Los equipos de seguridad disponen de más herramientas que nunca, pero los ataques siguen colándose. La razón no suele ser la falta de capacidad; las herramientas de seguridad individuales generan datos de forma aislada, sin un contexto común entre ellas. Aquí se activa una alerta en un terminal. Allí aparece un inicio de sesión sospechoso. En otro lugar pasa desapercibida una anomalía en la red. Encajar todas las piezas lleva más tiempo del que disponen la mayoría de los equipos.
La detección y respuesta ampliadas (XDR) se diseñaron para resolver ese problema. Al reunir los datos de telemetría de todo el entorno en una única plataforma de detección y respuesta, la XDR proporciona a los equipos de seguridad la visibilidad unificada que necesitan para detectar amenazas más rápidamente y responder antes de que el daño se extienda. Para los MSP y los equipos de TI que trabajan con personal limitado y con superficies de ataque cada vez mayores, la pila de seguridad de Kaseya, que incluye Datto EDR, Kaseya MDR y Kaseya SIEM, está diseñada para ofrecer esa misma cobertura en todos los entornos sin la complejidad de una plataforma XDR empresarial específica.
¿Qué es la detección y respuesta ampliadas (XDR)?
La detección y respuesta ampliadas (XDR) es un enfoque de seguridad que unifica la telemetría procedente de múltiples capas del entorno informático (terminales, redes, cargas de trabajo en la nube, correo electrónico y sistemas de identidad) en una única plataforma para la detección, la investigación y la respuesta. En lugar de gestionar herramientas independientes que solo ven una parte del panorama, la XDR correlaciona los datos de todas estas áreas para sacar a la luz amenazas que, de otro modo, permanecerían ocultas.
El término fue acuñado por Palo Alto Networks en 2018 y, desde entonces, se ha convertido en uno de los conceptos más debatidos en el ámbito de la seguridad empresarial. Gartner define el XDR como una «plataforma unificada de detección y respuesta ante incidentes de seguridad que recopila y correlaciona automáticamente datos procedentes de múltiples componentes de seguridad propios». Forrester lo describe como «la evolución de la detección y respuesta en endpoints (EDR)», un reconocimiento de que el XDR partió del EDR como núcleo y se amplió para cubrir una mayor superficie de ataque.
En la práctica, el XDR cobra mayor importancia en el intervalo que media entre la detección y la respuesta. Las herramientas de seguridad tradicionales generan alertas de forma aislada. Un analista puede detectar un proceso sospechoso en un terminal, un evento de autenticación extraño en el sistema de identidades y una conexión saliente inusual en la red, sin que haya indicios de que estos tres eventos formen parte del mismo ataque. El XDR conecta automáticamente esos puntos, creando cronologías de los ataques y correlacionando eventos entre diferentes fuentes, de modo que los analistas investiguen incidentes en lugar de alertas individuales.
Cómo funciona el XDR
XDR funciona como un proceso de tres etapas. Cada etapa se basa en la anterior, transformando los datos brutos de todo el entorno en incidentes priorizados y sobre los que se puede actuar.
Importar y normalizar
XDR comienza recopilando datos de telemetría de todas las herramientas de seguridad y fuentes de datos conectadas. Esto incluye agentes en los terminales, cortafuegos, pasarelas de correo electrónico, proveedores de identidad, plataformas en la nube y aplicaciones SaaS. Dado que cada una de estas fuentes genera datos en diferentes formatos y esquemas, XDR normaliza toda la información en un modelo de datos común antes de iniciar cualquier análisis.
Este paso de normalización es lo que hace posible la correlación entre fuentes. Sin él, no es posible comparar de forma significativa un evento procedente de un agente de terminal y otro procedente de una plataforma de identidad en la nube, ya que describen la realidad en términos incompatibles. La estandarización de los datos en el momento de su ingesta es fundamental para todo lo que viene después.
Correlacionar y detectar
A medida que los datos normalizados llegan desde todo el entorno, la plataforma XDR aplica análisis, reglas de detección y modelos de aprendizaje automático para identificar actividades sospechosas. Es aquí donde el XDR ofrece su principal ventaja frente a las herramientas aisladas. Las detecciones se activan en función de patrones correlacionados, no solo de eventos individuales.
Un solo intento fallido de inicio de sesión es una simple molestia. Una serie de intentos fallidos de inicio de sesión desde una ubicación inusual, seguidos de un inicio de sesión correcto y, a continuación, la ejecución de un proceso en un dispositivo que esa cuenta no suele utilizar. Eso sí que es un incidente. XDR presenta este patrón como una única alerta contextualizada, en lugar de tres eventos independientes ocultos en tres paneles distintos.
