Cada minuto que un atacante pasa dentro de tu red sin ser detectado es un minuto que puede aprovechar para desplazarse lateralmente, sustraer datos o instalar ransomware. El tiempo medio de permanencia de un atacante antes de ser detectado sigue siendo de varias semanas en muchos entornos, y para cuando la mayoría de las organizaciones se dan cuenta de que algo va mal, ya se ha producido un daño considerable. La detección y respuesta ante amenazas (TDR) existe para cerrar esa ventana de oportunidad.
El TDR consiste en supervisar de forma continua un entorno informático para identificar actividades maliciosas y actuar con la suficiente rapidez ante los hallazgos como para evitar daños graves. Va más allá de las defensas perimetrales, como los cortafuegos y el software antivirus, herramientas que detienen las amenazas conocidas en la entrada, pero que nunca se diseñaron para detectar a los atacantes que ya se encuentran en el interior. Los productos de seguridad de Kaseya, incluidos Datto EDR y Kaseya MDR, se han diseñado específicamente para hacer frente a este reto, proporcionando a los MSP y a los equipos de TI la profundidad de detección y la capacidad de respuesta que requieren las amenazas modernas.
Esta guía explica cómo funciona el TDR, qué herramientas y procesos implica, y cómo las organizaciones de cualquier tamaño pueden desarrollar o adquirir una capacidad de detección y respuesta que sea eficaz.
Definición de detección y respuesta ante amenazas (TDR)
El TDR aúna dos disciplinas de seguridad distintas que resultan más eficaces cuando se abordan como un programa unificado.
¿Qué es la detección de amenazas?
La detección de amenazas consiste en supervisar continuamente un entorno informático para identificar indicios de actividad maliciosa. Esto incluye tanto patrones de ataque conocidos que las herramientas de seguridad ya han detectado anteriormente, como comportamientos novedosos que se desvían de lo habitual en un entorno determinado. La detección se basa en datos procedentes simultáneamente de terminales, redes, sistemas de identidad, servicios en la nube y aplicaciones, ya que un atacante rara vez limita su actividad a una sola superficie.
Una detección eficaz no consiste solo en generar alertas. Se trata de generar alertas precisas y útiles, con suficiente contexto para distinguir una amenaza real del ruido habitual. La fatiga por alertas (demasiados falsos positivos) es una de las razones más comunes por las que los programas de TDR fracasan en la práctica.
¿Qué es la respuesta ante amenazas?
La respuesta ante amenazas es lo que ocurre una vez que se ha detectado y confirmado una amenaza. Abarca toda la secuencia de acciones, desde la contención inicial hasta la investigación, la erradicación y la recuperación. Una función de respuesta bien diseñada se ejecuta con rapidez para limitar los daños, de forma sistemática para garantizar que no quede ningún aspecto de la amenaza sin tratar y de manera coherente, de modo que se sigan siempre los mismos pasos, independientemente del analista que esté de guardia.
La respuesta puede ser automatizada, gestionada por personas o ambas cosas. Los programas modernos de respuesta a incidentes de seguridad (TDR) recurren a la automatización para agilizar la fase inicial de contención y a la experiencia humana para las tareas de investigación y corrección que requieren un alto grado de criterio y que se llevan a cabo a continuación.
Por qué es importante el TDR
Las herramientas de seguridad tradicionales están diseñadas para detener las amenazas en la periferia. Funcionan bien con firmas de malware conocidas y patrones de ataque evidentes. Lo que no hacen es detectar a los atacantes que ya han logrado colarse en el sistema: a través de un correo electrónico de phishing, unas credenciales robadas o una vulnerabilidad sin parchear.
Una vez que un atacante ha traspasado el perímetro, el tiempo es la única variable que separa un incidente controlado de una filtración catastrófica. El informe «El coste de una filtración de datos» de IBM de 2024 situó el coste medio de una filtración en 4,88 millones de dólares, y las organizaciones que detectaron las filtraciones más rápidamente registraron sistemáticamente costes más bajos. Las cuentas están claras: una detección más rápida equivale a menos daños.
