EDR (Endpoint Detection and Response) es una tecnología que registra lo que ocurre en ordenadores y servidores (procesos, archivos, conexiones, inicios de sesión) para detectar comportamientos sospechosos, investigarlos y responder, por ejemplo aislando el equipo de la red.
Cómo funciona
Un agente instalado en cada equipo envía telemetría a una consola central. A diferencia de un antivirus basado en firmas de archivos conocidos, el EDR analiza comportamientos: un documento de ofimática que lanza un intérprete de comandos y descarga código es una cadena sospechosa aunque ningún archivo esté en una lista negra.
La consola permite reconstruir la secuencia de eventos y ejecutar acciones de respuesta: aislar el equipo, finalizar un proceso, poner un archivo en cuarentena o bloquear una cuenta, según el producto y la licencia. El MDR (Managed Detection and Response) añade un equipo de personas que revisa las alertas y actúa como parte del servicio. El XDR amplía la telemetría a identidad, correo y red.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una persona abre un adjunto de correo en su portátil. El documento lanza un script que intenta cifrar archivos de una carpeta compartida. Si el EDR reconoce el comportamiento, aísla el portátil de la red y genera una alerta.
El responsable revisa la cronología, confirma que el resto de equipos no muestran la misma actividad, restablece las credenciales de la persona afectada y comprueba que las copias de seguridad de la carpeta están intactas antes de reincorporar el equipo. El valor no está solo en el aviso, sino en que alguien sabe qué hacer con él.
Límites
El EDR no garantiza detección en tiempo real ni cobertura completa. Los equipos sin agente, los agentes desactivados, los sistemas no compatibles y las reglas mal ajustadas dejan huecos; un equipo que no envía telemetría no debe figurar como sano.
Aislar un equipo también puede interrumpir el trabajo, así que hay que acordar quién puede decidirlo. Una alerta no es un incidente resuelto: hay que investigarla y cerrarla. Y el EDR no sustituye parches, copias de seguridad ni privilegios mínimos. Como recoge actividad de las personas usuarias, conviene definir qué se registra, quién accede a ello y cuánto tiempo se conserva.
Cuándo llamar a un experto
Conviene pedir ayuda cuando hay trabajo híbrido o portátiles fuera de la oficina, cuando nadie revisa las alertas a diario, cuando un cliente, una auditoría o un seguro piden evidencias de protección del puesto de trabajo o cuando ya ha habido un incidente.
Un diagnóstico previo revisa cuántos equipos y servidores hay, qué usuarios tienen privilegios, qué sistemas no admiten agente y quién decide aislar un equipo. En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación, y planteamos EDR y MDR gestionado dentro de una estrategia de ciberseguridad: lee EDR y MDR para empresas, consulta nuestro servicio de ciberseguridad o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: MDR, XDR, SOC, SIEM y ransomware.
Fuentes oficiales (en inglés): las recomendaciones de respuesta a incidentes NIST SP 800-61 Rev. 3 y MITRE ATT&CK, una base de conocimiento pública sobre tácticas y técnicas de atacantes.