¿Qué es el EDR gestionado (MEDR)?

Hoy en día, la mayoría de las empresas tienen más dispositivos finales de los que pueden contar. Portátiles, servidores, estaciones de trabajo remotas, máquinas virtuales alojadas en la nube… La lista crece cada vez que se incorpora un nuevo empleado o se implementa una herramienta SaaS. Cada uno de esos dispositivos es un posible punto de entrada para los atacantes, y la cuestión ya no es si necesitas una solución de detección y respuesta en dispositivos finales (EDR), sino si cuentas con el personal necesario para gestionarla adecuadamente.

Esa es la brecha que el EDR gestionado se diseñó para cubrir. Datto EDR, que forma parte de la plataforma Kaseya, ofrece a los MSP las herramientas necesarias para implementar y gestionar la seguridad de los terminales en los entornos de los clientes; y para aquellos MSP que deseen ir más allá, Kaseya MDR les respalda con una cobertura del SOC las 24 horas del día, los 7 días de la semana, a cargo de analistas experimentados.

Esta guía explica qué es el EDR gestionado, cómo funciona, a quién va dirigido y cómo los MSP pueden utilizarlo para crear un servicio de seguridad recurrente que sus clientes necesitan.

¿Qué es el EDR gestionado?

El EDR gestionado, a veces denominado MEDR, es una tecnología de detección y respuesta en terminales que se ofrece como servicio gestionado. En lugar de implementar un software de EDR y dejar que sean los propios clientes quienes lo supervisen, un proveedor de EDR gestionado asume la responsabilidad operativa. Esto implica implementar agentes, gestionar alertas, investigar amenazas y responder a incidentes.

Para la mayoría de las pequeñas y medianas empresas (pymes), esta distinción es muy importante. El software EDR está diseñado para ser sofisticado. Genera un gran volumen de datos de telemetría, requiere un ajuste minucioso para reducir los falsos positivos y exige que los analistas de seguridad sepan cómo actuar ante lo que detecta. Las pymes rara vez cuentan con esa experiencia a nivel interno.

MEDR resuelve este problema combinando la tecnología con las personas. Los clientes obtienen cobertura EDR sin necesidad de contratar personal de seguridad. Los MSP disponen de un servicio estructurado al que pueden asignar un precio, adaptar a sus necesidades y prestar de forma constante.

¿Cómo funciona el EDR gestionado?

El EDR gestionado funciona a través de cinco fases interrelacionadas. Comprender cada una de ellas ayuda a explicar por qué es más eficaz que dejar el software de EDR sin supervisión. A continuación, se describen las cinco fases:

Implementación de agentes e inventario de terminales: El proceso comienza con la instalación de un agente de software ligero en cada terminal incluida en el ámbito de aplicación: ordenadores de sobremesa, portátiles, servidores y, cada vez más, máquinas virtuales y cargas de trabajo alojadas en la nube. El agente establece una línea de referencia de comportamiento para cada dispositivo, registrando qué procesos se ejecutan normalmente, qué aplicaciones se comunican con la red y cuáles son los patrones de acceso a los archivos. Cualquier elemento que se desvíe de esa línea de referencia se marca para su análisis.
Supervisión continua: Una vez implementada, la plataforma EDR supervisa los terminales las 24 horas del día. Recopila datos de telemetría sobre la creación de procesos, las conexiones de red, las modificaciones de archivos, los cambios en el registro y los eventos de autenticación. Este flujo continuo de datos es lo que permite a MEDR detectar amenazas que solo se hacen visibles con el paso del tiempo, como el movimiento lateral lento típico de las amenazas persistentes avanzadas (APT).
Detección y correlación de amenazas: La telemetría sin procesar por sí sola no genera información de seguridad útil. Las plataformas MEDR aplican análisis de comportamiento, aprendizaje automático y fuentes de inteligencia sobre amenazas para correlacionar eventos y detectar amenazas reales. Las mejores herramientas alinean las detecciones con el marco MITRE ATT&CK, que proporciona contexto sobre la técnica probable del atacante y su siguiente paso, en lugar de dejar que los analistas tengan que averiguarlo por su cuenta desde cero.
Clasificación e investigación de alertas: No todas las alertas suponen una amenaza real. Una de las principales ventajas del EDR gestionado frente al EDR autogestionado es la clasificación realizada por personas. Analistas experimentados revisan los eventos señalados, descartan los falsos positivos y escalan únicamente los incidentes confirmados o de alta prioridad. Aquí es donde el criterio del analista marca una diferencia sustancial. El reconocimiento de patrones, basado en el análisis de miles de incidentes reales, ofrece mejores resultados que cualquier lista de comprobación automatizada.
Respuesta y corrección: Cuando se confirma una amenaza real, el equipo MEDR entra en acción. Las medidas de respuesta varían en función de la gravedad y pueden incluir el aislamiento del terminal afectado de la red, la interrupción de procesos maliciosos, la puesta en cuarentena de archivos sospechosos, la restauración de archivos cifrados (cuando sea posible) y la elaboración de un informe forense posterior al incidente. Para muchos MSP, este último paso —una respuesta documentada y justificable— es lo que convierte al EDR gestionado en un servicio de alta calidad, en lugar de un servicio básico.

