Hoy en día, la mayoría de las empresas cuentan con más dispositivos finales de los que pueden contar. Portátiles, servidores, estaciones de trabajo remotas, máquinas virtuales alojadas en la nube... La lista crece cada vez que se incorpora un nuevo empleado o se implementa una herramienta SaaS. Cada uno de esos dispositivos es un posible punto de entrada para los atacantes, y la cuestión ya no es si necesitas una solución de detección y respuesta en los dispositivos finales (EDR), sino si dispones del personal necesario para gestionarla adecuadamente.
Esa es precisamente la laguna que el EDR gestionado se propuso cubrir. Datto EDR, que forma parte de la plataforma Kaseya, ofrece a los MSP las herramientas necesarias para implementar y gestionar la seguridad de los terminales en los entornos de sus clientes; y para aquellos MSP que deseen ir más allá, Kaseya MDR les respalda con una cobertura del SOC las 24 horas del día, los 7 días de la semana, a cargo de analistas experimentados.
Esta guía explica qué es el EDR gestionado, cómo funciona, a quién va dirigido y cómo los MSP pueden utilizarlo para crear un servicio de seguridad recurrente que sus clientes necesitan.
¿Qué es el EDR gestionado?
El EDR gestionado, a veces denominado MEDR, es una tecnología de detección y respuesta en puntos finales que se ofrece como servicio gestionado. En lugar de implementar el software EDR y dejar que los clientes se encarguen de supervisarlo por sí mismos, un proveedor de EDR gestionado asume la responsabilidad operativa. Esto implica implementar agentes, gestionar alertas, investigar amenazas y responder a incidentes.
Para la mayoría de las pequeñas y medianas empresas (pymes), esta distinción es de gran importancia. El software EDR está diseñado para ser sofisticado. Genera un gran volumen de datos de telemetría, requiere un ajuste minucioso para reducir los falsos positivos y exige que los analistas de seguridad sepan cómo actuar ante lo que detecta. Las pymes rara vez cuentan con esa experiencia a nivel interno.
MEDR resuelve este problema combinando la tecnología con el factor humano. Los clientes obtienen cobertura EDR sin necesidad de contratar personal de seguridad. Los proveedores de servicios gestionados (MSP) disponen de un servicio estructurado al que pueden asignar un precio, adaptar a sus necesidades y prestar de forma constante.
¿Cómo funciona el EDR gestionado?
El EDR gestionado funciona a través de cinco fases interconectadas. Comprender cada una de ellas ayuda a explicar por qué es más eficaz que dejar el software de EDR sin supervisión. A continuación, se describen las cinco fases:
- Implementación de agentes e inventario de terminales: El proceso comienza con la instalación de un agente de software ligero en todos los terminales incluidos en el ámbito de aplicación: ordenadores de sobremesa, portátiles, servidores y, cada vez más, máquinas virtuales y cargas de trabajo alojadas en la nube. El agente establece una línea de referencia de comportamiento para cada dispositivo, registrando qué procesos se ejecutan normalmente, qué aplicaciones se comunican con la red y cuáles son los patrones de acceso a los archivos. Cualquier elemento que se desvíe de esa línea de referencia se marca para su análisis.
- Supervisión continua: una vez implementada, la plataforma EDR supervisa los terminales las 24 horas del día. Recopila datos de telemetría sobre la creación de procesos, las conexiones de red, las modificaciones de archivos, los cambios en el registro y los eventos de autenticación. Este flujo continuo de datos es lo que permite a la EDR detectar amenazas que solo se hacen visibles con el paso del tiempo, como el lento movimiento lateral característico de las amenazas persistentes avanzadas (APT).
- Detección y correlación de amenazas: la telemetría sin procesar por sí sola no genera información de seguridad útil. Las plataformas MEDR aplican análisis de comportamiento, aprendizaje automático y fuentes de inteligencia sobre amenazas para correlacionar eventos y detectar amenazas reales. Las mejores herramientas alinean las detecciones con el marco MITRE ATT&CK, que proporciona contexto sobre la técnica probable del atacante y su siguiente paso, en lugar de dejar que los analistas tengan que averiguarlo por su cuenta.
