# NDR, EDR y SIEM (y XDR, MDR): diferencias

> En qué se diferencian NDR, EDR y SIEM: qué ve cada uno, qué se le escapa, dónde encajan XDR y MDR y qué añadir primero sin un SOC.

Source page: https://netsenx.com/es/blog/2026-09-24_ndr-vs-edr-vs-siem · NetSenX Team · 2026-11-12

El EDR protege los dispositivos en los que se puede instalar un agente, un SIEM recoge y correlaciona los registros de todo lo que los genera, y el NDR observa el tráfico de red entre todos los dispositivos, incluidos los que no ejecutan ningún agente. Para un equipo de TI sin centro de operaciones de seguridad (SOC), el orden práctico suele ser: primero EDR en cada equipo gestionado, después NDR para el tráfico y los dispositivos que el EDR no ve, y un SIEM cuando alguien tenga tiempo de escribir reglas y leer registros a diario.

## Qué vigila cada herramienta

| | EDR | SIEM | NDR |
|---|---|---|---|
| **Vigila** | Procesos, archivos y memoria en los equipos gestionados | Registros de servidores, cortafuegos, servicios en la nube y aplicaciones | Tráfico de red entre equipos, interno y hacia fuera |
| **Detecta bien** | Malware que se ejecuta en un portátil o servidor; comportamiento de ransomware en el equipo | Correlaciones entre muchos sistemas; conservación prolongada; informes de auditoría | Beaconing C2, escaneos, movimiento lateral, datos salientes inusuales |
| **Puntos ciegos** | Dispositivos sin agente: impresoras, cámaras, IoT, controladores OT, portátiles no gestionados | Todo lo que no escribe registros, o los escribe sin que nadie los recoja | Lo que ocurre dentro de un equipo sin pasar por la red; el contenido cifrado |
| **Esfuerzo de operación** | Bajo a medio | Alto: el análisis, las reglas y el ajuste no se acaban nunca | Bajo a medio |
| **Base de precio habitual** | Por equipo | Por volumen de datos ingeridos | Por dispositivo supervisado, sensor o ancho de banda |

Las tres se solapan menos de lo que parece. Un atacante que llega a un dispositivo no gestionado es invisible para el EDR, y un SIEM solo lo ve si algo registra su actividad. Ese mismo atacante tiene que comunicarse por la red —con un servidor de comando y control, con otros equipos, con el destino de los datos— y eso es lo que ve el NDR. El marco MITRE ATT&CK recoge el [movimiento lateral](https://attack.mitre.org/tactics/TA0008/) y el [comando y control](https://attack.mitre.org/tactics/TA0011/) como tácticas distintas precisamente por eso: ocurren entre máquinas.

## Qué añadir primero sin SOC

1. **EDR en cada equipo que gestiona.** Bloquea y registra la actividad maliciosa en el equipo y, una vez desplegado, requiere poca atención diaria.
2. **NDR para la red.** Cubre los dispositivos que el EDR no alcanza, muestra el movimiento lateral entre equipos y proporciona la cronología del incidente que exigen las notificaciones de NIS2. Elija uno cuyas alertas se expliquen solas: sin analistas, una alerta sin motivo es una alerta que nadie atiende.
3. **Un SIEM cuando pueda dotarlo de personal.** Un SIEM compensa cuando alguien se encarga de él: escribe reglas de correlación, mantiene los analizadores y revisa registros a diario. Mientras tanto, los registros que exige su regulador a menudo pueden conservarse sin un despliegue completo de SIEM.
4. **Valore un MDR si necesita vigilancia 24/7.** Un servicio de managed detection and response son personas, no una herramienta: un proveedor vigila sus alertas de EDR, NDR o SIEM a todas horas.

## Preguntas antes de comprar un NDR

- ¿Cada alerta explica en lenguaje claro por qué se activó?
- ¿Hay un límite de falsos positivos declarado y puede comprobarlo con sus propios datos?
- ¿La lista de precios está publicada o cada despliegue se presupuesta aparte?
- ¿Dónde se almacenan los datos de monitorización y bajo qué contrato de encargo del tratamiento?
- ¿Lee los protocolos OT de forma pasiva, sin sondear los controladores?

Nuestras [comparativas de proveedores de NDR](/es/compare) aplican estas preguntas a Darktrace, Vectra AI, ExtraHop y Nozomi Networks, con una fuente para cada afirmación.

## Dónde encaja NetSenX

NetSenX es una plataforma de Network Detection and Response (NDR) para medianas empresas de la UE que detecta ataques a partir del comportamiento de la red, explica cada alerta en lenguaje claro y mantiene los datos de los clientes en la UE. Funciona junto al EDR y al SIEM, no en su lugar: desde el plan Business, las alertas pueden exportarse al SIEM que ya utiliza. El plan Free cubre hasta 3 dispositivos sin límite de tiempo, para que vea lo que encuentra antes de decidir. Los detalles están en la [página de precios](/es/pricing) y en las [preguntas frecuentes](/es#faq). Si le afecta NIS2, la siguiente lectura es la [lista de control de monitorización de red NIS2](/es/blog/2026-09-24_nis2-network-monitoring-checklist).

## Fuentes

- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)
- [NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems](https://csrc.nist.gov/pubs/sp/800/94/final)

---

*Escrito por el equipo de NetSenX en TriStiX S.L. Preguntas: [info@netsenx.com](mailto:info@netsenx.com).*