Características principales del EDR gestionado

No todos los servicios de EDR gestionados son iguales. Estas son las características que distinguen una oferta de calidad de una básica.

Análisis de comportamiento y supervisión de la línea de base
La detección basada en firmas detecta el malware conocido. El análisis de comportamiento detecta todo lo demás. Una plataforma MEDR eficaz realiza un seguimiento del comportamiento de los procesos, no solo de lo que son, y por eso puede detectar ataques sin archivos y vulnerabilidades de día cero que nunca escriben un archivo reconocible en el disco.

Supervisión y respuesta 24 horas al día, 7 días a la semana
Los atacantes no respetan el horario laboral. Un servicio EDR gestionado que no se supervisa durante la noche no es realmente gestionado. Busca proveedores que ofrezcan una cobertura auténtica las 24 horas del día, los 7 días de la semana, respaldada por analistas de seguridad, y no solo alertas automatizadas con seguimiento al día siguiente.

Bajas tasas de falsos positivos
La fatiga por alertas es un problema real. Las plataformas que generan un exceso de ruido hacen que los analistas acaben ignorando las alertas, que es precisamente en lo que se basan los atacantes. Un servicio MEDR de calidad centra la detección en los comportamientos más relevantes, manteniendo una relación señal-ruido manejable para los equipos que lo supervisan.

Alineación con el marco MITRE ATT&CK
Las alertas que se corresponden con el marco MITRE ATT&CK no solo indican a los analistas lo que ha ocurrido, sino también en qué punto de la cadena de ataque se sitúa y cuál es el siguiente paso probable. Este contexto resulta especialmente valioso para los analistas con menos experiencia, que necesitan responder con rapidez sin contar con conocimientos forenses avanzados.

Acciones de respuesta automatizadas
La rapidez es fundamental en la respuesta ante incidentes. Las plataformas EDR gestionadas con respuesta automatizada integrada, como el aislamiento de terminales con un solo clic o la finalización automática de procesos, pueden detener un ataque antes de que se propague, incluso en plena noche, cuando ningún analista está revisando activamente la cola de incidencias.

Análisis forense y elaboración de informes
La documentación posterior a un incidente tiene dos objetivos: ayudar al equipo de seguridad a comprender lo que ha ocurrido y a mejorar las defensas, y proporcionar a los clientes las pruebas que necesitan para reclamaciones de seguros cibernéticos o revisiones de cumplimiento normativo. Un MEDR de calidad incluye un análisis forense detallado de cada incidente confirmado, no solo una notificación de que se ha bloqueado algo.

Integración con RMM
Para los MSP, una solución EDR gestionada que se integre con su plataforma de supervisión y gestión remota (RMM) cambia significativamente el panorama operativo. La integración nativa permite implementar agentes, gestionar alertas y responder a incidentes desde una única consola, en lugar de que los técnicos tengan que cambiar de herramienta constantemente.

