¿Qué es la detección y respuesta ante amenazas (TDR)?
Cada minuto que un atacante pasa dentro de tu red sin ser detectado es un minuto que puede aprovechar para desplazarse lateralmente, sustraer datos o instalar ransomware. El tiempo medio de permanencia de un atacante antes de ser detectado sigue siendo de varias semanas en muchos entornos, y para cuando la mayoría de las organizaciones se dan cuenta de que algo va mal, ya se ha producido un daño considerable. La detección y respuesta ante amenazas (TDR) existe para cerrar esa ventana de oportunidad.
El TDR consiste en supervisar de forma continua un entorno informático para identificar actividades maliciosas y, a continuación, actuar ante dichos hallazgos con la rapidez suficiente para evitar daños graves. Va más allá de las defensas perimetrales, como los cortafuegos y el software antivirus, herramientas que detienen las amenazas conocidas en la entrada, pero que nunca se diseñaron para detectar a los atacantes que ya se encuentran en el interior. Los productos de seguridad de Kaseya, entre los que se incluyen Datto EDR y Kaseya MDR, se han desarrollado específicamente para hacer frente a este reto, proporcionando a los MSP y a los equipos de TI la profundidad de detección y la capacidad de respuesta que exigen las amenazas actuales.
Esta guía explica cómo funciona el TDR, qué herramientas y procesos implica, y cómo las organizaciones de cualquier tamaño pueden desarrollar o adquirir una capacidad de detección y respuesta que resulte eficaz.
Definición de «detección y respuesta ante amenazas» (TDR)
El TDR aúna dos disciplinas de seguridad distintas que resultan más eficaces cuando se abordan como un programa unificado.
¿Qué es la detección de amenazas?
La detección de amenazas consiste en supervisar de forma continua un entorno informático para identificar indicios de actividad maliciosa. Esto incluye tanto patrones de ataque conocidos que las herramientas de seguridad ya han detectado anteriormente, como comportamientos novedosos que se desvían de lo habitual en un entorno determinado. La detección se basa en datos procedentes simultáneamente de terminales, redes, sistemas de identidad, servicios en la nube y aplicaciones, ya que es raro que un atacante limite su actividad a una única superficie de ataque.
Una detección eficaz no consiste únicamente en generar alertas. Se trata de generar alertas precisas y útiles, con suficiente contexto para distinguir una amenaza real del ruido habitual. La fatiga por alertas (demasiados falsos positivos) es una de las razones más comunes por las que los programas de TDR fracasan en la práctica.
¿Qué es la respuesta ante amenazas?
La respuesta ante amenazas es lo que ocurre tras detectar y confirmar una amenaza. Abarca toda la secuencia de acciones, desde la contención inicial hasta la investigación, la erradicación y la recuperación. Una función de respuesta bien diseñada actúa con rapidez para limitar los daños, de forma sistemática para garantizar que no quede ningún aspecto de la amenaza sin tratar y de manera coherente, de modo que se sigan siempre los mismos pasos, independientemente del analista que esté de guardia.
La respuesta puede ser automatizada, dirigida por personas o ambas cosas. Los programas modernos de TDR utilizan la automatización para agilizar la fase inicial de contención y recurren a la experiencia humana para las tareas de investigación y corrección que requieren un alto grado de criterio y que se llevan a cabo a continuación.
Por qué es importante el TDR
Las herramientas de seguridad tradicionales están diseñadas para detener las amenazas en el perímetro. Funcionan bien con las firmas de malware conocidas y los patrones de ataque evidentes. Lo que no hacen es detectar a los atacantes que ya han logrado colarse en el sistema: a través de un correo electrónico de phishing, unas credenciales robadas o una vulnerabilidad sin parchear.
Una vez que un atacante ha traspasado el perímetro, el tiempo es la única variable que separa un incidente controlado de una filtración catastrófica. El informe de IBM de 2024 sobre el coste de las filtraciones de datos situó el coste medio de una filtración en 4,88 millones de dólares, y las organizaciones que detectaron las filtraciones más rápidamente registraron sistemáticamente costes más bajos. Las cuentas están claras: una detección más rápida equivale a menos daños.
