El correo electrónico sigue siendo una de las formas más comunes en que los atacantes logran entrar. El phishing, el robo de credenciales, la suplantación de identidad y el compromiso de correo empresarial (BEC) comienzan con un mensaje que parece legítimo. Para un MSP, lo que está en juego es mayor. Un solo buzón comprometido puede exponer tu propio negocio, y también puede darle a un atacante una voz confiable para usar contra tus clientes.

Las medidas de seguridad de correo electrónico funcionan en capas:

• Autenticación de correo electrónico. SPF, DKIM y DMARC verifican que un mensaje realmente provenga del dominio que dice representar. Hacen que sea más difícil para los atacantes suplantar tu dominio o los dominios de tus clientes, y le dan a los servidores receptores una forma de rechazar los mensajes falsos. Configúralos y monitoréalos tanto para tus propios dominios como para cada dominio de cliente que administres.

• Filtrado de entrada. Los filtros de spam, malware y phishing examinan los mensajes antes de que lleguen a una bandeja de entrada. El filtrado moderno va más allá de la reputación del remitente para detectar señuelos que los conjuntos de reglas antiguos no identifican.

• Protección avanzada contra amenazas. El análisis en un entorno aislado de los archivos adjuntos y la verificación de los enlaces al hacer clic, no solo cuando llega el correo, ayuda a detectar contenido malicioso que parece limpio al momento de la entrega.

• Filtrado de salida. Escanear el correo saliente puede detectar que datos sensibles están saliendo de la organización, y puede revelar que una cuenta interna está comprometida y se está usando para hacer phishing a otros.

Sin embargo, el filtrado tiene límites. Muchos ataques de BEC no contienen malware ni enlaces maliciosos, solo una solicitud convincente de alguien que parece confiable, como un proveedor que pide cambiar los datos de pago o un "ejecutivo" que solicita una transferencia urgente. Otros tienen éxito después de que se entrega el mensaje, cuando un usuario ingresa sus credenciales en una página de inicio de sesión falsa o aprueba una aplicación maliciosa. Una vez que un atacante está dentro de un buzón, puede configurar reglas de reenvío, secuestrar hilos de respuesta u ocultar sus rastros.

Por eso la seguridad de correo electrónico funciona mejor junto con las capas de identidad de esta estrategia.

La seguridad de correo electrónico sin duda puede ayudar a bloquear algunos correos de phishing antes de que lleguen a los destinatarios, pero algunos mensajes aún logran pasar. En estos casos, el security awareness training puede ayudar a que los empleados objetivo comprendan mejor las señales de alerta más importantes, como un lenguaje urgente o solicitudes extrañas. El Informe de ciberamenazas 2025 de Huntress encontró que los actores de amenazas están mejorando sus tácticas de phishing con técnicas como el phishing por código QR, el contenido basado en imágenes y la suplantación de marcas. El security awareness training puede ayudar a los empleados a identificar este tipo de amenazas de ingeniería social, así como ataques que van más allá del phishing por correo electrónico, como deepfakes o estafas.

Los actores de amenazas están usando cada vez más técnicas basadas en identidad para atacar a las organizaciones. Por ejemplo, comprometen las contraseñas de los empleados y luego usan ese acceso como un punto de partida sigiloso para más ataques. Esto se les facilita a los atacantes cuando las personas reutilizan contraseñas o crean contraseñas fáciles de adivinar, lo que abre la puerta a ataques de fuerza bruta, credential stuffing y más. Los administradores de contraseñas pueden ayudar a los usuarios a generar automáticamente contraseñas nuevas y únicas para cada sitio. También pueden ayudarlos a almacenar y gestionar estas credenciales sin tener que memorizarlas, reduciendo el riesgo de reutilización de contraseñas.

Si los actores de amenazas logran robar las credenciales de los empleados, la MFA es una medida preventiva importante para detenerlos a tiempo. La MFA implica dos o más formas de autenticación además de una contraseña, ya sea una app de autenticación basada en notificaciones push o un escaneo biométrico de huella digital. Los MSP deben habilitar la MFA en cuentas, servicios y aplicaciones como medida de seguridad básica.

Los MSP deben contar con herramientas y procedimientos de gestión de parches para tener un plan integral para encontrar, probar e implementar soluciones a las vulnerabilidades de seguridad. Esto se debe a que una forma en que los actores de amenazas logran entrar en una organización es explotando vulnerabilidades. Muchas veces, estas fallas ya fueron encontradas y corregidas por los fabricantes del producto, pero los MSP no actualizan la versión del software que corrige las fallas, dejando un hueco abierto para los atacantes. Un plan de gestión de parches puede ayudar a los MSP a asegurarse de que las correcciones y parches de máxima prioridad para fallas explotadas por los atacantes no se les escapen.

