Aunque ya tengas antivirus, EDR puede seguir siendo útil, porque cumplen papeles distintos. Aquí tienes qué protege EDR y cómo (sin pasos de ataque).
En qué se diferencia del antivirus tradicional
| Aspecto | Antivirus tradicional | EDR |
|---|---|---|
| Base de detección | Firmas conocidas / IOC (hashes) | Comportamiento / IOA (una cadena de actividad) |
| Resistencia a que se cuelen | Débil ante lo sin archivos / abuso de herramientas | Más fácil de atrapar por el comportamiento |
| Investigación a posteriori | Limitada | Una línea de tiempo para rastrear lo ocurrido |
| Respuesta | Sobre todo eliminación | Apoya aislar, investigar, recuperar |
EDR, XDR, MDR y SIEM
Estos términos suelen aparecer juntos en las descripciones de productos. Aquí están separados por lo que hacen y lo que vigilan.
| Término | Qué hace | Qué vigila |
|---|---|---|
| Antivirus (EPP) | Coteja archivos maliciosos conocidos y los detiene antes de que se ejecuten | Endpoints |
| EDR | Registra la actividad de los endpoints, detecta cadenas sospechosas y ayuda a aislar e investigar | Endpoints |
| XDR | Extiende la idea de EDR al correo, la nube, la red y las cuentas, y los relaciona | Varias áreas, endpoints incluidos |
| MDR | Un servicio en el que un equipo externo de expertos se encarga por ti de la detección y la respuesta | El alcance fijado en el contrato |
| SIEM | Recoge registros de muchos dispositivos y servicios, y los busca, correlaciona y almacena | Registros de toda la organización |
Ayuda pensar en EDR y XDR como tipos de producto, en MDR como una forma de operar y en SIEM como el lugar donde viven los registros.
Cómo protege (el mecanismo)
El cotejo de firmas (bloquear lo malo conocido) y la detección por comportamiento (notar vía IOA) no se oponen. Tener ambos es lo realista; EDR profundiza en el segundo.
Un enfoque realista para equipos pequeños
Cubre primero lo básico
Usa la protección integrada del sistema operativo
Conserva registros y vigila con ojo IOA
Considera EDR a medida que creces
Ejemplos reales: un caso público y una política pública
- Centro Médico General de Osaka (2022): el informe del comité de investigación señala, como una de las razones por las que el daño se extendió por el sistema de historia clínica electrónica, que no había antivirus instalado en servidores clave de ese sistema. La detección no funciona en un dispositivo donde no está instalada. Tanto con EDR como con antivirus, la primera pregunta es si algún dispositivo se quedó fuera
- El Gobierno federal de EE. UU.: el 8 de octubre de 2021, la Oficina de Administración y Presupuesto (OMB) emitió el memorando M-22-01, que ordena a las agencias federales, en virtud de la Orden Ejecutiva 14028, adoptar EDR. El memorando describe EDR como la combinación de la monitorización continua en tiempo real y la recogida de datos de los endpoints con respuesta y análisis automatizados basados en reglas
Cómo comprobarlo en tu propio entorno
Si eres particular o una oficina pequeña, empieza por el PC que tienes delante.
- En «Seguridad de Windows», abre «Protección antivirus y contra amenazas» y comprueba que la protección en tiempo real está activada
- Abre PowerShell como administrador y ejecuta
Get-MpComputerStatus | Select-Object AMRunningMode,RealTimeProtectionEnabled,BehaviorMonitorEnabled,AntivirusSignatureLastUpdated. Comprueba queRealTimeProtectionEnabledyBehaviorMonitorEnabled(supervisión del comportamiento) están enTruey que la fecha de actualización de las firmas es reciente - Si
AMRunningModeesNormal, Defender funciona como antivirus principal. Si esPassive, el principal es un producto de otro fabricante, así que comprueba que ese producto está activado y actualizado
Ten en cuenta que el Antivirus de Microsoft Defender integrado en un PC protege solo ese equipo. No es lo mismo que un EDR gestionado que registra la actividad de muchos dispositivos en un solo lugar y puede aislarlos en remoto.
Si tu organización usa EDR, comprueba tres cosas.
- Compara tu inventario de activos con el número de dispositivos de la consola de EDR y busca los que no lo tienen. Los servidores y los dispositivos de conexión que usan los proveedores externos son fáciles de pasar por alto
- Decide quién revisa las alertas y cuándo, y quién decide aislar un dispositivo de noche o en fin de semana
- Confirma que las cuentas de usuario normales no pueden desactivar EDR en su dispositivo
La opinión de este sitio: el estado de 'registrar/detectar/responder', no el nombre del producto
EDR es potente, pero en este sitio no tratamos «tenemos EDR» como «estamos a salvo». La detección va de después de que un incidente empieza; el primer objetivo es un diseño que no deje que empiece ni se propague (mínimo privilegio, parcheo, MFA, sin secretos en texto plano). Encima de eso, dado que algunos ataques siempre se cuelan, mantén un estado en el que puedas registrar, detectar y responder al comportamiento, dimensionado a tu escala. Para particulares, «Defender + registros + la mentalidad IOA» suele bastar; para organizaciones, un EDR gestionado es una opción. Lo que importa no es el nombre del producto, sino si tienes a la vez prevención (evitar que ocurra) y detección (notarlo).
Fuentes (primarias)
- Oficina de Administración y Presupuesto de EE. UU. (OMB), "M-22-01: Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response" (8 de octubre de 2021) — whitehouse.gov (descripción de EDR y la orden a las agencias federales)
- Microsoft Learn, "Get-MpComputerStatus" — learn.microsoft.com (comando para comprobar el estado de Defender)
- Microsoft Learn, "Endpoint detection and response in block mode" — learn.microsoft.com (modos activo y pasivo de Defender)
- Centro Médico General de Osaka, informe del comité de investigación del incidente de seguridad de la información (publicado el 28 de marzo de 2023) — gh.opho.jp