Para las pymes y los proveedores de servicios gestionados (MSP) que les prestan servicio, lo que está en juego es tan importante como para las grandes empresas, pero los recursos disponibles para responder son mucho más limitados. Una empresa con un equipo de TI de tres personas no puede mantener un centro de operaciones de seguridad operativo las 24 horas del día, los 7 días de la semana. Esa es la brecha que los servicios gestionados de TDR están destinados a cubrir, y es por eso que comprender el TDR es tan importante para una empresa de 100 empleados como lo es para una de 10 000.
Cómo funciona la detección de amenazas
La detección se basa en varios métodos complementarios, cada uno de ellos diseñado para detectar un tipo diferente de amenaza. Ninguna técnica por sí sola lo abarca todo, por lo que los programas de TDR consolidados combinan varios enfoques.
Detección basada en firmas
La detección basada en firmas funciona comparando la actividad de un entorno con una base de datos de indicadores de amenazas conocidas: hash de archivos asociados a malware, direcciones IP vinculadas a infraestructuras de comando y control, patrones de URL utilizados en campañas de phishing y elementos similares. Cuando se encuentra una coincidencia, se activa una alerta.
La detección por firmas es rápida, fiable y genera muy pocos falsos positivos en el caso de las amenazas que conoce. Su limitación fundamental es que no puede detectar lo que nunca ha visto antes. Una variante de malware totalmente nueva o un atacante que actúe exclusivamente a través de herramientas legítimas del sistema no coincidirán con ninguna firma.
Detección de comportamientos
En lugar de buscar artefactos específicos que se sabe que son maliciosos, la detección basada en el comportamiento establece un patrón de referencia de lo que se considera normal en un entorno y señala las desviaciones respecto a él. Una cuenta de usuario que de repente empieza a acceder a cientos de archivos en rápida sucesión puede que no coincida con ninguna firma de malware, pero el patrón es compatible con la preparación de un ataque de ransomware. Una estación de trabajo que inicia conexiones salientes hacia un host externo desconocido a las 2 de la madrugada merece ser investigada, incluso sin que haya coincidencia con ninguna firma.
La contrapartida es un mayor nivel de ruido: distinguir un comportamiento verdaderamente anómalo de una actividad legítima pero inusual requiere un ajuste y, a menudo, el criterio del analista.
Detección heurística y basada en la inteligencia artificial
La detección heurística sirve de puente entre las firmas y el análisis de comportamiento. En lugar de exigir una coincidencia exacta o una infracción de los parámetros de referencia, evalúa archivos, procesos y actividades en función de un conjunto de características sospechosas. Un archivo que no coincida con ninguna firma de malware conocida, pero que presente múltiples rasgos comunes a los ejecutables maliciosos —como código ofuscado o intentos de desactivar herramientas de seguridad—, obtendrá una puntuación lo suficientemente alta como para activar una alerta.
La detección basada en la inteligencia artificial va un paso más allá al aplicar modelos de aprendizaje automático para identificar patrones sutiles que las heurísticas basadas en reglas pasarían por alto, correlacionando señales de baja fiabilidad procedentes de múltiples fuentes de datos para detectar amenazas que ninguna señal por sí sola habría señalado.
Información sobre amenazas e indicadores de compromiso (IOC)
Las fuentes de inteligencia sobre amenazas proporcionan información en tiempo real sobre el panorama actual de amenazas: campañas activas, infraestructura conocida de los atacantes e indicadores de compromiso (IOC), como direcciones IP maliciosas, dominios y hash de archivos. Al incorporar esta inteligencia externa, las herramientas de TDR pueden tomar decisiones de detección con un contexto más amplio del que cualquier entorno individual podría desarrollar por sí solo.
Una conexión saliente que parece tráfico rutinario se convierte inmediatamente en un motivo de actuación cuando se relaciona con una infraestructura asociada a un grupo de ransomware conocido. La inteligencia sobre amenazas también facilita la configuración proactiva: saber qué técnicas prefiere un actor malicioso concreto, en relación con el marco MITRE ATT&CK, ayuda a los equipos de seguridad a configurar reglas de detección antes de encontrarse con esos patrones en un incidente real.