Para las pymes y los MSP que les prestan servicio, lo que está en juego es tan importante como para las grandes empresas, pero los recursos disponibles para responder son mucho más limitados. Una empresa con un equipo de TI formado por tres personas no puede mantener un centro de operaciones de seguridad operativo las 24 horas del día, los 7 días de la semana. Esa es la brecha que los servicios gestionados de TDR vienen a cubrir, y por eso comprender el TDR es tan importante para una empresa de 100 empleados como para una de 10 000.
Cómo funciona la detección de amenazas
La detección se basa en varios métodos complementarios, cada uno de ellos diseñado para detectar un tipo diferente de amenaza. Ninguna técnica por sí sola lo abarca todo, por lo que los programas de TDR consolidados combinan varios enfoques.
Detección basada en firmas
La detección basada en firmas consiste en comparar la actividad de un entorno con una base de datos de indicadores conocidos como maliciosos: hash de archivos asociados a malware, direcciones IP vinculadas a infraestructuras de comando y control, patrones de URL utilizados en campañas de phishing y elementos similares. Cuando se encuentra una coincidencia, se activa una alerta.
La detección por firmas es rápida, fiable y genera muy pocos falsos positivos para las amenazas que conoce. Su limitación fundamental es que no puede detectar lo que nunca ha visto antes. Una variante de malware totalmente nueva o un atacante que actúe exclusivamente a través de herramientas legítimas del sistema no coincidirá con ninguna firma.
Detección de comportamientos
En lugar de buscar artefactos específicos que se sabe que son maliciosos, la detección basada en el comportamiento establece una referencia de lo que se considera normal en un entorno y señala las desviaciones respecto a ella. Una cuenta de usuario que, de repente, empieza a acceder a cientos de archivos en rápida sucesión puede que no coincida con ninguna firma de malware, pero el patrón es compatible con la preparación de un ataque de ransomware. Una estación de trabajo que inicia conexiones salientes hacia un host externo desconocido a las 2 de la madrugada merece ser investigada, incluso sin que haya una coincidencia de firma.
La contrapartida es un mayor nivel de ruido: distinguir un comportamiento verdaderamente anómalo de una actividad legítima, aunque inusual, requiere un ajuste y, a menudo, el criterio del analista.
Detección heurística y basada en la inteligencia artificial
La detección heurística sirve de puente entre las firmas y el análisis de comportamiento. En lugar de exigir una coincidencia exacta o una infracción de los parámetros de referencia, asigna una puntuación a los archivos, procesos y actividades en función de un conjunto de características sospechosas. Un archivo que no coincida con ninguna firma de malware conocida, pero que presente múltiples rasgos comunes a los ejecutables maliciosos —como código ofuscado o intentos de desactivar herramientas de seguridad—, obtendrá una puntuación lo suficientemente alta como para activar una alerta.
La detección basada en IA va un paso más allá al aplicar modelos de aprendizaje automático para identificar patrones sutiles que las heurísticas basadas en reglas pasarían por alto, correlacionando señales de baja fiabilidad procedentes de múltiples fuentes de datos para detectar amenazas que ninguna señal por sí sola habría señalado.
Información sobre amenazas e indicadores de compromiso (IOC)
Las fuentes de inteligencia sobre amenazas proporcionan información en tiempo real sobre el panorama actual de amenazas: campañas activas, infraestructura conocida de los atacantes e indicadores de compromiso (IOC), como direcciones IP maliciosas, dominios y hash de archivos. Al incorporar esta inteligencia externa, las herramientas de TDR pueden tomar decisiones de detección con un contexto más amplio del que cualquier entorno por sí solo podría desarrollar.
Una conexión saliente que parece tráfico rutinario se convierte inmediatamente en un motivo de actuación cuando se identifica una coincidencia con la infraestructura asociada a un grupo de ransomware conocido. La inteligencia sobre amenazas también facilita un ajuste proactivo: saber qué técnicas prefiere un actor malicioso concreto, en relación con el marco MITRE ATT&CK, ayuda a los equipos de seguridad a configurar reglas de detección antes de encontrarse con esos patrones en un incidente real.