- Clasificación e investigación de alertas: No todas las alertas suponen una amenaza real. Una de las principales ventajas del EDR gestionado frente al EDR autogestionado es la clasificación realizada por personas. Analistas experimentados revisan los eventos señalados, descartan los falsos positivos y escalan únicamente los incidentes confirmados o de alta prioridad. Es aquí donde el criterio del analista marca una diferencia sustancial. El reconocimiento de patrones, basado en el análisis de miles de incidentes reales, ofrece mejores resultados que cualquier lista de comprobación automatizada.
- Respuesta y corrección: Cuando se confirma una amenaza real, el equipo MEDR entra en acción. Las medidas de respuesta varían en función de la gravedad y pueden incluir el aislamiento del terminal afectado de la red, la interrupción de procesos maliciosos, la puesta en cuarentena de archivos sospechosos, la restauración de archivos cifrados (cuando sea posible) y la elaboración de un informe forense posterior al incidente. Para muchos MSP, este último paso —una respuesta documentada y justificable— es lo que convierte al EDR gestionado en un servicio de alta calidad, en lugar de un servicio básico.
Características principales del EDR gestionado
No todos los servicios gestionados de EDR son iguales. Estas son las características que distinguen una oferta de calidad de una básica.
Análisis de comportamiento y supervisión de la línea de base
La detección basada en firmas detecta el malware conocido. El análisis de comportamiento detecta todo lo demás. Una plataforma MEDR eficaz supervisa el comportamiento de los procesos, no solo su naturaleza, por lo que es capaz de detectar ataques sin archivos y vulnerabilidades de día cero que nunca escriben un archivo reconocible en el disco.
Supervisión y respuesta las 24 horas del día, los 7 días de la semana
Los atacantes no respetan el horario laboral. Un servicio EDR gestionado que no se supervisa durante la noche no es realmente gestionado. Busque proveedores que ofrezcan una cobertura auténtica las 24 horas del día, los 7 días de la semana, respaldada por analistas de seguridad, y no solo alertas automatizadas con seguimiento al día siguiente.
Bajas tasas de falsos positivos
La fatiga por alertas es un problema real. Las plataformas que generan un exceso de ruido hacen que los analistas aprendan a ignorar las alertas, que es precisamente en lo que confían los atacantes. Un servicio MEDR de calidad centra la detección en los comportamientos más relevantes, manteniendo una relación señal-ruido manejable para los equipos que lo supervisan.
Alineación con el marco MITRE ATT&CK
Las alertas que se corresponden con el marco MITRE ATT&CK no solo indican a los analistas lo que ha ocurrido, sino también en qué punto de la cadena de ataque se sitúa y qué es probable que suceda a continuación. Este contexto resulta especialmente valioso para los analistas con menos experiencia que necesitan responder con rapidez sin contar con profundos conocimientos forenses.
Acciones de respuesta automatizadas
La rapidez es fundamental en la respuesta ante incidentes. Las plataformas EDR gestionadas con funciones de respuesta automatizada integradas, como el aislamiento de terminales con un solo clic o la finalización automática de procesos, pueden detener un ataque antes de que se propague, incluso en plena noche, cuando ningún analista está revisando activamente la cola.
Análisis forense y elaboración de informes
La documentación posterior a los incidentes tiene dos objetivos: ayudar al equipo de seguridad a comprender lo ocurrido y a mejorar las defensas, y proporcionar a los clientes las pruebas que necesitan para reclamaciones de seguros cibernéticos o revisiones de cumplimiento normativo. Un MEDR de calidad incluye un análisis forense detallado de cada incidente confirmado, no solo una notificación de que se ha bloqueado algo.
Integración con RMM
Para los proveedores de servicios gestionados (MSP), una solución EDR gestionada que se integre con su plataforma de supervisión y gestión remotas (RMM) cambia significativamente el panorama operativo. La integración nativa permite implementar agentes, gestionar alertas y responder a incidentes desde una única consola, en lugar de que los técnicos tengan que cambiar de herramienta constantemente.