Cómo funciona la respuesta ante amenazas
La detección sin respuesta no es más que una alarma ante la que nadie reacciona. La parte de respuesta del TDR es lo que convierte una amenaza detectada en un incidente controlado y resuelto, en lugar de en una filtración de datos.
Contención, erradicación y recuperación
Cuando se confirma una detección, la prioridad inmediata es la contención: evitar que la amenaza se propague o cause más daños mientras se lleva a cabo la investigación. Entre las medidas de contención habituales se incluyen aislar un terminal infectado de la red, bloquear una dirección IP o un dominio sospechoso, desactivar una cuenta de usuario comprometida o poner en cuarentena un archivo malicioso.
La erradicación sigue a la contención. Una vez que se conoce el alcance total del incidente, el equipo de seguridad elimina por completo la amenaza del entorno: borra los archivos maliciosos, corrige la vulnerabilidad que se ha aprovechado y elimina cualquier mecanismo de persistencia del atacante. A continuación, la recuperación vuelve a poner en funcionamiento los sistemas afectados en un estado comprobado, ya sea mediante la restauración de copias de seguridad o la reinstalación del sistema operativo en los terminales.
Respuesta automatizada frente a respuesta gestionada por personas
Muchas plataformas de TDR pueden ejecutar medidas de contención de forma automática cuando se activa una detección de alta fiabilidad: aislar un terminal, revocar una sesión activa o bloquear una conexión de red en cuestión de segundos. La respuesta automatizada es fundamental para frenar amenazas de rápida propagación, como el ransomware, en las que el margen de tiempo entre la ejecución inicial y la propagación generalizada del daño puede medirse en minutos.
El criterio humano sigue siendo fundamental en las decisiones de mayor importancia: evaluar el alcance total del incidente, comunicarse con las partes interesadas y decidir cómo restablecer el servicio. Los mejores programas de TDR combinan la rapidez de la automatización con la experiencia de los analistas, utilizando la automatización para ganar tiempo y a las personas para dirigir la investigación.
Amenazas habituales que aborda el TDR
Los programas de TDR están diseñados para detectar las amenazas que los controles preventivos no detectan. Entre los más comunes se incluyen:
El ransomware es la amenaza que más daños operativos causa a la mayoría de las organizaciones. Las herramientas de TDR detectan patrones de comportamiento específicos del ransomware (actividad de cifrado masivo de archivos, eliminación de instantáneas de sistema, transferencias de datos salientes inusuales) y pueden activar respuestas de aislamiento automatizadas con la rapidez suficiente para limitar el alcance del ataque.
Las amenazas persistentes avanzadas (APT) consisten en atacantes que se mueven de forma lenta y deliberada por un entorno para evitar activar alertas evidentes. La detección basada en el comportamiento y la búsqueda de amenazas son las principales herramientas para detectar la actividad de las APT, que puede prolongarse durante días o semanas sin que coincida con ninguna firma conocida.
Las amenazas internas abarcan tanto las acciones maliciosas de empleados o contratistas como la exposición involuntaria provocada por unas prácticas de seguridad deficientes. En este contexto, resultan especialmente relevantes los análisis de comportamiento que detectan patrones inusuales de acceso a los datos, inicios de sesión fuera del horario laboral o descargas masivas de archivos.
Los ataques basados en credenciales utilizan credenciales robadas o obtenidas mediante fuerza bruta para autenticarse como usuarios legítimos. El TDR los detecta a través de anomalías de comportamiento: inicios de sesión desde ubicaciones inusuales, acceso a recursos a los que la cuenta no suele acceder o patrones de autenticación que no se ajustan al historial del usuario.
El malware sin archivos y las técnicas «living-off-the-land» hacen uso indebido de herramientas legítimas del sistema —como PowerShell, WMI y las tareas programadas— para llevar a cabo actividades maliciosas sin necesidad de instalar un ejecutable tradicional. La detección basada en el comportamiento y la telemetría es la única forma fiable de detectarlas.
