El revoltijo de siglas de la ciberseguridad puede ser abrumador a veces. No faltan herramientas ni brechas por cubrir en un stack de seguridad, ni tampoco faltan siglas por aprender.
Para ayudarte a entender estas herramientas, iniciamos una serie continua en el blog para definir los términos y siglas de seguridad comunes que deberías conocer. Y hoy vamos a explorar uno importante: EDR.
EDR, o Detección y respuesta para endpoints, es una de las herramientas de las que más se habla en el mercado, pero también puede ser una de las más confusas. En realidad, esto no se debe al objetivo general del EDR. Detectar y alertar sobre amenazas en los endpoints es una misión bastante sencilla que la mayoría entiende, pero la confusión está más en cómo estas herramientas logran el resultado deseado.
Así que, ¡vamos a profundizar!
¿Qué es EDR?
La Detección y respuesta para endpoints (EDR) es una solución integrada de seguridad para endpoints diseñada para detectar, investigar y responder a amenazas cibernéticas.
Las soluciones de seguridad EDR ofrecen mayor visibilidad sobre lo que ocurre en los endpoints, al registrar actividad detallada de los endpoints y monitorear señales de comportamiento malicioso. Si la tecnología EDR detecta alguna de estas señales maliciosas, les dará a los analistas de seguridad la información necesaria para realizar investigaciones de amenazas tanto reactivas como proactivas, y minimizar el impacto de un ataque.
Funciones principales del EDR
En general, las soluciones de seguridad EDR cumplen cinco funciones principales.
Monitorear y recopilar datos de endpoints: ante todo, las soluciones de seguridad EDR deben monitorear continuamente los endpoints y recopilar datos de actividades que puedan indicar una amenaza. Algunos ejemplos de estos datos son procesos en ejecución, telemetría de red y modificaciones del registro; sin embargo, en realidad puede ser cualquier dato que el agente esté diseñado para recopilar del endpoint.
Reunir los datos recopilados para su análisis: todos esos datos deben reunirse para su análisis, y esto se puede hacer de muchas maneras. Algunas soluciones hacen esto en el agente, lo que puede resultar en una carga de procesamiento más pesada en el sistema individual; otras simplemente recopilan estos datos y luego los envían a un repositorio en la cloud, donde se realiza el trabajo pesado sin sobrecargar el endpoint. Y algunas soluciones usan una combinación de ambos estilos.
Analizar los datos: una vez reunidos los datos, se realiza el análisis. Esto es realmente la clave de cualquier solución de seguridad EDR, pero el proceso puede diferir bastante de un producto a otro. Algunos pueden depender únicamente de la inteligencia artificial o el aprendizaje automático para buscar patrones de amenazas conocidos. Otros pueden enviar los datos a una cloud, donde un equipo de personas se encarga de la caza de amenazas. Y, de nuevo, algunos son una combinación de ambos procesos. Pero en cualquier caso, las herramientas EDR analizan e interpretan todos estos datos para aprender de ellos y poder detectar rastros de comportamiento sospechoso.
Alertar sobre los hallazgos: la tecnología EDR notificará al personal de seguridad que se detectó una amenaza. Esto generalmente ocurre dentro de la interfaz del producto o mediante integración con un sistema de tickets. Las alertas también pueden variar en complejidad. Algunas pueden mostrar una cronología detallada de un evento, mientras que otras pueden ser más breves.
Asistencia para la remediación: esta es otra área donde las cosas pueden variar mucho. Algunas soluciones de seguridad EDR solo ofrecen alertas, dejando la decisión de respuesta al departamento de TI o al personal de seguridad. Otros productos pueden apoyar los esfuerzos de respuesta, donde el agente ayuda a eliminar la amenaza encontrada para aliviar más la carga de trabajo. Esta respuesta a incidentes también puede ser automatizada, manual o una combinación de ambas.
¿Qué es Managed EDR?
Managed EDR lleva el EDR tradicional un paso más allá.
