actividad de comando y control antes de que se complete el cifrado. El aislamiento automatizado de los puntos finales limita el alcance del ataque a un solo dispositivo, en lugar de permitir que se propague lateralmente.

Malware sin archivos. Los ataques que se ejecutan íntegramente en memoria mediante PowerShell, WMI u otras herramientas legítimas del sistema no dejan ningún archivo que el antivirus pueda detectar. La supervisión del comportamiento de los procesos de EDR detecta los patrones de ejecución anómalos, independientemente de si existe algún archivo malicioso en el disco.

Vulnerabilidades de día cero. Dado que el EDR se basa en el análisis del comportamiento en lugar de en firmas conocidas, es capaz de identificar intentos de explotación de vulnerabilidades sin parchear. El comportamiento anómalo de los procesos que sigue a una explotación exitosa es detectable incluso cuando la propia vulnerabilidad es totalmente nueva.

Ataques en varias fases y amenazas persistentes avanzadas (APT). Las amenazas persistentes avanzadas se desarrollan a lo largo de semanas o meses: acceso inicial, movimiento lateral silencioso, escalada de privilegios, preparación de datos y, finalmente, exfiltración. La telemetría continua de las soluciones EDR garantiza que cada fase quede registrada, y la detección basada en el comportamiento en cualquier momento puede sacar a la luz un ataque que haya estado actuando de forma silenciosa durante algún tiempo.

Amenazas internas. Las amenazas internas maliciosas o las cuentas comprometidas que hacen un uso indebido de accesos legítimos son difíciles de detectar con herramientas perimetrales. El enfoque de referencia del EDR hace que los patrones de acceso a datos inusuales, el uso inesperado de privilegios o las operaciones anormales con archivos por parte de una cuenta conocida se señalen como anomalías, en lugar de aceptarse como actividad legítima.

Cargas maliciosas transmitidas mediante phishing. El phishing sigue siendo el vector de acceso inicial más habitual. El EDR no detiene el correo electrónico de phishing en sí mismo —esa es la función de las herramientas de seguridad del correo electrónico—, pero cuando una carga maliciosa transmitida mediante phishing se ejecuta en el terminal, el EDR detecta ese comportamiento y lo contiene antes de que pueda establecer persistencia o iniciar un movimiento lateral.

EDR y el marco MITRE ATT&CK

El marco MITRE ATT&CK es la base de conocimientos de referencia del sector sobre las tácticas, técnicas y procedimientos de los atacantes observados en ataques reales. Es el marco de referencia para describir el comportamiento de los ataques, evaluar la cobertura de las herramientas de seguridad y desarrollar lógicas de detección.

A la hora de comparar plataformas de EDR, la cobertura del marco ATT&CK constituye un criterio de referencia más significativo que las cifras de tasa de detección que suelen aparecer en los titulares. Hay dos cuestiones que cobran especial importancia: ¿qué técnicas detecta la plataforma de forma fiable y con qué precisión las detecta sin generar un número excesivo de falsos positivos?

Céntrate en las tácticas más relevantes para tu modelo de amenazas. En la mayoría de los entornos gestionados por MSP, las áreas de alta prioridad son el acceso inicial, la ejecución, la persistencia, la escalada de privilegios, el acceso a credenciales, el movimiento lateral y el impacto, lo que incluye el ransomware. Un EDR con una cobertura precisa de esas siete tácticas ofrece una protección considerablemente mayor que uno que se limita a detectar variantes de malware conocidas y da el asunto por zanjado.

EDR frente a MDR: cuando necesitas algo más que una herramienta

El EDR es una potente tecnología de detección y respuesta. No se trata de un servicio de seguridad totalmente gestionado. Las detecciones que no se investigan ni se tratan no ofrecen protección alguna, y para investigar con precisión las alertas del EDR se requiere una experiencia en seguridad de la que la mayoría de los equipos de TI y los proveedores de servicios gestionados (MSP) no disponen las 24 horas del día.

El MDR (detección y respuesta gestionadas) cubre esa carencia al incorporar un equipo de analistas humanos que complementa la plataforma EDR: analistas de seguridad que supervisan los datos de telemetría, investigan las alertas, clasifican los falsos positivos y responden a las amenazas confirmadas, normalmente las 24 horas del día, los 7 días de la semana.

Para las organizaciones que carecen de capacidad interna para gestionar la seguridad —lo que describe a la mayoría de las pymes y a una parte importante de las empresas del mercado medio—, el MDR hace que el EDR sea eficaz desde el punto de vista operativo. La tecnología detecta. El servicio MDR determina qué es real, decide cómo responder y actúa.

Datto EDR ofrece una solución integral de detección y respuesta en puntos finales que incluye contención automatizada y capacidad completa de investigación forense. Para aquellas organizaciones que necesiten una gestión totalmente gestionada, el servicio MDR de Kaseya, disponible en Kaseya 365 Pro, cuenta con analistas de seguridad con sede en EE. UU. que operan las 24 horas del día, los 7 días de la semana, como complemento de la plataforma EDR. Descubra Datto EDR o explore Kaseya 365 para conocer la plataforma completa.

Selección e implementación de EDR

• Cobertura de detección según el marco MITRE ATT&CK. ¿Qué técnicas se cubren y con qué precisión? Una cobertura amplia con altas tasas de falsos positivos resulta menos útil que una cobertura precisa de las técnicas que son relevantes para tu modelo de amenazas.
  
• Índice de falsos positivos. La fatiga por alertas es un problema operativo real. Un EDR que genera alertas constantemente hace que los analistas dejen de prestarles atención, y así es precisamente como se pasan por alto las amenazas reales. La precisión es tan importante como la sensibilidad.
  
• Nivel de automatización de la respuesta. ¿Es capaz la plataforma de aislar automáticamente los terminales, detener procesos y poner archivos en cuarentena sin necesidad de aprobación humana para cada acción? La velocidad de la respuesta automatizada marca la diferencia entre contener el ransomware en un solo dispositivo y ver cómo se propaga. Para los MSP que gestionan múltiples entornos de clientes, la automatización es la única forma de responder con la rapidez que exigen las amenazas.
  
• Herramientas de investigación forense. ¿Es fácil investigar una alerta? ¿Se puede crear una cronología completa de los eventos, pasar de un proceso a todos los archivos con los que ha interactuado o consultar los datos de telemetría de todos los terminales gestionados en busca de un indicador de compromiso específico?
  
• Integración de RMM y PSA. Para los MSP, una solución EDR que se integra con el RMM ofrece una visión unificada del estado de los terminales, el nivel de seguridad y las amenazas activas desde una única consola operativa. La automatización del proceso de «alerta a ticket» mediante la integración con el PSA permite que las detecciones se incorporen al flujo de trabajo de prestación de servicios, en lugar de quedarse en un portal de seguridad independiente.
  
• Multitenencia y segregación de clientes. Para los proveedores de servicios gestionados (MSP) que gestionan entornos de múltiples clientes, la capacidad de visualizar y actuar en todos los entornos desde una única plataforma, con una segregación total de los datos entre ellos, es un requisito operativo imprescindible.