El ciclo de vida del TDR
El TDR es un ciclo continuo, no un proceso puntual. El ciclo consta de cinco fases que se repiten mientras el entorno esté en funcionamiento:
- Supervisión: Las herramientas de seguridad recopilan datos de telemetría de forma continua desde los dispositivos finales, las redes, los entornos en la nube, los sistemas de identidad y las aplicaciones. Los puntos ciegos en la supervisión se convierten en puntos ciegos en la detección.
- Detección: Los motores de análisis, las reglas de correlación y la inteligencia sobre amenazas procesan los datos de telemetría recopilados para detectar actividades sospechosas. Una buena lógica de detección filtra el ruido y destaca los eventos que son realmente anómalos.
- Investigar: una alerta detectada no es necesariamente una amenaza confirmada. Los analistas la examinan en su contexto: ¿qué más estaba ocurriendo en ese terminal?, ¿qué hizo la cuenta de usuario en las horas previas?, ¿coincide este comportamiento con los patrones conocidos de los atacantes?
- Respuesta: Las amenazas confirmadas activan los procedimientos de contención y erradicación. Un manual de respuesta documentado determina la rapidez y la coherencia con que el equipo actúa bajo presión.
- Más información: Una vez resuelto el incidente, se lleva a cabo un análisis posterior que recoge lo que ocurrió, qué funcionó y qué hay que mejorar. La información obtenida se incorpora a las reglas de detección, lo que hace que el programa mejore de forma cuantificable con el tiempo.
Herramientas, soluciones y servicios de detección y respuesta ante amenazas
El TDR no es un producto en sí mismo, sino un resultado que se consigue mediante una combinación de herramientas, procesos y personas. Varias categorías tecnológicas contribuyen a ese resultado:
- La detección y respuesta en endpoints (EDR) instala agentes en dispositivos individuales para supervisar de forma continua la actividad de los procesos, los cambios en los archivos, las conexiones de red y otros datos de telemetría a nivel de endpoint. La EDR suele ser la base de una pila de TDR. Obtén más información en nuestra guía sobre detección y respuesta en endpoints.
- La gestión de información y eventos de seguridad (SIEM) recopila datos de registros y eventos de todo el entorno y aplica reglas de correlación para detectar amenazas que afectan a varios sistemas. Mientras que el EDR se centra en los terminales individuales, el SIEM ofrece una visibilidad global del entorno. Para más información, consulta nuestra introducción al SIEM.
- La detección y respuesta gestionadas (MDR) aportan el factor humano: un equipo de analistas de seguridad que supervisa su entorno las 24 horas del día, investiga las alertas y toma medidas de respuesta en su nombre. Para las organizaciones que no cuentan con un centro de operaciones de seguridad (SOC) interno, el MDR es la vía más práctica para disponer de una cobertura de detección y respuesta (TDR) ininterrumpida. Consulte nuestra guía explicativa sobre el MDR.
- La detección y respuesta en red (NDR) supervisa los patrones y flujos de tráfico en la capa de red. La NDR resulta especialmente eficaz a la hora de detectar movimientos laterales y la filtración de datos que podrían pasar desapercibidos si se utilizaran únicamente herramientas basadas en los terminales o en los registros.
- La detección y respuesta ampliadas (XDR) unifican la telemetría procedente de los dispositivos finales, la red, la identidad, la nube y el correo electrónico en una única plataforma de detección y respuesta, lo que reduce los puntos ciegos que se derivan del uso de herramientas aisladas. Profundiza en los fundamentos de la XDR.
- La detección y respuesta en la nube (CDR) aplica los principios del TDR a los entornos en la nube, supervisando las aplicaciones SaaS, la infraestructura en la nube y la actividad de los usuarios en busca de indicios de vulnerabilidades. Cubre un vacío de seguridad para el que las herramientas tradicionales de puntos finales y de red no estaban diseñadas. Descubre cómo funciona la detección y respuesta en la nube.