Cómo funciona la respuesta ante amenazas
La detección sin respuesta no es más que una alarma ante la que nadie reacciona. La parte de «respuesta» del TDR es la que convierte una amenaza detectada en un incidente controlado y resuelto, en lugar de en una filtración de datos.
Contención, erradicación y recuperación
Cuando se confirma una detección, la prioridad inmediata es la contención: evitar que la amenaza se propague o cause más daños mientras se lleva a cabo la investigación. Entre las medidas de contención habituales se incluyen aislar un terminal infectado de la red, bloquear una dirección IP o un dominio sospechoso, desactivar una cuenta de usuario comprometida o poner en cuarentena un archivo malicioso.
La erradicación viene tras la contención. Una vez que se conoce el alcance total del incidente, el equipo de seguridad elimina por completo la amenaza del entorno: borra los archivos maliciosos, corrige la vulnerabilidad que se ha aprovechado y elimina cualquier mecanismo de persistencia del atacante. A continuación, la recuperación vuelve a poner en funcionamiento los sistemas afectados en un estado en el que se sabe que funcionan correctamente, ya sea mediante la restauración de una copia de seguridad o la reinstalación del sistema operativo en los terminales.
Respuesta automatizada frente a respuesta dirigida por personas
Muchas plataformas de TDR pueden ejecutar medidas de contención de forma automática cuando se activa una detección de alta fiabilidad: aislar un terminal, revocar una sesión activa o bloquear una conexión de red en cuestión de segundos. La respuesta automatizada es fundamental para frenar amenazas de rápida propagación, como el ransomware, en las que el margen de tiempo entre la ejecución inicial y la propagación generalizada del daño puede medirse en minutos.
El criterio humano sigue siendo fundamental para las decisiones de mayor importancia: evaluar el alcance total del incidente, comunicarse con las partes interesadas y decidir cómo restablecer el servicio. Los mejores programas de TDR combinan la rapidez de la automatización con la experiencia de los analistas, utilizando la automatización para ganar tiempo y a las personas para dirigir la investigación.
Amenazas habituales a las que se enfrenta el TDR
Los programas de TDR están diseñados para detectar las amenazas que los controles preventivos no detectan. Entre las más habituales se encuentran:
El ransomware es la amenaza que más daños operativos causa a la mayoría de las organizaciones. Las herramientas de TDR detectan patrones de comportamiento específicos del ransomware (actividad de cifrado masivo de archivos, eliminación de copias de seguridad en segundo plano, transferencias de datos salientes inusuales) y pueden activar respuestas de aislamiento automatizadas con la rapidez suficiente para limitar el alcance del ataque.
Las amenazas persistentes avanzadas (APT) consisten en atacantes que se mueven de forma lenta y deliberada por un entorno para evitar activar alertas evidentes. La detección basada en el comportamiento y la búsqueda de amenazas son las principales herramientas para detectar la actividad de las APT, que puede prolongarse durante días o semanas sin que coincida con ninguna firma conocida.
Las amenazas internas abarcan tanto las acciones malintencionadas de empleados o contratistas como la exposición involuntaria provocada por unas prácticas de seguridad deficientes. En este sentido, resultan especialmente relevantes los análisis de comportamiento que detectan patrones inusuales de acceso a los datos, inicios de sesión fuera del horario laboral o descargas masivas de archivos.
Los ataques basados en credenciales utilizan credenciales robadas u obtenidas mediante ataques de fuerza bruta para autenticarse como usuarios legítimos. El TDR los detecta a través de anomalías de comportamiento: inicios de sesión desde ubicaciones inusuales, acceso a recursos a los que la cuenta no suele acceder o patrones de autenticación que no se ajustan al historial del usuario.
El malware sin archivos y las técnicas «living-off-the-land» hacen un uso indebido de herramientas legítimas del sistema —como PowerShell, WMI y las tareas programadas— para llevar a cabo actividades maliciosas sin dejar ningún ejecutable tradicional. La detección basada en el comportamiento y la telemetría es la única forma fiable de detectarlas.