Las plataformas XDR modernas también aplican inteligencia sobre amenazas durante esta fase, cotejando los datos recopilados con indicadores de compromiso conocidos y con las técnicas actuales de los actores maliciosos, según el marco MITRE ATT&CK. Esto significa que las detecciones incluyen contexto desde el momento en que se activan, lo que reduce el tiempo que los analistas dedican a investigar qué significa realmente una alerta concreta.
Investigar y responder
Cuando se activa una detección correlacionada, XDR ofrece a los analistas una visión completa del incidente que incluye la cronología de los acontecimientos, los activos y las cuentas afectados, las fuentes de datos que han contribuido a la detección y las medidas de respuesta sugeridas o automatizadas. Esta es la diferencia entre responder a una alerta y responder a un ataque.
Las medidas de respuesta en XDR pueden ser automatizadas, dirigidas por analistas o ambas cosas. Entre las medidas automatizadas más habituales se incluyen aislar de la red un terminal comprometido, bloquear una dirección IP maliciosa, suspender una cuenta de usuario que muestre signos de compromiso o poner en cuarentena un archivo sospechoso. En el caso de decisiones de mayor importancia, XDR proporciona el contexto que los analistas necesitan para tomar decisiones rápidas y fundamentadas, en lugar de tener que dedicar horas a reconstruir lo sucedido.
XDR abierto frente a XDR nativo
No todas las plataformas XDR están diseñadas de la misma manera, y esta distinción es importante a la hora de evaluar cómo encajará una solución en un entorno ya existente. Los dos enfoques principales son el XDR abierto y el XDR nativo.
Open XDR está diseñado para recopilar datos de herramientas de seguridad de cualquier proveedor a través de API abiertas e integraciones preconfiguradas. En lugar de exigir una sustitución completa de la plataforma, Open XDR actúa como una capa de correlación y detección que se superpone a las herramientas que la organización ya esté utilizando. Esto lo hace mucho más práctico para entornos con una combinación de inversiones existentes, lo que describe la mayoría de los entornos reales de los clientes de los proveedores de servicios gestionados (MSP).
El XDR nativo (también denominado «XDR cerrado») es desarrollado y comercializado por un único proveedor, cuyos propios productos de seguridad alimentan la plataforma. La detección, la investigación y la respuesta se llevan a cabo dentro de un mismo ecosistema. Las ventajas son una estrecha integración, una calidad de datos uniforme y una experiencia de usuario más sencilla. La contrapartida es una flexibilidad limitada. A las organizaciones que ya hayan invertido en herramientas de terceros ajenas a la cartera de ese proveedor les puede resultar difícil ampliar el XDR nativo.
Para los MSP que gestionan entornos de clientes diversos en decenas o cientos de empresas, el XDR abierto suele ser la opción más realista. Cada cliente puede tener una combinación diferente de herramientas, sistemas operativos y plataformas en la nube. Un enfoque de detección y respuesta que requiera una dependencia total de un proveedor es difícil de estandarizar a gran escala. Una solución que agrupe los datos de todo lo que ya está implementado resulta mucho más fácil de gestionar desde el punto de vista operativo.
Comparación entre XDR y otras herramientas de detección y respuesta
XDR forma parte de una familia más amplia de tecnologías de detección y respuesta que, a simple vista, pueden parecer similares. A continuación se explica cómo se relaciona con cada una de ellas.
XDR frente a EDR
La detección y respuesta en endpoints (EDR) se centra exclusivamente en los endpoints (estaciones de trabajo, ordenadores portátiles, servidores y dispositivos móviles). Supervisa la actividad de los procesos, los cambios en los archivos, las conexiones de red y otros eventos a nivel de endpoint, y puede aislar un dispositivo o detener un proceso en respuesta a una amenaza detectada. La EDR suele ser el punto de partida de cualquier programa de detección y respuesta y, a menudo, constituye la fuente de datos que alimenta una plataforma XDR.
La diferencia radica en el alcance. El EDR detecta todo lo que ocurre en el terminal. El XDR detecta lo que ocurre en el terminal, además de en la red, la nube, la identidad, el correo electrónico y cualquier otra fuente conectada. Para comprender plenamente un ataque que comienza con un correo electrónico de phishing, pasa por el robo de credenciales y se ejecuta en un terminal, se necesita visibilidad en las tres capas. El EDR puede detectar la fase del terminal; el XDR puede detectarlo todo. Para obtener un análisis más detallado, consulta «EDR frente a XDR».
XDR frente a MDR
La detección y respuesta gestionadas (MDR) es un servicio, no una plataforma. Los proveedores de MDR combinan tecnología de detección y respuesta con un equipo de analistas humanos que supervisan, investigan y responden en nombre del cliente. XDR es el enfoque tecnológico subyacente; MDR es la forma en que esa capacidad se ofrece como servicio gestionado.