Cómo mejora la detección de amenazas el EDR gestionado

Nuestro artículo básico sobre los fundamentos del EDR abarca toda la gama de categorías de amenazas que el EDR está diseñado para detectar, desde el ransomware y el malware sin archivos hasta los exploits de día cero y las amenazas internas. En lugar de repetir aquí esos conceptos, conviene centrarse en una pregunta concreta: ¿por qué es importante la capa gestionada a la hora de detener realmente esas amenazas?

La respuesta sincera es que la mayoría de las implementaciones de EDR no rinden lo esperado, no porque la tecnología sea inadecuada, sino porque no se utiliza correctamente. Según el estudio «ISC2 2024 Cybersecurity Workforce Study», el déficit global de personal especializado en ciberseguridad alcanzó los 4,8 millones de puestos sin cubrir en 2024, lo que supone un aumento interanual del 19 %. Para las pymes, esa cifra se traduce directamente en equipos de TI con falta de personal que gestionan herramientas de EDR para las que no cuentan con los conocimientos ni los recursos necesarios para aprovecharlas al máximo.

Así es como se ve en la práctica:

Las alertas acumuladas quedan sin revisar: las plataformas EDR generan un flujo continuo de datos de telemetría. Sin analistas especializados, las alertas de alta gravedad permanecen en la cola durante horas o días. En los incidentes de ransomware, cada hora cuenta.
El ajuste nunca se lleva a cabo: las configuraciones predeterminadas del EDR generan un gran número de falsos positivos. Sin un ajuste periódico por parte de alguien que conozca bien el entorno, la relación entre alertas y ruido sigue siendo deficiente y los equipos empiezan a ignorar las notificaciones.
La detección proactiva de amenazas no se lleva a cabo en absoluto: la detección proactiva de amenazas, que consiste en buscar comportamientos de los atacantes que aún no hayan activado ninguna alerta, requiere un tiempo por parte de los analistas del que la mayoría de los equipos de TI de las pymes simplemente no disponen. Es aquí donde los atacantes, que actúan de forma lenta y sigilosa, logran afianzarse sin ser detectados.
Los incidentes quedan sin contener: detectar una amenaza y responder a ella son habilidades distintas. Muchas organizaciones saben que algo va mal, pero no aíslan el terminal afectado con la rapidez suficiente, lo que permite que el movimiento lateral propague el ataque por toda la red.

MEDR aborda cada una de estas carencias aportando el factor humano que la tecnología por sí sola no puede proporcionar. Las amenazas que detecta no son fundamentalmente diferentes de las que puede detectar un EDR independiente. Lo que cambia es si hay alguien con las habilidades adecuadas y el tiempo necesario para actuar que esté analizando realmente lo que el sistema pone de manifiesto.

Ventajas del EDR gestionado para empresas y proveedores de servicios gestionados (MSP)

Los argumentos a favor de una solución EDR gestionada varían en función del lado de la relación de servicio en el que te encuentres.

Para pymes y clientes del mercado medio

La principal ventaja es disponer de servicios de seguridad sin necesidad de contratar personal. Contratar a analistas de seguridad con experiencia resulta caro y es muy competitivo. MEDR ofrece a las organizaciones acceso a esa experiencia mediante una suscripción, sin los problemas que conlleva la contratación.

Entre las ventajas concretas se incluyen:

Visibilidad continua de los puntos finales en dispositivos locales, remotos y alojados en la nube
Respuesta más rápida ante incidentes: el tiempo medio transcurrido desde la detección de una brecha hasta su contención es significativamente más corto en las plataformas gestionadas que en las implementaciones autogestionadas
Documentación de cumplimiento: los registros de auditoría, los informes forenses y los resúmenes de amenazas ayudan a cumplir los requisitos establecidos en marcos normativos como HIPAA, PCI DSS y CMMC.
Reducción del tiempo de inactividad: la rápida contención limita la propagación de los incidentes, lo que garantiza la continuidad del negocio

