Endpoint Detection and Response - EDR

En el escenario actual de seguridad cibernética, surgieron varias siglas que parecen similares, pero tienen funciones bien diferentes: EDR, MDR, XDR, NDR... Entender estas diferencias es esencial para montar una buena defensa corporativa.

EDR (Endpoint Detection and Response) es una solución enfocada en monitorizar, detectar y responder a amenazas directamente en los endpoints: portátiles, ordenadores de sobremesa, servidores, VMs. Va mucho más allá de un antivirus/EPP tradicional, porque:

Analiza comportamiento, no solo firma.
Investiga a fondo actividades sospechosas.
Responde automáticamente (o con acción humana).
Monitorización continua del endpoint:
- Procesos, memoria, disco, red, comportamiento de apps.
- Detección de amenazas:
  - Exploits, ransomware, fileless malware, ataques "living off the land" (LOLBins).
Respuesta Automatizada
- Aísla la máquina de la red.
- Mata procesos maliciosos.
- Elimina archivos sospechosos.
Genera evidencias para análisis forense (timeline de ataque).
Exporta datos para soluciones como SIEM/SOAR.

EDR No es Antivirus

Antivirus es firma básica: "archivo X = virus conocido Y".

EDR es comportamental: "¿por qué Word está descargando script PowerShell a las 3h de la madrugada?". XDR es el EDR+, pero será esclarecido más adelante.

EDR|XDR + SIEM + SOAR: Combo perfecto

EDR|XDR detecta comportamiento extraño en el endpoint, puede actuar localmente, y envía logs al SIEM o a un MDR.
SIEM centraliza y correlaciona con otros logs y genera alerta en SOAR.
SOAR automatiza respuesta (ej: desactiva usuario en Entra ID) y alerta a las personas involucradas.

Entonces vamos a mejorar el concepto del EDR.

Un EDR es la solución que registra y almacena todas las informaciones que ocurren en los endpoints a nivel de sistema y aplicación, utiliza varias técnicas de análisis para detectar comportamientos sospechosos en los mismos, provee información sobre el contexto, bloquea actividades maliciosas y proporciona funcionalidades para remediación.

El EDR no es lo que realmente te protege, esa función cabe al antivirus, firewall, cifrado, MFA, entre otros. El papel del EDR es monitorizar, pero no a nivel de contenido, sino identificar comportamientos anómalos en el sistema. Cuando detecta algo sospechoso, el EDR recopila información forense para investigación. La respuesta depende de las reglas configuradas. Es un agente instalado en la máquina, capaz de ejecutar comandos a nivel de sistema y enviar datos para análisis forense.

Forense en ciberseguridad es el proceso de recopilar, preservar, analizar y presentar evidencias digitales de forma estructurada y válida, generalmente después de un incidente de seguridad.

Diferencia Entre los Tipos

Todas estas soluciones tienen el mismo objetivo final: detectar, responder y mitigar amenazas, pero cada una actúa en capas y contextos diferentes del ambiente de TI.

Mientras el EDR se enfoca directamente en los endpoints (como portátiles y servidores), otras soluciones como XDR amplían esa visión para incluir redes, correos electrónicos y aplicaciones en nube que están "conectados" al endpoint.

El NDR se enfoca exclusivamente en la detección de anomalías en el tráfico de red.

Todavía existe el EPP (Endpoint Protection Platform), que es el software con acción preventiva. Detecta y bloquea malwares conocidos, firewall local, controles de dispositivos, prevención de exploits, filtrado web. Antivirus es una parte del EPP.

                [ EPP (Endpoint Protection Platform) ]
                            │
        ┌───────────────────┼────────────────────┐
        │                   │                    │
 [ Antivirus ]     [ Firewall de Host ]   [ Control de Dispositivos ]
 (Detecta Malware) (Bloquea puertos)      (USB, Impresoras, etc.)

        │                   │                    │
 [ Protección de Exploits ] [ Filtrado Web ] [ Control de Aplicaciones ]
 (Previene ataques      ) (Bloquea sitios    ) (Restringe apps
 (zero-day, scripts)     maliciosos)          no autorizadas)

Hoy en día, nadie vende más solo antivirus. Quien ofrece solo eso no consigue competir en el mercado. Las soluciones evolucionaron y agregaron más valor con el tiempo. Pero ¿será que un EDR o XDR sustituye un EPP? Depende de la solución. Un EDR puro no sustituye un EPP, pero existen EDRs y XDRs en el mercado que ya vienen con funciones de EPP incorporadas. Lo mismo pasó con el antivirus tradicional, que dejó de ser una herramienta simple de firma para convertirse en una plataforma de protección más completa.

Dentro de algunos años, todo EDR probablemente será un XDR — estas funcionalidades deben fundirse y convertirse en estándar de mercado.