Cómo mejora la detección de amenazas el EDR gestionado
Nuestro artículo introductorio sobre los fundamentos del EDR abarca toda la gama de categorías de amenazas que el EDR está diseñado para detectar, desde el ransomware y el malware sin archivos hasta los exploits de día cero y las amenazas internas. En lugar de repetir aquí lo ya dicho, conviene centrarse en una pregunta concreta: ¿por qué es importante la capa gestionada a la hora de detener realmente esas amenazas?
La verdad es que la mayoría de las implementaciones de EDR no rinden lo esperado, no porque la tecnología sea inadecuada, sino porque no se utiliza correctamente. Según el estudio «ISC2 2024 Cybersecurity Workforce Study», el déficit global de personal especializado en ciberseguridad alcanzó los 4,8 millones de puestos sin cubrir en 2024, lo que supone un aumento interanual del 19 %. Para las pymes, esa cifra se traduce directamente en equipos de TI con falta de personal que gestionan herramientas de EDR para las que no tienen la experiencia ni los recursos necesarios para aprovecharlas al máximo.
Esto es lo que ocurre en la práctica:
- Las alertas acumuladas quedan sin revisar: las plataformas EDR generan un flujo continuo de datos de telemetría. Sin analistas especializados, las alertas de alta gravedad permanecen en la cola durante horas o días. En los incidentes de ransomware, cada hora cuenta.
- El ajuste nunca se lleva a cabo: las configuraciones predeterminadas del EDR generan un gran número de falsos positivos. Sin un ajuste periódico por parte de alguien que conozca bien el entorno, la relación entre alertas y ruido sigue siendo deficiente y los equipos empiezan a ignorar las notificaciones.
- La búsqueda de amenazas no se lleva a cabo en absoluto: la búsqueda proactiva de amenazas, es decir, la detección de comportamientos de los atacantes que aún no han activado ninguna alerta, requiere un tiempo de trabajo por parte de los analistas del que la mayoría de los equipos de TI de las pymes simplemente no disponen. Es ahí donde los atacantes, que actúan de forma lenta y sigilosa, logran afianzarse sin ser detectados.
- Los incidentes quedan sin controlar: detectar una amenaza y responder a ella son habilidades distintas. Muchas organizaciones saben que algo va mal, pero no aíslan el terminal afectado con la rapidez suficiente, lo que permite que el movimiento lateral propague el ataque por toda la red.
MEDR aborda cada una de estas carencias añadiendo el factor humano que la tecnología por sí sola no puede aportar. Las amenazas que detecta no son fundamentalmente diferentes de las que detecta un EDR independiente. Lo que cambia es si hay alguien con las habilidades adecuadas y el tiempo necesario para actuar que realmente esté analizando lo que el sistema pone de manifiesto.
Ventajas del EDR gestionado para empresas y proveedores de servicios gestionados (MSP)
Los argumentos a favor del EDR gestionado varían en función del lado de la relación de servicio en el que te encuentres.
Para pymes y empresas del mercado medio
La principal ventaja es disponer de servicios de seguridad sin necesidad de contratar personal. Contratar analistas de seguridad con experiencia resulta caro y es difícil. MEDR permite a las organizaciones acceder a esos conocimientos especializados mediante una suscripción, sin tener que lidiar con los retos que plantea la contratación.
