Un EDR es un programa que vigila cada ordenador, servidor y móvil de la empresa por dentro: qué procesos arrancan, qué archivos cambian, qué conexiones abren. Si algo se comporta como un ataque, avisa y puede cortarlo. Es lo que ve lo que el cortafuegos, desde la red, no ve.
Foto: Jakub Zerdzicki, en Pexels
El cortafuegos mira la red: qué conexiones entran y salen, y si las deja pasar. Pero cuando un ataque ya está dentro de un portátil, porque alguien abrió un adjunto o porque una contraseña robada sirvió para entrar, lo que ocurre dentro de ese equipo queda fuera de su vista. Para eso existe el EDR (Endpoint Detection and Response).
INCIBE lo define como un sistema de protección de los equipos y la infraestructura de la empresa que combina el antivirus tradicional con herramientas de monitorización e inteligencia artificial, para responder rápido ante las amenazas más complejas. El memorando M-22-01 de la Casa Blanca, con el que en 2021 el Gobierno federal de Estados Unidos ordenó implantar el EDR en sus organismos, lo explica de forma parecida: une la vigilancia continua y en tiempo real de los datos de cada equipo (estaciones de trabajo, móviles, servidores) con una respuesta y un análisis automáticos basados en reglas.
Cada equipo lleva un pequeño programa, el agente, que recoge lo que pasa. Según INCIBE, recopila información del sistema operativo, el hardware y los procesos activos, vigila la integridad de los archivos de configuración importantes y lo reúne todo en un solo punto, para que una investigación sea rápida.
INCIBE llama al antivirus tradicional EPP (Endpoint Protection Platform). Comparte con el EDR la detección de malware, exploits y, a veces, ransomware. Lo que el EDR añade es la detección de amenazas avanzadas que el antivirus no ve: malware polimórfico, que cambia para no ser reconocido, vulnerabilidades de día cero, ingeniería social, amenazas persistentes avanzadas (APT) y cuentas comprometidas. Y cuando detecta algo, puede actuar de forma inmediata y casi automática para eliminarlo o frenarlo.
Según la misma guía, suele incorporar:
Un cortafuegos ve paquetes y conexiones: de qué dirección a cuál, por qué puerto, y, si es de nueva generación, qué aplicación y si llevan algo malicioso. No ve qué programa del portátil abrió esa conexión ni qué hizo antes. El EDR ve justo eso, pero solo en los equipos donde está instalado. Por eso no se sustituyen: INCIBE-CERT recomienda desplegar sistemas de detección y bloqueo de intrusiones, un SIEM y un EDR a la vez.
Algunos fabricantes de cortafuegos los conectan entre sí. Sophos, por ejemplo, describe en la lista de funciones de su cortafuegos el Security Heartbeat: los equipos protegidos con su software envían su estado al cortafuegos, que puede poner esa condición en cualquier regla y limitar el acceso a la red de un equipo comprometido hasta que se limpie. También avisa al resto de equipos sanos para que rechacen el tráfico del afectado. Es un ejemplo de lo que se gana cuando los dos hablan, no la única forma de hacerlo; está en la guía de Sophos Firewall.
El memorando M-22-01 añade otro motivo: considera el EDR una pieza esencial para pasar a una arquitectura de confianza cero, porque cada equipo que se conecta a la red es una posible puerta de entrada.
INCIBE no lo presenta como una solución perfecta. Señala estas debilidades:
El tercer punto es el que más pesa en una pyme: un EDR que avisa y nadie mira sirve de poco. Por eso INCIBE recuerda que, si la empresa no tiene técnicos, puede subcontratar el servicio a un proveedor o contratarlo completo con el fabricante.
Para quien trabaja con el Esquema Nacional de Seguridad, el catálogo CPSTIC del CCN tiene una familia propia para el EDR. Está dentro de la protección de dispositivos, como familia B.2, junto al antivirus o EPP (B.1), las herramientas de gestión de dispositivos (B.3) y las de sandbox (B.4), y separa los productos válidos para la categoría alta y la media del ENS. Qué productos están en cada momento hay que mirarlo en el propio catálogo, porque cambia con cada actualización. Lo que pide el ENS al cortafuegos está en la guía del ENS.
Esto es criterio de esta web, a partir de lo anterior. El EDR tiene sentido cuando lo que más preocupa es lo que pasa dentro de los equipos: un ransomware que entra por correo, una cuenta robada, un portátil que sale de la oficina y vuelve. No sustituye al cortafuegos, que sigue siendo quien decide qué tráfico entra y sale de la red, y necesita a alguien, propio o contratado, que atienda sus avisos.
Son las siglas de Endpoint Detection and Response, detección y respuesta en los puntos finales. Un punto final (endpoint) es cada equipo conectado a la red: ordenadores, servidores, móviles.
Según INCIBE, el antivirus tradicional, o EPP, detecta sobre todo malware conocido: virus, troyanos y gusanos. El EDR incluye esa función y añade la vigilancia continua del equipo, para detectar amenazas avanzadas como el malware polimórfico, las vulnerabilidades de día cero o las cuentas comprometidas, y responder casi de forma automática.
No. El cortafuegos filtra el tráfico de la red y el EDR vigila lo que pasa dentro de cada equipo. INCIBE-CERT los recomienda juntos, con sistemas de detección de intrusiones y un SIEM.
Sí. INCIBE recuerda que la empresa que no tiene técnicos puede subcontratar el servicio a un proveedor o contratarlo completo con el fabricante.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