Y aquí está el truco: ¿prefieres instalar varios pequeños componentes separados en la máquina o tener una solución única, integrada y que actualiza todo de forma centralizada? Por eso las soluciones open source difícilmente se comparan con las de pago en este aspecto — los proyectos abiertos suelen tener un alcance bien definido y limitado, mientras las soluciones comerciales apuestan por la entrega "todo en uno" y esto es difícil de mantener en un proyecto open source.

Managed Detection and Response (MDR)

El Managed Detection and Response (MDR) es básicamente un servicio gestionado de EDR. Aquí, un equipo especializado externo (proveedor de seguridad) queda responsable de monitorizar, investigar y responder a incidentes 24x7, liberando al equipo interno de esa carga operacional.

Ejemplo: Tu EDR detecta una amenaza a las 3h de la madrugada y el equipo MDR ya actúa automáticamente sin necesidad de accionar a tu equipo de seguridad.

Extended Detection and Response (XDR)

El Extended Detection and Response (XDR) va más allá de los endpoints. Integra información y respuesta de diversas capas del ambiente, como red, correo electrónico, cloud, identidad y endpoints, en una plataforma unificada. El objetivo es proporcionar una visión correlacionada de amenazas complejas, mejorando la detección y respuesta a ataques más sofisticados.

Ejemplo: Detectar un intento de phishing en el correo electrónico, seguido de movimiento lateral en la red, con explotación en un servidor cloud, todo identificado como parte del mismo incidente.

Network Detection and Response (NDR)

El Network Detection and Response (NDR) es una solución enfocada en monitorizar tráfico de red. Identifica comunicaciones anómalas, movimientos laterales y tentativas de contacto con C2 (Command & Control) de forma pasiva, observando lo que circula por la red interna y perimetral.

Ejemplo: Detectar un servidor interno intentando comunicarse con una IP maliciosa en internet (indicando un posible compromiso).

Sigla	Significado	¿Qué es?	¿Quién opera?	Ejemplo de uso práctico
EDR	Endpoint Detection and Response	Protección enfocada solo en endpoints (portátiles, servidores, etc). Detecta, investiga y responde.	Equipo interno de seguridad (SOC) o TI	Detectar malware en un portátil de la empresa.
MDR	Managed Detection and Response	Es un servicio gestionado de EDR. Un tercero (proveedor) monitoriza y responde por ti 24x7.	Equipo externo (proveedor)	Equipo tercerizado resuelve alertas automáticamente.
XDR	Extended Detection and Response	Va más allá de endpoints: integra EDR + red + correo + cloud, centralizando la visión y respuesta.	Equipo interno o externo	Detecta ataque que comienza en un correo y termina en servidor cloud.
NDR	Network Detection and Response	Se enfoca en la red (tráfico, lateral movement, C2 communication). Complementa el EDR.	Equipo interno o externo	Identifica movimiento extraño entre servidores internos.
SIEM	Security Information and Event Management	Centraliza logs de todo (firewall, AD, cloud, EDR, etc.) para correlación y análisis histórico.	Equipo interno (SOC)	Investigar ataque juntando logs de varias fuentes.
SOAR	Security Orchestration Automation & Response	Automatización de respuesta basada en playbooks de seguridad. Integra SIEM, EDR, etc.	Equipo interno (SOC) o externo	Auto-bloquea IP maliciosa después de detección vía SIEM.

Si fuéramos a hacer una evolución: Antivirus → EPP → EDR → XDR.

El MDR no es bien una "evolución" tecnológica como EDR → XDR... es una evolución de modelo de servicio, no de herramienta.

El NDR tampoco es una "evolución" directa como el EDR o XDR. Nació para cubrir una laguna que el EDR nunca cuidó: la red. Por más que XDR cuide de la red, lo hace de forma limitada. No hace la inspección profunda de tráfico, no analiza movimientos detallados en la red interna de forma lateral, ni ve comportamiento puro de la red como Darktrace o ExtraHop.

XDR ve la red como fuente de evento/log.
NDR ve la red en detalle, en el tráfico real.

Aquí hay una visión general para entender mejor esta estructura.

        [Endpoints]         [Red]        [Cloud / Correo / Identidad]
            │                 │                     │
         [EDR]            [NDR]                [XDR]
            └───────┬──────┘                     │
                    │                        [XDR - visión unificada]
                    └──────►   [SIEM]   ◄───────┘
                                 │
                             [SOAR]
                                 │
                     [Acción automática / Playbook]

Pero XDR generalmente tiene el EDR integrado, entonces, si la opción es un XDR podríamos pensar en esta estructura.