Entre las ventajas concretas se incluyen:
- Visibilidad continua de los puntos finales en dispositivos locales, remotos y alojados en la nube
- Respuesta más rápida ante incidentes: el tiempo medio desde la detección de una brecha hasta su contención es considerablemente más corto en las plataformas gestionadas que en las implementaciones autogestionadas
- Documentación de cumplimiento: los registros de auditoría, los informes forenses y los resúmenes de amenazas ayudan a cumplir los requisitos establecidos en marcos normativos como HIPAA, PCI DSS y CMMC
- Menor tiempo de inactividad: la rápida contención limita la propagación de los incidentes, lo que garantiza la continuidad del negocio
Para MSP
El EDR gestionado es una categoría de servicios de alto margen con una demanda demostrada. Según el informe «State of the MSP 2026» de Kaseya, el 71 % de los MSP registraron un crecimiento interanual de los ingresos en ciberseguridad, lo que la convierte en la categoría de servicios con mejor rendimiento de todo el sector. Los datos de márgenes de CyVent refuerzan el motivo: los MSP que ofrecen servicios de EDR gestionado registraron unos márgenes brutos medios del 42 % en 2024, 18 puntos porcentuales más que el soporte antivirus tradicional. Y lo que es más importante, se trata de un servicio que a los clientes les resulta realmente difícil replicar por sí mismos, lo que genera una fidelidad real.
Un proveedor de servicios gestionados (MSP) típico que gestione 300 terminales repartidos entre 15 pymes puede ofrecer un servicio de EDR gestionado como una partida mensual por terminal, que se suma a su servicio de gestión remota de activos (RMM) ya existente. El coste adicional de la prestación del servicio es bajo. El valor que aporta a los clientes y el diálogo que genera sobre la madurez en materia de seguridad es elevado.
También hay que tener en cuenta el aspecto del posicionamiento competitivo. Los MSP que apuestan por MEDR se posicionan como socios de seguridad, y no solo como proveedores de servicios de reparación de averías informáticas. Esto transforma la relación con el cliente y hace que a un competidor de bajo coste le resulte más difícil superarles solo en precio.
EDR gestionado frente a MDR: ¿en qué se diferencian?
Esta es la pregunta que surge con mayor frecuencia cuando los MSP están desarrollando su oferta de servicios de seguridad.
El EDR gestionado se centra en los puntos finales. El servicio supervisa, detecta y responde a las amenazas en dispositivos individuales: portátiles, ordenadores de sobremesa y servidores. Está diseñado específicamente para cubrir los puntos finales y proporciona datos de telemetría detallados desde el nivel del dispositivo.
La detección y respuesta gestionadas (MDR) tienen un alcance más amplio. Un servicio de MDR suele supervisar los terminales, pero también recopila datos de telemetría del tráfico de red, los cortafuegos, los entornos en la nube y los sistemas de identidades, correlacionando las señales en todo el entorno de TI. Además, los proveedores de MDR suelen contar con un centro de operaciones de seguridad (SOC) completo y ofrecen servicios como la búsqueda proactiva de amenazas, contratos de respuesta ante incidentes e informes para la dirección.
Para los socios de Kaseya, ambas opciones están disponibles:
- Datto EDR es la capa de herramientas: una solución de software EDR que los MSP implementan y gestionan en nombre de sus clientes. Los socios controlan el servicio, fijan sus propios precios y lo prestan a través de su flujo de trabajo RMM ya existente.
- Kaseya MDR (antes RocketCyber) es un servicio de centro de operaciones de seguridad (SOC) totalmente gestionado. Los analistas de seguridad de Kaseya supervisan los terminales, Microsoft 365 y los cortafuegos las 24 horas del día, los 7 días de la semana, clasificando las alertas y tomando medidas de respuesta en nombre del proveedor de servicios gestionados (MSP). La supervisión abarca una superficie de ataque más amplia que la de los terminales por sí solos, y la labor de los analistas corre a cargo de Kaseya, no del propio equipo del MSP.
Ambas opciones no son mutuamente excluyentes. Muchos MSP utilizan Datto EDR como capa de terminales dentro de una implementación de Kaseya MDR, lo que les permite aprovechar la profundidad de la telemetría de EDR combinada con la amplitud y la cobertura de los analistas de un servicio MDR completo. Otros utilizan Datto EDR de forma independiente, gestionando ellos mismos la capa de terminales y fijando su precio como una referencia de seguridad independiente.
El enfoque más adecuado depende de la capacidad de seguridad del propio MSP y de los clientes a los que presta servicio. Un MSP que cuente con un equipo de seguridad experimentado puede gestionar MEDR de forma rentable internamente. Un MSP que no disponga de personal de seguridad especializado, o que desee ampliar la cobertura a clientes con requisitos de seguridad más exigentes, encontrará en Kaseya MDR una forma práctica de ofrecer protección de nivel SOC sin tener que crear esa capacidad desde cero.