El ciclo de vida del TDR
El TDR es un bucle continuo, no un proceso puntual. El ciclo pasa por cinco fases que se repiten mientras el entorno esté en funcionamiento:
- Supervisión: Las herramientas de seguridad recopilan continuamente datos de telemetría de los terminales, las redes, los entornos en la nube, los sistemas de identidad y las aplicaciones. Los puntos ciegos en la supervisión se convierten en puntos ciegos en la detección.
- Detección: Los motores de análisis, las reglas de correlación y la inteligencia sobre amenazas procesan los datos de telemetría recopilados para detectar actividades sospechosas. Una buena lógica de detección filtra el ruido y destaca los eventos que presentan una anomalía real.
- Investigar: Una alerta detectada no supone automáticamente una amenaza confirmada. Los analistas la examinan en su contexto: ¿qué más estaba ocurriendo en ese terminal?, ¿qué hizo la cuenta de usuario en las horas anteriores?, ¿coincide este comportamiento con los patrones conocidos de los atacantes?
- Respuesta: Las amenazas confirmadas activan las medidas de contención y erradicación. Un manual de respuesta documentado determina la rapidez y la coherencia con las que el equipo actúa bajo presión.
- Más información: Una vez resuelto el incidente, se lleva a cabo un análisis posterior que recoge lo que ocurrió, qué funcionó y qué hay que mejorar. La información obtenida se incorpora a las reglas de detección, lo que hace que el programa mejore de forma cuantificable con el tiempo.
Herramientas, soluciones y servicios de detección y respuesta ante amenazas
El TDR no es un producto en sí mismo, sino un resultado que se consigue mediante una combinación de herramientas, procesos y personas. Hay varias categorías tecnológicas que contribuyen a ese resultado:
- La detección y respuesta en terminales (EDR) instala agentes en dispositivos individuales para supervisar de forma continua la actividad de los procesos, los cambios en los archivos, las conexiones de red y otros datos de telemetría a nivel de terminal. La EDR suele ser la base de una pila de TDR. Obtén más información en nuestra guía sobre detección y respuesta en terminales.
- La gestión de información y eventos de seguridad (SIEM) recopila datos de registros y eventos de todo el entorno y aplica reglas de correlación para detectar amenazas que afectan a varios sistemas. Mientras que el EDR se centra en los terminales individuales, el SIEM ofrece visibilidad en todo el entorno. Obtén más información en nuestra introducción al SIEM.
- La detección y respuesta gestionadas (MDR) aportan el factor humano: un equipo de analistas de seguridad que supervisa su entorno las 24 horas del día, investiga las alertas y toma medidas de respuesta en su nombre. Para las organizaciones que no cuentan con un centro de operaciones de seguridad (SOC) propio, el MDR es la vía más práctica para disponer de cobertura de TDR las 24 horas del día, los 7 días de la semana. Consulte nuestra guía explicativa sobre el MDR.
- La detección y respuesta en red (NDR) supervisa los patrones y flujos de tráfico en la capa de red. La NDR resulta especialmente eficaz a la hora de detectar movimientos laterales y la filtración de datos que podrían pasar desapercibidos si solo se utilizaran herramientas basadas en los terminales o en los registros.
- La detección y respuesta ampliadas (XDR) unifican la telemetría procedente de los terminales, la red, la identidad, la nube y el correo electrónico en una única plataforma de detección y respuesta, lo que reduce los puntos ciegos que se derivan del uso de herramientas aisladas. Profundiza en los fundamentos de la XDR.
- La detección y respuesta en la nube (CDR) aplica los principios del TDR a los entornos en la nube, supervisando las aplicaciones SaaS, la infraestructura en la nube y la actividad de los usuarios en busca de indicios de vulneración. Cubre una laguna de cobertura para la que las herramientas tradicionales de puntos finales y de red no estaban diseñadas. Descubre cómo funciona la detección y respuesta en la nube.