IAM es un marco de políticas y procedimientos que ayuda a las empresas a gestionar el acceso de los usuarios a sistemas y recursos. Mediante este marco, los administradores de TI pueden restringir el acceso a los recursos para asegurarse de que las personas correctas tengan el nivel de acceso correcto. Esto puede ayudar a prevenir el acceso no autorizado.

Mientras que IAM se centra en las políticas de acceso, ITDR se centra en los incidentes en los que esos controles de acceso son evadidos, mediante la detección y respuesta ante comportamientos sospechosos de amenazas de identidad. El comportamiento relacionado con amenazas de identidad incluye el acceso no autorizado, el uso indebido de credenciales y más. Las soluciones de ITDR suelen incluir detección de amenazas en tiempo real para comportamientos sospechosos, monitoreo de técnicas de ataque y remediación automatizada para detener los ataques a la identidad. Los MSP pueden usar ITDR para protegerse contra el robo de credenciales, la toma de control de una cuenta, el compromiso de correo empresarial y el secuestro de sesión.

La detección detiene los ataques en curso. La gestión de la postura reduce las probabilidades de que tengan éxito. La gestión de la postura de identidad revisa continuamente tus entornos de Microsoft 365 y Google Workspace en busca de debilidades en las que se apoyan los atacantes, como la falta de MFA, la autenticación heredada, los roles de administrador demasiado amplios y la desviación de configuración riesgosa. Para los MSP, esto importa doblemente: una vez para su propio inquilino y otra vez para cada inquilino de cliente que administran. Combínalo con ITDR para poder fortalecer las identidades y responder cuando algo logre pasar de todos modos.

EDR es otra herramienta importante que los MSP deben tener en su arsenal. EDR se centra en proteger los endpoints mediante el monitoreo y la detección de actividad potencialmente sospechosa. EDR les da a los MSP la capacidad de detectar y remediar amenazas en los endpoints de forma proactiva mientras ocurren. Mientras que muchas de las otras prácticas y herramientas que hemos descrito hasta ahora se han centrado en mantener alejados a los actores de amenazas desde el principio, EDR se centra en los incidentes en los que los atacantes de todos modos lograron infiltrarse, y detiene el ataque antes de que pueda escalar.

Los endpoints sufren desviación de configuración. Las protecciones se desactivan, las configuraciones se salen de la base y los ajustes de seguridad varían de un dispositivo a otro. La gestión de la postura de endpoints te ayuda a encontrar y corregir esas brechas antes de que lo haga un atacante, de modo que tu EDR parta de una base más sólida. Juntas, la gestión de postura reduce tu superficie de ataque, y el EDR detecta lo que queda. 

El antivirus sigue siendo una capa de prevención útil. Bloquea malware conocido, como virus y ransomware, antes de que pueda ejecutarse, y en la mayoría de los entornos Windows, el antivirus de Microsoft Defender ya viene incluido. Pero el antivirus por sí solo no investiga actividad sospechosa, no busca atacantes que ya ingresaron ni responde cuando algo se escapa.

Por eso el antivirus funciona mejor junto con EDR. Defender aporta la capa de prevención, y Huntress Managed EDR suma telemetría de endpoints, detección del comportamiento de atacantes y un SOC disponible 24/7 que investiga y responde.

Para los proveedores de servicios administrados, esta combinación también resuelve un problema operativo. Defender es tan bueno como su configuración, y los ajustes, exclusiones y protecciones tienden a sufrir desviación de configuración en docenas de entornos de clientes. Con Managed Microsoft Defender, Huntress gestiona de forma centralizada las configuraciones, exclusiones, análisis y detecciones compatibles del antivirus de Microsoft Defender en todos los tenants desde una sola plataforma, y está incluido con Managed EDR en los endpoints Windows compatibles. También obtienes visibilidad sobre el estado de Defender, el cumplimiento de políticas, el estado de protección contra manipulaciones y las exclusiones riesgosas.

Luego, Huntress añade detección que Defender no ofrece como servicio administrado, como la detección de Persistent Footholds y Ransomware Canaries. Si ya usas Defender for Business o Defender for Endpoint, Huntress también puede incorporar esa telemetría para darle al SOC una imagen más completa. En resumen, Microsoft construye los controles, y Huntress los opera.