En la práctica, muchos servicios de MDR se ejecutan en plataformas XDR o utilizan la correlación de múltiples fuentes, al estilo de XDR, como parte de su metodología de detección. Para las organizaciones que desean una visibilidad al nivel de XDR sin contar con personal interno para gestionar una plataforma XDR, el MDR es la opción más práctica. Ambos son complementarios, no competidores. Obtén más información en nuestra publicación sobre MDR frente a XDR.
XDR frente a NDR
La detección y respuesta de red (NDR) se centra en el tráfico de red, analizando flujos, protocolos y patrones de comunicación en toda la capa de red para identificar movimientos laterales, la filtración de datos y las amenazas a los dispositivos no gestionados. La NDR detecta lo que los terminales no pueden, ya que captura la actividad de dispositivos que no tienen ningún agente instalado.
XDR puede incorporar NDR como una de sus fuentes de datos. Cuando lo hace, los eventos de la capa de red pasan a formar parte de la misma vista de incidentes correlacionados que los eventos de los terminales y de la nube, lo que proporciona a los analistas una visión completa de las tres capas al mismo tiempo.
XDR frente a SIEM
La gestión de información y eventos de seguridad (SIEM) recopila y correlaciona datos de registro de todo el entorno, de forma similar a lo que hace el XDR. Las diferencias clave residen en la arquitectura y la finalidad. El SIEM tradicional se diseñó para la agregación de registros con fines de cumplimiento normativo y requería un importante ajuste manual para generar detecciones útiles. Genera un gran volumen de alertas y, por lo general, deja las tareas de investigación y respuesta en manos del equipo de analistas.
XDR está diseñado específicamente para la detección y la respuesta, con modelos de correlación listos para usar, investigación automatizada y medidas de respuesta integradas. En lugar de generar registros para su revisión, destaca los incidentes para que se tomen medidas. En entornos en los que se implementan ambos, el SIEM suele encargarse de la conservación de registros a largo plazo y de la elaboración de informes de cumplimiento normativo, mientras que el XDR se ocupa de la detección y la respuesta a amenazas en tiempo real. Para una comparación detallada, consulte «XDR frente a SIEM».
XDR frente a SOAR
La orquestación, automatización y respuesta de seguridad (SOAR) automatiza los flujos de trabajo necesarios para responder a incidentes de seguridad, coordinando acciones entre múltiples herramientas, ejecutando guiones de respuesta y reduciendo los pasos manuales que implican la clasificación y la contención. Mientras que XDR detecta y pone de manifiesto los incidentes, SOAR automatiza lo que viene a continuación. El XDR suele incluir algunas capacidades similares a las de SOAR integradas (aislamiento automatizado, suspensión de cuentas, bloqueo), pero las plataformas SOAR dedicadas van más allá en la personalización de los flujos de trabajo y la orquestación entre herramientas. En entornos de operaciones de seguridad maduros, el XDR y el SOAR se implementan con frecuencia juntos, de modo que el XDR se encarga de la detección y el SOAR de la respuesta orquestada.
Ventajas de XDR
El argumento principal a favor de XDR se basa en un problema práctico. Los equipos de seguridad se ven desbordados por las alertas de herramientas que no se comunican entre sí. XDR aborda este problema directamente, y las ventajas se derivan de la solución:
- Visibilidad unificada: los equipos de seguridad pueden supervisar los dispositivos finales, las redes, la nube y la identidad desde una única consola. Las amenazas que abarcan varias capas —lo que cada vez describe mejor la mayoría de los ataques sofisticados— se visualizan como incidentes unificados, en lugar de como señales inconexas repartidas por distintos paneles de control.
- Detección más rápida: al correlacionar datos de distintas fuentes y aplicar modelos de detección predefinidos, XDR identifica amenazas que pasarían desapercibidas en una revisión manual o con herramientas de una sola fuente. El tiempo medio de detección se reduce, ya que la plataforma realiza el trabajo de correlación que, de otro modo, los analistas tendrían que hacer manualmente.
- Menor fatiga por alertas: XDR filtra el ruido en la fase de correlación, agrupando los eventos relacionados en incidentes y suprimiendo las señales de baja fiabilidad. Los analistas trabajan a partir de una cola de incidentes priorizados en lugar de un flujo de alertas sin filtrar, lo que significa que las amenazas reales reciben atención más rápidamente.
- Respuesta más rápida: gracias a las acciones de respuesta automatizadas y a los guiones de respuesta integrados, la contención puede iniciarse en cuestión de segundos, en lugar de minutos. En el caso de amenazas que se propagan rápidamente, como el ransomware, esa diferencia de velocidad es fundamental.
