El EDR protege los dispositivos en los que se puede instalar un agente, un SIEM recoge y correlaciona los registros de todo lo que los genera, y el NDR observa el tráfico de red entre todos los dispositivos, incluidos los que no ejecutan ningún agente. Para un equipo de TI sin centro de operaciones de seguridad (SOC), el orden práctico suele ser: primero EDR en cada equipo gestionado, después NDR para el tráfico y los dispositivos que el EDR no ve, y un SIEM cuando alguien tenga tiempo de escribir reglas y leer registros a diario.
Qué vigila cada herramienta
| EDR | SIEM | NDR | |
|---|---|---|---|
| Vigila | Procesos, archivos y memoria en los equipos gestionados | Registros de servidores, cortafuegos, servicios en la nube y aplicaciones | Tráfico de red entre equipos, interno y hacia fuera |
| Detecta bien | Malware que se ejecuta en un portátil o servidor; comportamiento de ransomware en el equipo | Correlaciones entre muchos sistemas; conservación prolongada; informes de auditoría | Beaconing C2, escaneos, movimiento lateral, datos salientes inusuales |
| Puntos ciegos | Dispositivos sin agente: impresoras, cámaras, IoT, controladores OT, portátiles no gestionados | Todo lo que no escribe registros, o los escribe sin que nadie los recoja | Lo que ocurre dentro de un equipo sin pasar por la red; el contenido cifrado |
| Esfuerzo de operación | Bajo a medio | Alto: el análisis, las reglas y el ajuste no se acaban nunca | Bajo a medio |
| Base de precio habitual | Por equipo | Por volumen de datos ingeridos | Por dispositivo supervisado, sensor o ancho de banda |
Las tres se solapan menos de lo que parece. Un atacante que llega a un dispositivo no gestionado es invisible para el EDR, y un SIEM solo lo ve si algo registra su actividad. Ese mismo atacante tiene que comunicarse por la red —con un servidor de comando y control, con otros equipos, con el destino de los datos— y eso es lo que ve el NDR. El marco MITRE ATT&CK recoge el movimiento lateral y el comando y control como tácticas distintas precisamente por eso: ocurren entre máquinas.
Qué añadir primero sin SOC
- EDR en cada equipo que gestiona. Bloquea y registra la actividad maliciosa en el equipo y, una vez desplegado, requiere poca atención diaria.
- NDR para la red. Cubre los dispositivos que el EDR no alcanza, muestra el movimiento lateral entre equipos y proporciona la cronología del incidente que exigen las notificaciones de NIS2. Elija uno cuyas alertas se expliquen solas: sin analistas, una alerta sin motivo es una alerta que nadie atiende.
- Un SIEM cuando pueda dotarlo de personal. Un SIEM compensa cuando alguien se encarga de él: escribe reglas de correlación, mantiene los analizadores y revisa registros a diario. Mientras tanto, los registros que exige su regulador a menudo pueden conservarse sin un despliegue completo de SIEM.
- Valore un MDR si necesita vigilancia 24/7. Un servicio de managed detection and response son personas, no una herramienta: un proveedor vigila sus alertas de EDR, NDR o SIEM a todas horas.
Preguntas antes de comprar un NDR
- ¿Cada alerta explica en lenguaje claro por qué se activó?
- ¿Hay un límite de falsos positivos declarado y puede comprobarlo con sus propios datos?
- ¿La lista de precios está publicada o cada despliegue se presupuesta aparte?
- ¿Dónde se almacenan los datos de monitorización y bajo qué contrato de encargo del tratamiento?
- ¿Lee los protocolos OT de forma pasiva, sin sondear los controladores?
Nuestras comparativas de proveedores de NDR aplican estas preguntas a Darktrace, Vectra AI, ExtraHop y Nozomi Networks, con una fuente para cada afirmación.
Dónde encaja NetSenX
NetSenX es una plataforma de Network Detection and Response (NDR) para medianas empresas de la UE que detecta ataques a partir del comportamiento de la red, explica cada alerta en lenguaje claro y mantiene los datos de los clientes en la UE. Funciona junto al EDR y al SIEM, no en su lugar: desde el plan Business, las alertas pueden exportarse al SIEM que ya utiliza. El plan Free cubre hasta 3 dispositivos sin límite de tiempo, para que vea lo que encuentra antes de decidir. Los detalles están en la página de precios y en las preguntas frecuentes. Si le afecta NIS2, la siguiente lectura es la lista de control de monitorización de red NIS2.
Fuentes
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
- NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems
Escrito por el equipo de NetSenX en TriStiX S.L. Preguntas: info@netsenx.com.
Preguntas que responde esta guía
¿Qué diferencia hay entre NDR, EDR y SIEM?
El EDR se ejecuta en cada endpoint y ve los procesos y archivos de esa máquina. Un SIEM recoge registros de muchos sistemas y los correlaciona. El NDR observa el tráfico entre dispositivos, por lo que también cubre los que no pueden llevar agente y la actividad que no deja registro. Los tres se complementan.
¿Qué significan EDR, NDR, XDR y MDR en palabras sencillas?