   [Endpoints / Correo / Cloud / Identidad]                 [Red]
                        │                                      │
          [XDR (con EDR embebido + integraciones)]        [NDR (inspección profunda)]
                        └───────────────┬──────────────┘
                                        │
                           [SIEM (correlación de logs y eventos)]
                                        │
                          [SOAR (orquestación y automatización)]
                                        │
                   [Acción automática / Playbook de respuesta]

Principales Soluciones del Mercado

La función mínima de un EDR es monitorizar el endpoint y alimentar un SIEM o SOAR. Pero los mejores van más allá: analizan comportamiento en tiempo real y ejecutan respuestas automáticas directamente en el endpoint — sin depender del SOC o de analista.

Un EDR puede generar una alerta dirigida al SIEM, pero también enviar directamente al SOAR, o incluso ambos.

Por eso, cuando hablamos de EDR, necesitamos separar:

Tipo de EDR	Qué hacen
EDR básico / solo recopila y alerta	Recopila datos, envía a SIEM, genera alertas
EDR avanzado / con respuesta activa	Además de recopilar, ejecuta acciones automáticas en el endpoint

Algunos EDRs o XDRs, van aún más allá, incluyendo funciones de EPP en el mismo paquete, pero vale recordar: la función principal de un EDR/XDR no es ser EPP, sino detectar y responder a comportamientos sospechosos.

Tener EDR/XDR en todas las máquinas solo para generar informe y que nadie lo mire es tirar el dinero. Si no existe equipo para investigar alertas, filtrar falso positivo y actuar rápido, entonces ni lo llames EDR — lo que quieres es solo un antivirus (EPP), nada más."

A continuación, listamos las principales soluciones del mercado, indicando si ofrecen respuesta activa (y el nivel de madurez de la función).

Producto	Vendor	Respuesta Activa	Observaciones
CrowdStrike Falcon	CrowdStrike	Sí	Top 1 del mercado, fuerte en detección y respuesta, cloud-native.
SentinelOne Singularity	SentinelOne	Sí	Excelente en automatización y respuesta autónoma.
Microsoft Defender for Endpoint	Microsoft	Sí	Mejor opción para Windows + Entra ID + Azure.
Trend Micro Vision One	Trend Micro	Sí	Incluye XDR, fuerte integración con nube.
VMware Carbon Black	VMware	Sí	Fuerte en ambientes virtualizados y cloud.
Sophos Intercept X	Sophos	Sí	Buen coste/beneficio, enfoque en medianas empresas.
Cisco Secure Endpoint	Cisco	Sí	Integra bien con otras soluciones Cisco.
Bitdefender GravityZone	Bitdefender	Parcial	Enfocado en SMB, respuesta activa limitada.
ESET Protect EDR	ESET	Parcial	Ligero y eficiente, respuesta moderada.
Kaspersky EDR	Kaspersky	Sí	Fuerte telemetría, bueno en respuesta.
Palo Alto Cortex XDR	Palo Alto Networks	Sí	Integración directa con firewalls y NDR.
McAfee MVISION Endpoint	Trellix	Parcial	EDR funcional, pero perdió relevancia.
FireEye Endpoint Security	Trellix	Sí	Fuerte en respuesta a amenazas avanzadas (APT).
Check Point Harmony Endpoint	Check Point	Sí	Enfocado en endpoint + móvil + zero trust.
Cynet 360 AutoXDR	Cynet	Sí	EDR + NDR + UEBA + SOAR en el paquete completo.
Cybereason Defense Platform	Cybereason	Sí	Fuerte contra ransomware y ataques fileless.
Malwarebytes EDR	Malwarebytes	Parcial	Popular en SMB, respuesta limitada.

La lista de soluciones open source para EDR/XDR es corta, porque no existe en el mercado una opción realmente completa y madura. La protección de endpoint todavía es un terreno dominado por soluciones comerciales, por la complejidad involucrada: telemetría pesada, respuesta activa y análisis de comportamiento en tiempo real exigen inversiones altas y continuas. A continuación algunos proyectos para estar atentos.

Proyecto	Tipo	Respuesta Activa	Madurez	Observaciones
Wazuh	EDR-like	Limitada	Alta	SIEM/IDS/Host-based, recopilación de logs, detección basada en reglas. Sin respuesta automática real.
Elastic Security	EDR-like	Limitada (vía modules/scripts)	Alta	Elastic Agent con integración de detección y respuesta básica vía Beats/Integrations.
OpenEDR (Comodo)	EDR	Parcial	Baja	Proyecto Open Source de Comodo, prometedor pero sin madurez real de mercado todavía.
GRR Rapid Response	Forensics	Manual	Media	Herramienta de Google para respuesta forense y recopilación de datos remota. Respuesta no automatizada.
Velociraptor	DFIR/EDR	Manual	Alta	Enfocado en hunting y forense. No es un EDR completo (sin respuesta activa nativa).

EDR No es Antivirus​

Diferencia Entre los Tipos​

Managed Detection and Response (MDR)​

Extended Detection and Response (XDR)​

Network Detection and Response (NDR)​

Principales Soluciones del Mercado​