La mayoría de las herramientas anteriores vigilan un solo punto de control: un endpoint, una bandeja de entrada o una identidad. Pero los ataques rara vez se quedan en un solo lugar. Un atacante puede iniciar sesión con credenciales robadas, tocar un VPN o firewall, moverse a un servidor y luego llegar al entorno de un cliente. Cada paso deja un rastro en un registro diferente. SIEM es la forma de reunir esos rastros.

Un SIEM recopila registros y eventos de seguridad de todo tu entorno, incluidos endpoints, firewalls, VPN, sistemas de identidad y plataformas cloud, y los centraliza para que puedas buscar y analizar la actividad en un solo lugar. Para un MSP, eso te da tres cosas:

1. Detección más temprana con más contexto. Correlacionar eventos de distintas fuentes puede revelar el acceso inicial, el movimiento lateral y la exfiltración de datos que la telemetría de endpoints por sí sola podría no mostrar.

2. Investigaciones más rápidas y mejores. Cuando una cuenta o herramienta de administración puede estar comprometida, los registros centralizados y buscables te permiten responder "¿qué pasó y a qué más afectó?" sin tener que armar la evidencia a partir de consolas separadas. Esto es especialmente importante si necesitas mostrarle a un cliente exactamente qué se vio afectado y qué no.

3. Evidencia de cumplimiento normativo. Los auditores, reguladores y aseguradoras cibernéticas esperan cada vez más que los eventos de seguridad se registren, se retengan y se puedan buscar. SIEM te da ese registro, y puedes usarlo para respaldar tus propias necesidades de cumplimiento normativo y las de tus clientes en industrias reguladas.

SIEM también tiene fama de ser costoso, ruidoso y difícil de operar. Las implementaciones tradicionales ingieren todo, lo que eleva los costos de almacenamiento, entierra las señales reales entre falsos positivos y exige personal capacitado para ajustarlas y monitorearlas. La mayoría de los MSP no tiene un ingeniero de SIEM disponible, así que la forma en que se entrega un SIEM importa tanto como el hecho de tenerlo.

Huntress Managed SIEM está diseñado para esa realidad. Smart Filtering conserva los eventos relevantes para la seguridad en lugar de cada línea de registro, lo que reduce el ruido y los costos de almacenamiento. El SOC de Huntress, disponible 24/7, escribe y ajusta las detecciones, investiga la actividad sospechosa y escala los incidentes confirmados con pasos claros a seguir, así tú no tienes que dotarlo de personal ni ajustarlo tú mismo. Los datos se pueden retener hasta por siete años para respaldar los requisitos de cumplimiento normativo, y el precio se calcula por fuente de datos, con una asignación de datos compartida para evitar picos en la facturación.

SIEM y EDR funcionan mejor juntos. EDR te muestra lo que está pasando en una máquina específica en este momento, mientras que SIEM te muestra lo que ha estado pasando en todo el entorno a lo largo del tiempo. Cuando un mismo SOC vigila ambos, cada uno aporta el contexto que le falta al otro.

Una forma práctica de empezar: actívalo primero en tu propio entorno, luego expándelo a un grupo pequeño de clientes y escálalo desde ahí. Tus propios registros son donde primero aparecería una cuenta o herramienta de RMM comprometida.

Los MSP que lean esta lista podrían sentirse abrumados por las distintas prácticas, soluciones y marcos necesarios para construir su stack de seguridad. No necesitas tener cada capa desde el primer día, y ninguna herramienta por sí sola lo cubre todo. Los atacantes apuntan a endpoints, identidades, correo electrónico y las herramientas de gestión que los MSP usan para llegar a sus clientes, así que el objetivo es un stack en el que una cuenta o un dispositivo comprometido no pueda derribar todo lo demás.

Si estás decidiendo por dónde empezar, trabaja en este orden:

1. Protege la identidad. Aplica MFA resistente a phishing, limita el acceso privilegiado y refuerza tu entorno de Microsoft 365 con gestión de la postura de identidad y ITDR.

2. Asegura y monitorea los endpoints. Combina EDR administrado con Defender y gestión de la postura de endpoints para que las protecciones se mantengan configuradas y las amenazas se investiguen.

3. Protege tus herramientas de gestión. Asegura tu RMM, separa el acceso de los clientes y mantén los parches en un cronograma basado en riesgo.

4. Construye visibilidad y recuperación. Centraliza y conserva los registros con SIEM, acuerda con los clientes los roles de respuesta a incidentes y prueba tus copias de seguridad.

Agregues lo que agregues, protege primero tu propio negocio. Un MSP comprometido pone en riesgo a cada cliente, así que tu stack interno merece las mismas capas que le recomendarías a ellos.