El EDR vigila cada ordenador por dentro, el NDR vigila el tráfico entre dispositivos, el XDR reúne varias fuentes en una consola y el MDR es un equipo que vigila las alertas por usted. El EDR (endpoint detection and response) es software instalado en portátiles y servidores que ve los procesos, los archivos y la memoria de esa máquina. El NDR (network detection and response) es un sensor que ve cómo hablan los dispositivos entre sí, incluidas impresoras, cámaras y máquinas donde no se puede instalar nada. El XDR (extended detection and response) es una plataforma que combina señales de equipos, correo, identidad, nube y, a veces, red. El MDR (managed detection and response) no es software, sino un servicio: personas que leen las alertas las 24 horas y actúan. También verá el SIEM (security information and event management), que recoge registros. NetSenX es un NDR; trabaja junto a los demás y no los sustituye.
¿Qué es XDR y es lo mismo que NDR?
No. El XDR (extended detection and response) es una plataforma que reúne señales de varias fuentes en una sola consola, mientras que el NDR (network detection and response) es una de esas posibles fuentes. La mayoría de los productos XDR se construyen alrededor de un agente en los equipos y añaden registros de correo, identidad y nube; unos incorporan datos de red y otros no. Esto importa en los dispositivos donde no se puede instalar un agente, como impresoras, cámaras, sistemas del edificio, máquinas y appliances: un XDR basado solo en los equipos no los ve si no recibe datos de red. Antes de comprar, pregunte qué fuentes ingiere de verdad el XDR en su licencia, no en el folleto. NetSenX es un NDR: observa el tráfico entre dispositivos y señala beaconing, escaneos, movimiento lateral y volumen saliente inusual en todos los planes, incluido Free. No sustituye a un EDR ni a una plataforma XDR, y desde el plan Business sus alertas pueden exportarse al SIEM o XDR que ya utilice.
¿Qué diferencia hay entre MDR y EDR?
El EDR es software; el MDR es un servicio prestado por personas. El EDR (endpoint detection and response) se instala en sus ordenadores y servidores; vigila procesos y archivos, lanza alertas y permite a un administrador aislar una máquina. Alguien tiene que leer esas alertas y decidir. El MDR (managed detection and response) es un proveedor cuyos analistas leen las alertas por usted, las 24 horas, y responden en un plazo acordado. La mayoría de los servicios MDR aportan o exigen su propio EDR, y algunos también toman datos de red o de nube. Así que la pregunta real no es EDR o MDR, sino quién lee las alertas de noche. Si tiene personal o un proveedor de TI de guardia, un EDR y la detección de red pueden bastar. Si nadie puede reaccionar fuera del horario de oficina, un servicio gestionado cubre ese hueco. NetSenX es software de detección, no un MDR: explica cada alerta para que su equipo o su proveedor puedan actuar.
¿Necesito un NDR si ya tengo EDR?
A menudo sí, porque el EDR y el NDR fallan en sitios distintos. El EDR (endpoint detection and response) solo ve las máquinas donde su agente está instalado y en buen estado. No ve impresoras, cámaras, móviles en la wifi, sistemas del edificio, máquinas ni el portátil de un proveedor, y los atacantes suelen desactivarlo primero en la máquina que toman. El NDR (network detection and response) observa el tráfico entre dispositivos, así que sigue viendo un host comprometido que llama a un servidor externo, escanea la red o saca datos, pase lo que pase con su agente. Si su empresa son unos pocos portátiles con todo en la nube, un EDR y buenas copias de seguridad pueden bastar por ahora. Si tiene una red local con servidores y dispositivos donde no puede instalar nada, el NDR cubre ese hueco. NetSenX señala beaconing, escaneos, movimiento lateral y volumen saliente inusual en todos los planes, incluido Free, para que vea lo que aporta en su propia red antes de pagar.
¿Qué huecos deja el EDR que solo muestra la red?
Los dispositivos sin agente, los agentes desactivados y el patrón de un ataque repartido entre varias máquinas. El EDR (endpoint detection and response) informa desde dentro de cada ordenador donde funciona. No informa desde una impresora, un grabador de cámaras, un NAS, un controlador del edificio, el móvil de un visitante ni un portátil no gestionado que alguien ha conectado. No informa desde un servidor donde lo desinstalaron o manipularon. Y cada agente ve un solo host, así que un patrón lento que solo tiene sentido en muchos hosts, como una máquina que toca decenas de recursos compartidos o que llama discretamente al exterior cada cinco minutos, se escapa con facilidad. La red ve todo esto, porque cualquier dispositivo tiene que comunicarse para hacer daño. NetSenX observa ese tráfico y mantiene un mapa de red de los dispositivos que ve. No ve el interior de un host, por eso las dos herramientas se complementan.
¿Necesito un SIEM si tengo NDR?
No necesariamente: muchas pequeñas y medianas empresas obtienen más de un NDR y una buena protección de equipos que de un SIEM que nadie tiene tiempo de ajustar. Un SIEM (security information and event management) recoge y correlaciona registros de muchos sistemas: cortafuegos, servidores, directorios, servicios en la nube. Es potente cuando alguien escribe y mantiene sus búsquedas, y pesado cuando nadie lo hace. El NDR (network detection and response) ofrece detecciones a partir del tráfico de red sin ingeniería de registros. Responden a preguntas distintas: el SIEM dice quién inició sesión y dónde; el NDR, qué hicieron los dispositivos en la red. Puede que necesite un SIEM de todos modos si un auditor, un contrato con un cliente o un regulador espera la conservación centralizada de registros, o cuando tenga personal para usarlo. Si ya tiene uno, las alertas del NDR pueden alimentarlo: NetSenX ofrece exportación al SIEM desde el plan Business, de modo que las detecciones de red llegan al SIEM ya explicadas.