Cómo pueden los MSP ofrecer servicios gestionados de EDR
Para crear una línea de negocio de EDR gestionado no es necesario empezar desde cero. La mayoría de los MSP ya cuentan con la infraestructura necesaria. Lo que necesitan es un modelo de servicio claro y la disciplina necesaria para prestarlo de forma constante.
Paso 1: Define tus niveles de servicio
Un servicio de EDR gestionado no tiene por qué ser igual para todos. Considera la posibilidad de estructurarlo por niveles:
- Imprescindible: implementación de EDR, respuesta automatizada y informes mensuales
- Nivel avanzado: EDR, búsqueda proactiva de amenazas y revisiones de seguridad trimestrales
- Premium: EDR combinado con una cobertura completa de MDR, lo que ofrece a los clientes una respuesta y gestión de incidentes las 24 horas del día, los 7 días de la semana, con el respaldo del SOC
Los precios por niveles facilitan el crecimiento de las cuentas de los clientes a medida que evolucionan sus necesidades de seguridad y aumentan los requisitos de cumplimiento normativo.
Paso 2: Integra el EDR en tu flujo de trabajo actual
La rentabilidad operativa de MEDR depende en gran medida de lo bien que se adapte a las herramientas que ya utilizas. Una plataforma EDR que se integre de forma nativa con tu RMM te permite implementar agentes, gestionar alertas y responder a incidentes desde una única consola. Una que requiera un flujo de trabajo completamente independiente añade una carga administrativa que merma rápidamente el margen del servicio.
Antes de elegir una plataforma, planifica cómo se integrarán las alertas en tu sistema de gestión de servicios (PSA) para la creación de tickets, cómo se llevará a cabo la implementación en los entornos de los clientes y cómo se generarán los informes. Las respuestas a estas preguntas te ayudarán a decidir qué producto elegir como estándar.
Paso 3: Elaborar un manual de respuesta
Los clientes esperan que se les explique con claridad qué ocurre cuando se detecta una amenaza. Documenta tus procedimientos de respuesta, incluyendo qué factores desencadenan una alerta, quién la revisa, qué medidas se toman en cada nivel de gravedad y cómo te comunicas con el cliente durante y después de un incidente. Este manual de procedimientos es también una prueba de tu competencia, algo que puedes mostrar a los clientes potenciales durante el proceso de venta.
Paso 4: Vincularlo al cumplimiento normativo
Los marcos normativos exigen cada vez más la supervisión continua de los puntos finales. La HIPAA exige medidas de seguridad adecuadas para la información sanitaria protegida en formato electrónico. La norma PCI DSS v4.0 exige protección contra el malware en todos los sistemas. El nivel de madurez 2 del CMMC exige protección de los puntos finales y capacidad de respuesta ante incidentes. El EDR gestionado es el control técnico que cumple estos requisitos. Incluya la documentación de auditoría como parte del servicio estándar, no como un complemento.
Paso 5: Informar periódicamente
Los informes de seguridad mensuales son uno de los productos de mayor valor que puede ofrecer un MSP. Demuestran que el servicio funciona, ponen de manifiesto las tendencias en la actividad de las amenazas y proporcionan a los clientes algo tangible que mostrar a sus propios directivos o a los auditores de cumplimiento normativo. Haz que la elaboración de informes sea una parte habitual del servicio, no algo secundario.
Cómo elegir un proveedor de EDR gestionado
Tanto si eres un proveedor de servicios gestionados (MSP) que está evaluando una herramienta de EDR para desarrollar un servicio, como si eres una empresa que busca un proveedor de EDR gestionado, estos son los factores más importantes:
Grado de cobertura de los dispositivos finales
La plataforma debe ser compatible con todos los tipos de dispositivos finales de su entorno: Windows, macOS y Linux —en el caso de la mayoría de las organizaciones—, además de servidores y máquinas virtuales. Compruebe si las cargas de trabajo alojadas en la nube están cubiertas, si forman parte de su infraestructura.