- La detección y respuesta ante amenazas a la identidad (ITDR) se centra en los ataques dirigidos a los sistemas de identidad y las cuentas de usuario, incluyendo el robo de credenciales, la escalada de privilegios y el movimiento lateral a través de identidades comprometidas, uno de los vectores de acceso inicial más comunes en la actualidad.
- La orquestación, automatización y respuesta en materia de seguridad (SOAR) integra las herramientas de TDR y automatiza los flujos de trabajo de respuesta. Mientras que las herramientas individuales se encargan de la detección y la contención, SOAR coordina el plan de respuesta completo y garantiza una ejecución coherente en todos los incidentes.
Creación de un programa de TDR: buenas prácticas para equipos con recursos limitados
El camino práctico para los MSP y los equipos de TI pasa por cuatro prioridades.
Consigue visibilidad antes de optimizar la detección. No se puede detectar lo que no se ve. Antes de invertir en análisis avanzados, asegúrate de que tienes un agente EDR instalado en cada terminal, de que tu plataforma SIEM o MDR está recopilando los registros de los sistemas críticos y de que tus entornos en la nube y SaaS se supervisan junto con la infraestructura local. Las brechas de cobertura son el lugar donde se esconden los atacantes.
Opta por la gestión externalizada en lugar de la gestión manual cuando la dotación de personal sea un obstáculo. Crearuna capacidad interna de detección y respuesta las 24 horas del día, los 7 días de la semana, requiere unos niveles de personal que la mayoría de las pymes no pueden mantener. Los servicios MDR proporcionan una cobertura continua por parte de analistas sin que sea necesario contratar ni retener a personal especializado en seguridad. Para los MSP, ofrecer MDR como servicio gestionado a sus clientes supone tanto un factor diferenciador en materia de seguridad como una fuente de ingresos recurrentes.
Integra tus herramientas: un programa de TDR en el que el EDR, el SIEM y el MDR funcionan de forma aislada genera más trabajo y una respuesta más lenta que uno en el que comparten datos y contexto. Cuando una alerta del EDR se transmite automáticamente a tu SIEM para su correlación y tu equipo de MDR puede ver el panorama completo, las investigaciones se resuelven más rápido y se pasan por alto menos amenazas.
Mide el tiempo de permanencia. El indicador más útil para un programa de TDR es el tiempo medio de detección (MTTD): ¿cuánto tiempo tarda tu programa en identificar la intrusión después de que un atacante haya conseguido el acceso? Si lo combinas con el tiempo medio de respuesta (MTTR), obtendrás una visión clara y objetiva de la eficacia del programa a lo largo del tiempo.
Cómo contribuye Kaseya a la detección y respuesta ante amenazas
La solución de seguridad de Kaseya abarca todo el espectro de TDR para los proveedores de servicios gestionados (MSP) y los equipos de TI que necesitan una detección de nivel empresarial sin la complejidad propia de este tipo de soluciones.
Datto EDR proporciona una capa de detección en los terminales con supervisión continua del comportamiento, alertas alineadas con el marco MITRE ATT&CK, más de 65 acciones de respuesta automatizadas y una función integrada de restauración ante ataques de ransomware. Kaseya MDR incorpora analistas con sede en EE. UU. que supervisan su entorno las 24 horas del día, con correlación basada en inteligencia artificial para filtrar el ruido de las alertas en los terminales, Microsoft 365 y los cortafuegos.
Kaseya SIEM unifica la telemetría de los terminales y las aplicaciones en la nube en un único panel de control con más de 60 conectores nativos y una retención de registros de 400 días, diseñado para funcionar junto con la capa MDR en lugar de sustituirla. Para los equipos que estén sopesando entre MDR y SIEM o que estén analizando cómo funcionan conjuntamente EDR y SIEM, ambas soluciones se complementan entre sí.
Para las necesidades de CDR, SaaS Alerts amplía la cobertura a Microsoft 365, Google Workspace, Salesforce y otras aplicaciones SaaS, incorporando las detecciones de la nube y de la capa de identidad directamente en el mismo panel de control SIEM.
