EDR

EDR viene de endpoint detection and response, detección y respuesta en endpoints. Un endpoint es cualquier equipo donde trabajan personas o programas: notebooks, computadoras de escritorio, servidores. El EDR es un programa chico, un agente, que se instala en cada uno. Registra con mucho detalle lo que pasa, qué procesos arrancan, qué archivos cambian, qué conexiones de red se abren, y manda todo eso a una consola central donde software y analistas buscan señales de ataque.

La diferencia con un antivirus clásico es que mira el comportamiento. El antivirus pregunta sobre todo si un archivo coincide con un malware conocido. El EDR pregunta si una secuencia de eventos tiene sentido: ¿por qué un documento de Word acaba de abrir PowerShell, que después bajó algo y empezó a cifrar cientos de archivos? Los atacantes muchas veces usan herramientas legítimas que ya están en la máquina, así que juzgar el comportamiento atrapa cosas que un escaneo de archivos no ve.

La parte de respuesta importa tanto como la detección. Desde la consola, el equipo de seguridad puede aislar una notebook de la red con un clic, matar un proceso, borrar un archivo o volver atrás en el historial grabado para ver por dónde entró el intruso. Productos como CrowdStrike Falcon, Microsoft Defender for Endpoint y SentinelOne son comunes en las empresas, y le pasan sus alertas al centro de operaciones de seguridad. Como el EDR corre con acceso profundo al sistema operativo, una actualización mala puede hacer mucho daño: en julio de 2024 una actualización fallida de CrowdStrike tiró millones de computadoras con Windows en todo el mundo. El XDR (extended detection and response) lleva la misma idea al mail, la nube y la red.