La calidad de la detección prima sobre el volumen de alertas
Una plataforma que genera miles de alertas de baja calidad no te protege; lo único que hace es agotar a tu equipo. Pregunta a los proveedores cuáles son sus índices de falsos positivos y cómo ajustan las detecciones. Las mejores plataformas se centran en los comportamientos que más importan, no en maximizar el número de alertas.
Integración con tu infraestructura actual
Un MEDR que no se integre con tu PSA o RMM genera fricciones operativas que merman la rentabilidad del servicio. Da prioridad a las plataformas que se adapten de forma natural a las herramientas que ya utilizas.
Capacidad de respuesta
Averigüe exactamente qué medidas de respuesta incluye el servicio. ¿Puede el proveedor aislar un terminal de forma remota? ¿Revertir archivos cifrados? ¿Proporcionar análisis forense de cada incidente confirmado? La capacidad de respuesta es donde el EDR gestionado justifica su precio, así que asegúrese de que las prestaciones se ajusten a lo prometido.
Disponibilidad de los analistas
Si la supervisión las 24 horas del día, los 7 días de la semana forma parte de la propuesta de valor, compruébalo. Pregunta cuál es el tiempo medio de respuesta ante una alerta de alta gravedad a las 2 de la madrugada de un domingo. La respuesta te dirá mucho sobre si el servicio cuenta realmente con personal o si se trata simplemente de un sistema automatizado con una etiqueta humana.
Documentación de cumplimiento normativo
Si los clientes pertenecen a sectores regulados, necesitan algo más que seguridad; necesitan pruebas. Asegúrese de que la plataforma genere los registros de auditoría, los informes de incidentes y la documentación forense que exigen los marcos de cumplimiento normativo.
Procedimiento de escalado
Incluso un MSP con buenos recursos se enfrentará en ocasiones a un incidente que supere su capacidad interna. Es importante conocer de antemano cuál es el procedimiento de escalado, ya sea al equipo de seguridad del propio proveedor de EDR, a un proveedor de MDR independiente o a un servicio de respuesta a incidentes contratado.
Ofrece un servicio gestionado de EDR con Kaseya
La tecnología EDR ha madurado hasta tal punto que es capaz de detectar prácticamente todas las amenazas significativas que afectan a los dispositivos finales, desde el ransomware y el malware sin archivos hasta los exploits de día cero y las amenazas APT de evolución lenta. El problema para la mayoría de las organizaciones no es la tecnología, sino el personal y los procesos necesarios para actuar ante lo que esta detecta.
MEDR cubre esa brecha. Libera a los equipos de TI, que ya están desbordados, de la gestión de la telemetría, las alertas y las decisiones sobre la respuesta a incidentes, y las pone en manos de analistas cuya labor se centra exclusivamente en la seguridad de los terminales. Para los clientes, esto se traduce en una contención más rápida y menos tiempo de inactividad. Para los MSP, supone un servicio recurrente de alto margen que refuerza la relación con el cliente y ayuda a cumplir los requisitos de cumplimiento normativo, que no van a desaparecer.
Para los MSP que desean desarrollar una línea de negocio de EDR gestionado, Datto EDR proporciona la infraestructura necesaria. Se trata de una plataforma de detección y respuesta en puntos finales basada en la nube que se implementa rápidamente, se integra con las soluciones RMM de Kaseya y está diseñada específicamente para su prestación por parte de MSP. Los socios que deseen ampliar la cobertura más allá de los endpoints, o que quieran que los analistas de Kaseya se encarguen de la cola nocturna, pueden incorporar Kaseya MDR para obtener una supervisión completa respaldada por el SOC en endpoints, Microsoft 365 y cortafuegos.
El panorama de amenazas no se está simplificando. Pero el camino hacia una seguridad eficaz de los puntos finales no tiene por qué ser complicado. El EDR gestionado es el punto de partida de ese servicio.