- Menor complejidad operativa: la sustitución de múltiples soluciones puntuales por una capa unificada de detección y respuesta reduce el número de herramientas, consolas e integraciones que un equipo tiene que gestionar. Para los equipos de TI con recursos limitados, esta simplificación tiene un valor operativo real.
- Mejor contexto de investigación: cuando se activa una alerta, XDR muestra en una sola vista la cronología completa del ataque, los activos afectados y las fuentes de datos relevantes. Los analistas dedican menos tiempo a reconstruir lo sucedido y más tiempo a solucionarlo.
XDR gestionado: XDR como servicio
La gestión de una plataforma XDR requiere algo más que la simple implementación de la tecnología. Es necesario que alguien supervise la cola de incidentes, investigue las detecciones, tome decisiones sobre la respuesta y optimice la plataforma a lo largo del tiempo. Para la mayoría de las pymes y muchos proveedores de servicios gestionados (MSP), no es viable contar con personal interno que se encargue de esa función las 24 horas del día.
El XDR gestionado, también conocido como «XDR como servicio» o «MxDR», resuelve este problema combinando la tecnología XDR con un equipo de analistas de seguridad que gestionan la plataforma en nombre del cliente. El proveedor se encarga de la supervisión continua, la clasificación de alertas, la investigación y la respuesta, mientras que el cliente mantiene la visibilidad a través de paneles de control e informes. Ofrece los resultados de seguridad de un centro de operaciones de seguridad (SOC) con una plantilla completa sin que el cliente tenga que crear uno.
Para los MSP, el XDR gestionado supone una oportunidad significativa. En lugar de esperar que cada cliente de pymes gestione su propio programa de detección y respuesta, el MSP puede ofrecer esa capacidad como un servicio gestionado, ampliando la cobertura a todos los clientes desde una plataforma centralizada. Este modelo se adapta a una escala que la gestión punto por punto y herramienta por herramienta no puede igualar.
La expresión clave a tener en cuenta aquí es «detección y respuesta ampliadas gestionadas», que se refiere específicamente a la tecnología XDR prestada como servicio externalizado. A medida que el managed services ha ido madurando, esta categoría ha crecido rápidamente, impulsada por el hecho de que la mayoría de las organizaciones necesitan una visibilidad al nivel de XDR, pero carecen del personal interno necesario para lograrla por sí mismas.
Cómo ofrece Kaseya las capacidades de XDR
Kaseya no comercializa ningún producto bajo la marca XDR. Lo que ofrece es un conjunto de productos de seguridad estrechamente integrados que, en conjunto, proporcionan los resultados de detección y respuesta en distintos entornos que promete el XDR, adaptados a los entornos en los que realmente trabajan los MSP y los equipos de TI.
Datto EDR proporciona la capa de terminales, realizando una supervisión del comportamiento en Windows, macOS y Linux, con cada detección asignada al marco MITRE ATT&CK. Más de 65 acciones de respuesta automatizadas, la función integrada de restauración ante ataques de ransomware y la integración directa con Datto RMM y Kaseya VSA hacen que la seguridad de los terminales se integre en el mismo flujo de trabajo de gestión que ya utilizan los MSP.
Kaseya MDR ofrece una capa de detección y respuesta gestionadas, con analistas de seguridad con sede en EE. UU. que proporcionan una supervisión continua de los terminales, Microsoft 365 y los cortafuegos. La correlación basada en la inteligencia artificial reduce el ruido de las alertas, lo que permite a los analistas centrarse en las amenazas confirmadas. Para los MSP, se trata de una solución SOC gestionada lista para usar que puede ofrecerse a los clientes sin necesidad de crear un equipo interno de analistas.
Kaseya SIEM se encarga de la correlación entre plataformas y la gestión de registros, unificando los datos de telemetría de los dispositivos finales y las aplicaciones en la nube en un único panel de control con más de 60 conectores nativos y una retención de registros de 400 días. Complementa a Kaseya MDR al encargarse de la agregación de registros y la elaboración de informes de cumplimiento normativo, mientras que MDR se ocupa de la detección y la respuesta en tiempo real.
En esencia, el XDR es un compromiso con la visibilidad. Cuanto más pueda ver un equipo de seguridad del entorno, más rápido y con mayor precisión podrá detectar las amenazas y responder a ellas. Ya sea que esa visibilidad provenga de una plataforma XDR específica o de un conjunto integrado de herramientas diseñadas para ese fin, lo que importa es el resultado. La suite de seguridad de Kaseya está diseñada para que ese resultado sea alcanzable para los equipos que más lo necesitan y que tienen menos margen de error.