Para los MSP

El EDR gestionado es una categoría de servicios de alto margen con una demanda demostrada. Según el informe «State of the MSP 2026» de Kaseya, el 71 % de los MSP registraron un crecimiento interanual de los ingresos en ciberseguridad, lo que la convierte en la categoría de servicios con mejor rendimiento de todo el sector. Los datos sobre márgenes de CyVent refuerzan esta conclusión: los MSP que ofrecían servicios de EDR gestionado registraron unos márgenes brutos medios del 42 % en 2024, 18 puntos porcentuales por encima de los del soporte antivirus tradicional. Y lo que es más importante, se trata de un servicio que a los clientes les resulta realmente difícil replicar por sí mismos, lo que genera una fidelización auténtica.

Un MSP típico que gestione 300 terminales repartidos entre 15 clientes de pymes puede ofrecer un servicio de EDR gestionado como una partida mensual por terminal, que se suma a su servicio de RMM ya existente. El coste adicional de la prestación del servicio es bajo. El valor que aporta a los clientes y el diálogo que permite entablar sobre la madurez en materia de seguridad es elevado.

También hay que tener en cuenta el aspecto del posicionamiento competitivo. Los MSP que apuestan por MEDR se posicionan como socios de seguridad, y no solo como proveedores de servicios de reparación de averías informáticas. Esto transforma la relación con el cliente y hace más difícil que un competidor de bajo coste les supere únicamente en precio.

EDR gestionado frente a MDR: ¿en qué se diferencian?

Esta es la pregunta que surge con más frecuencia cuando los MSP están desarrollando su gama de servicios de seguridad.

El EDR gestionado se centra en los terminales. El servicio supervisa, detecta y responde a las amenazas en dispositivos individuales: portátiles, ordenadores de sobremesa y servidores. Está diseñado específicamente para cubrir los terminales y proporciona datos de telemetría detallados desde el nivel del dispositivo.

La detección y respuesta gestionadas (MDR) tienen un alcance más amplio. Un servicio de MDR suele supervisar los terminales, pero también recopila datos de telemetría del tráfico de red, los cortafuegos, los entornos en la nube y los sistemas de identidad, correlacionando las señales en todo el entorno de TI. Además, los proveedores de MDR suelen gestionar un centro de operaciones de seguridad (SOC) completo y ofrecen servicios como la búsqueda proactiva de amenazas, contratos de respuesta ante incidentes e informes para la dirección.

Para los socios de Kaseya, están disponibles ambas opciones:

Datto EDR es la capa de herramientas: una solución de software EDR que los MSP implementan y gestionan en nombre de sus clientes. Los socios controlan el servicio, fijan sus propios precios y lo prestan a través de su flujo de trabajo RMM ya existente.
Kaseya MDR (anteriormente RocketCyber) es un servicio de centro de operaciones de seguridad (SOC) totalmente gestionado. Los analistas de seguridad de Kaseya supervisan los terminales, Microsoft 365 y los cortafuegos las 24 horas del día, los 7 días de la semana, clasificando las alertas y tomando medidas de respuesta en nombre del proveedor de servicios gestionados (MSP). La supervisión abarca una superficie de ataque más amplia que la de los terminales por sí solos, y la labor de los analistas corre a cargo de Kaseya, no del propio equipo del MSP.

Ambas opciones no son mutuamente excluyentes. Muchos MSP utilizan Datto EDR como capa de terminales dentro de una implementación de Kaseya MDR, lo que les permite combinar la profundidad de la telemetría de EDR con la amplitud y la cobertura de los analistas de un servicio MDR completo. Otros utilizan Datto EDR de forma independiente, gestionando ellos mismos la capa de terminales y fijando su precio como una referencia de seguridad distinta.

El enfoque más adecuado depende de la capacidad de seguridad del propio MSP y de los clientes a los que presta servicio. Un MSP que cuente con un equipo de seguridad con experiencia puede gestionar MEDR de forma rentable internamente. Un MSP que no disponga de personal dedicado a la seguridad, o que desee ampliar la cobertura a clientes con requisitos de seguridad más exigentes, encontrará en Kaseya MDR una forma práctica de ofrecer protección de nivel SOC sin tener que desarrollar esa capacidad desde cero.