Las soluciones EDR tradicionales sacan a la superficie las amenazas. Marcan actividad sospechosa, dejando que la automatización o los humanos hagan la clasificación real. Las soluciones Managed EDR, en cambio, incorporan a la ecuación humanos reales con conciencia contextual, que ofrecen remediación guiada, información procesable y soluciones de un solo clic.
Para los usuarios finales en los equipos de TI, esto significa menos falsas alarmas y tranquilidad.
Una breve historia de EDR
La primera mención de la detección y respuesta para endpoints fue en 2013, cuando Anton Chuvakin de Gartner clasificó estas herramientas emergentes en el mercado como “endpoint threat detection and response”. Luego, en 2015, se acortó al EDR que conocemos hoy.
Pero antes de que tuviéramos un nombre para EDR, los endpoints ya se habían convertido en una de las superficies de ataque más grandes. Windows, en particular, se había vuelto tan complejo con los años que estaba repleto de vulnerabilidades que los atacantes podían explotar. Los atacantes también sabían que muchas organizaciones destinaban su presupuesto de TI solo a medidas de protección, descuidando otras categorías importantes como la detección y respuesta. Esto significaba que, una vez que los hackers encontraban la forma de sortear esas barreras externas (y vaya que lo lograban), ya no había nada más en su camino.
A medida que las tácticas de los atacantes se volvían más sofisticadas, el mundo se dio cuenta de que necesitábamos algo más que otro antivirus o producto preventivo. Necesitábamos algo con mayor visibilidad de los sistemas, capaz de recopilar y procesar grandes cantidades de datos y de levantar una alerta cuando algo no se veía bien, y así nació EDR.
La tecnología EDR se diseñó para ser una ventana hacia las funciones diarias de un endpoint. A medida que EDR evolucionó con el tiempo, hemos recopilado cada vez más datos sobre el endpoint y todos sus procesos, configuraciones del registro e incluso el tráfico de red. Hoy, EDR sobresale en recopilar y analizar datos para sacar a la luz posibles ataques. Si un atacante encuentra la forma de entrar a un entorno con herramientas EDR implementadas, cualquier acción que tome se convierte en una oportunidad de detección. Y mientras más datos recopila EDR, mejor es la visibilidad que tenemos de esas acciones.
Qué buscar en una solución de seguridad EDR
Ahora que entendemos por qué EDR es indispensable para las pilas de seguridad actuales, la pregunta es: ¿cómo encuentras la solución de seguridad EDR adecuada para tu organización?
Bueno, mi consejo sería mirar primero hacia adentro. Si cuentas con miembros del equipo capacitados en seguridad y dedicados a hacer caza de amenazas real, entonces es posible que una solución EDR de solo software, centrada principalmente en alertas, sea una buena opción.
Por otro lado, si no cuentas con personal de seguridad dedicado en el lugar, uno de los inconvenientes de las soluciones EDR de solo software es el volumen de alertas que generan y una mayor probabilidad de falsos positivos. Esta puede ser la parte más engorrosa de EDR, pero también por eso hemos visto que los proveedores de EDR ofrecen un componente de detección y respuesta gestionadas. En este caso, el proveedor cuenta con un equipo de especialistas que puede encargarse del trabajo pesado y manejar la caza de amenazas de forma mucho más eficiente. Si careces de la experiencia y el tiempo para analizar alertas, deberías considerar un proveedor que ofrezca EDR gestionado.
¡Nuestros partners nos ayudaron a posicionarnos como la solución EDR #1 para pequeñas empresas en G2!
Otro tema importante de entender es la filosofía del proveedor de EDR sobre la caza de amenazas. ¿Cuál es su metodología? ¿Se basan solo en IA y software, o también utilizan analistas humanos, por ejemplo? Desarrollar una comprensión de cómo funciona su producto te dará información sobre posibles brechas.
No existe un producto que sea una solución milagrosa. Siempre habrá brechas, así que es fundamental entender dónde están y cómo puedes combinar productos complementarios para cubrirlas y lograr una postura más segura. Aunque la detección y respuesta siguen siendo un desafío para muchas empresas, las soluciones de EDR pueden ayudar a cubrir esas brechas y permitir que los equipos identifiquen y respondan rápidamente a las amenazas más persistentes de hoy.