- La detección y respuesta ante amenazas a la identidad (ITDR) se centra en los ataques dirigidos a los sistemas de identidad y las cuentas de usuario, lo que incluye el robo de credenciales, la escalada de privilegios y el movimiento lateral a través de identidades comprometidas, uno de los vectores de acceso inicial más comunes en la actualidad.
- La orquestación, automatización y respuesta en materia de seguridad (SOAR) integra las herramientas de TDR y automatiza los flujos de trabajo de respuesta. Mientras que las herramientas individuales se encargan de la detección y la contención, SOAR coordina el plan de respuesta completo y garantiza una ejecución coherente en todos los incidentes.
Creación de un programa de TDR: buenas prácticas para equipos con recursos limitados
El camino práctico para los MSP y los equipos de TI pasa por cuatro prioridades.
Consigue visibilidad antes de optimizar la detección
No se puede detectar lo que no se ve. Antes de invertir en análisis avanzados, asegúrate de que tienes un agente EDR instalado en cada terminal, de que tu plataforma SIEM o MDR está recopilando los registros de los sistemas críticos y de que tus entornos en la nube y SaaS se supervisan junto con la infraestructura local. Las brechas de cobertura son el lugar donde se esconden los atacantes.
Opte por la gestión externalizada en lugar de la gestión manual cuando la dotación de personal sea un obstáculo
. Crear una capacidad interna de detección y respuesta las 24 horas del día, los 7 días de la semana, requiere unos niveles de personal que la mayoría de las pymes no pueden mantener. Los servicios MDR ofrecen una cobertura continua por parte de analistas sin necesidad de contratar ni retener a personal especializado en seguridad. Para los MSP, ofrecer MDR como servicio gestionado a sus clientes supone tanto un factor diferenciador en materia de seguridad como una fuente de ingresos recurrentes.
Integra tus herramientas
Un programa de TDR en el que el EDR, el SIEM y el MDR funcionan de forma aislada genera más trabajo y ralentiza la respuesta, en comparación con uno en el que comparten datos y contexto. Cuando una alerta del EDR se transmite automáticamente al SIEM para su correlación y tu equipo de MDR puede ver el panorama completo, las investigaciones se resuelven más rápido y se pasan por alto menos amenazas.
Mide el tiempo de permanencia
La métrica más útil para un programa de TDR es el tiempo medio de detección (MTTD): ¿cuánto tiempo tarda tu programa en identificar la intrusión después de que un atacante haya conseguido el acceso? Si lo combinas con el tiempo medio de respuesta (MTTR), obtendrás una visión clara y objetiva de la eficacia del programa a lo largo del tiempo.
Cómo ayuda Kaseya en la detección y respuesta ante amenazas
La solución de seguridad de Kaseya ofrece una visión completa del TDR para los proveedores de servicios gestionados (MSP) y los equipos de TI que necesitan una detección de nivel empresarial sin la complejidad que ello conlleva.
Datto EDR proporciona una capa de detección en los terminales con supervisión continua del comportamiento, alertas alineadas con el marco MITRE ATT&CK, más de 65 acciones de respuesta automatizadas y una función integrada de restauración ante ataques de ransomware. Kaseya MDR incorpora analistas con sede en EE. UU. que supervisan su entorno las 24 horas del día, con correlación basada en inteligencia artificial para filtrar el ruido de las alertas en los terminales, Microsoft 365 y los cortafuegos.
Kaseya SIEM unifica la telemetría de los dispositivos finales y las aplicaciones en la nube en un único panel de control con más de 60 conectores nativos y una retención de registros de 400 días, diseñado para funcionar en combinación con la capa MDR en lugar de sustituirla. Para los equipos que estén sopesando entre MDR y SIEM o que estén analizando cómo se complementan EDR y SIEM, ambas soluciones se complementan entre sí.
Para las necesidades de CDR, SaaS Alerts amplía la cobertura a Microsoft 365, Google Workspace, Salesforce y otras aplicaciones SaaS, integrando las detecciones de la nube y de la capa de identidad directamente en el mismo panel de control SIEM.