Cómo pueden los MSP ofrecer servicios gestionados de EDR

Para crear una línea de negocio de EDR gestionado no es necesario empezar desde cero. La mayoría de los MSP ya cuentan con la infraestructura necesaria. Lo que necesitan es un modelo de servicio claro y la disciplina necesaria para prestarlo de forma coherente.

Paso 1: Define tus niveles de servicio

Un servicio de EDR gestionado no tiene por qué ser igual para todos. Plantéate estructurarlo por niveles:

Fundamental: implementación de EDR, respuesta automatizada y informes mensuales
Nivel avanzado: EDR, junto con la detección proactiva de amenazas y revisiones de seguridad trimestrales
Premium: EDR combinado con una cobertura completa de MDR, lo que ofrece a los clientes una respuesta y una gestión de incidentes respaldadas por el SOC las 24 horas del día, los 7 días de la semana.

La estructura de precios por niveles facilita el crecimiento de las cuentas de los clientes a medida que evolucionan sus necesidades de seguridad y aumentan los requisitos de cumplimiento normativo.

Paso 2: Integra el EDR en tu flujo de trabajo actual

La rentabilidad operativa de MEDR depende en gran medida de lo bien que se adapte a las herramientas que ya utilizas. Una plataforma EDR que se integre de forma nativa con tu RMM te permite implementar agentes, gestionar alertas y responder a incidentes desde una única consola. Una que requiera un flujo de trabajo completamente independiente añade una carga adicional que merma rápidamente el margen del servicio.

Antes de elegir una plataforma, planifica cómo se integrarán las alertas en tu sistema de gestión de servicios (PSA) para la creación de tickets, cómo se llevará a cabo la implementación en los entornos de los clientes y cómo se generarán los informes. Las respuestas a estas preguntas deben servir de base para decidir qué producto vas a adoptar como estándar.

Paso 3: Elaborar un manual de respuesta

Los clientes esperan que se les explique con claridad qué ocurre cuando se detecta una amenaza. Documenta tus procedimientos de respuesta, indicando qué factores desencadenan una alerta, quién la revisa, qué medidas se adoptan en cada nivel de gravedad y cómo te comunicas con el cliente durante y después de un incidente. Este manual de procedimientos también es una prueba de tu competencia, algo que puedes mostrar a los clientes potenciales durante el proceso de venta.

Paso 4: Vincularlo al cumplimiento normativo

Los marcos normativos exigen cada vez más la supervisión continua de los terminales. La HIPAA exige medidas de seguridad adecuadas para la información sanitaria protegida en formato electrónico. La norma PCI DSS v4.0 exige protección contra el malware en todos los sistemas. El nivel de madurez 2 del CMMC exige protección de los terminales y capacidad de respuesta ante incidentes. El EDR gestionado es el control técnico que cumple estos requisitos. Incluye la documentación de auditoría como un elemento estándar del servicio, no como un complemento.

Paso 5: Presentar informes periódicamente

Los informes de seguridad mensuales son uno de los resultados de mayor valor que puede ofrecer un MSP. Demuestran que el servicio funciona, ponen de manifiesto las tendencias en la actividad de las amenazas y proporcionan a los clientes algo tangible que mostrar a sus propios directivos o a los auditores de cumplimiento normativo. Haz que la elaboración de informes sea una parte habitual del servicio, no algo que se añada a última hora.

Cómo elegir un proveedor de EDR gestionado

Tanto si eres un MSP que está evaluando una herramienta de EDR para desarrollar un servicio, como si eres una empresa que busca un proveedor de EDR gestionado, estos son los factores más importantes:

Grado de cobertura de los terminales
La plataforma debe ser compatible con todos los tipos de terminales de tu entorno: Windows, macOS y Linux —en el caso de la mayoría de las organizaciones—, además de servidores y máquinas virtuales. Comprueba si las cargas de trabajo alojadas en la nube están cubiertas, en caso de que formen parte de tu infraestructura.

La calidad de la detección prima sobre el volumen de alertas
Una plataforma que genera miles de alertas de baja calidad no te protege; lo único que hace es agotar a tu equipo. Pregunta a los proveedores cuáles son sus índices de falsos positivos y cómo ajustan las detecciones. Las mejores plataformas se centran en los comportamientos que más importan, no en maximizar el número de alertas.

Integración con tu entorno actual
Un MEDR que no se integre con tu PSA o RMM genera fricciones operativas que merman la rentabilidad del servicio. Da prioridad a las plataformas que se adapten de forma natural a las herramientas que ya utilizas.

Capacidad de respuesta
Averigua exactamente qué medidas de respuesta incluye el servicio. ¿Puede el proveedor aislar un terminal de forma remota? ¿Restaurar archivos cifrados? ¿Proporcionar análisis forense de cada incidente confirmado? La capacidad de respuesta es donde el EDR gestionado justifica su precio, así que asegúrate de que la capacidad se ajusta a lo prometido.

Disponibilidad de los analistas
Si la supervisión 24 horas al día, 7 días a la semana forma parte de la propuesta de valor, compruébalo. Pregunta cuál es el tiempo medio de respuesta ante una alerta de alta gravedad a las 2 de la madrugada de un domingo. La respuesta te dirá mucho sobre si el servicio cuenta realmente con personal o si simplemente está automatizado y lleva una etiqueta «humana».

Documentación de cumplimiento normativo
Si los clientes pertenecen a sectores regulados, necesitan algo más que seguridad; necesitan pruebas. Asegúrate de que la plataforma genere los registros de auditoría, los informes de incidentes y la documentación forense que exigen los marcos de cumplimiento normativo.

Procedimiento de escalación
Incluso un MSP que cuente con los recursos adecuados se enfrentará en ocasiones a un incidente que supere su capacidad interna. Es importante conocer de antemano cuál es el procedimiento de escalación, ya sea al equipo de seguridad del propio proveedor de EDR, a un proveedor de MDR independiente o a un servicio de respuesta a incidentes contratado.

Ofrece un servicio de EDR gestionado con Kaseya

La tecnología EDR ha madurado hasta tal punto que es capaz de detectar prácticamente todas las amenazas significativas que afectan a los terminales, desde el ransomware y el malware sin archivos hasta los exploits de día cero y las amenazas APT de evolución lenta. El problema para la mayoría de las organizaciones no es la tecnología, sino el personal y los procesos necesarios para actuar ante lo que esta detecta.

MEDR cubre esa brecha. Libera a los equipos de TI, que ya están desbordados, de la gestión de la telemetría, las alertas y las decisiones sobre la respuesta a incidentes, y las pone en manos de analistas cuya labor se centra exclusivamente en la seguridad de los terminales. Para los clientes, esto se traduce en una contención más rápida y menos tiempo de inactividad. Para los MSP, supone un servicio recurrente de alto margen que refuerza la relación con el cliente y ayuda a cumplir los requisitos de cumplimiento normativo, que no van a desaparecer.

Para los MSP que estén desarrollando una línea de negocio de EDR gestionado, Datto EDR proporciona la capa de herramientas. Se trata de una plataforma de detección y respuesta en puntos finales basada en la nube que se implementa rápidamente, se integra con las soluciones RMM de Kaseya y está diseñada específicamente para su prestación por parte de los MSP. Los socios que deseen ampliar la cobertura más allá de los terminales, o que prefieran que los analistas de Kaseya se encarguen de la cola nocturna, pueden incorporar Kaseya MDR para obtener una supervisión completa respaldada por un SOC en todos los terminales, Microsoft 365 y los cortafuegos.

El panorama de amenazas no se está simplificando. Sin embargo, el camino para garantizar una seguridad sólida de los terminales no tiene por qué ser complicado. El EDR gestionado es el punto de partida de ese servicio.

¿Qué es el EDR gestionado (MEDR)? Una guía para empresas y proveedores de servicios gestionados (MSP)