EDR es una solución de seguridad que monitorea continuamente los endpoints (PCs, servidores, notebooks) para detectar comportamientos maliciosos, investigarlos y responder a ellos, más allá de las firmas del antivirus tradicional.
Un EDR es un software que se instala como agente en cada equipo y registra telemetría detallada: procesos, conexiones de red, cambios en el registro, ejecución de scripts y acceso a archivos. Esa información se envía a una consola central donde se analiza con reglas de comportamiento, heurística y aprendizaje automático para detectar amenazas como ransomware, movimiento lateral o técnicas fileless. A diferencia del antivirus clásico, permite responder: aislar un equipo de la red, matar procesos, poner archivos en cuarentena o revertir cambios. Variantes relacionadas son XDR (correlaciona también red, correo y nube) y MDR (el servicio gestionado por un equipo externo de analistas).
🧪Ejemplo
Un usuario abre un adjunto de Word que lanza Código: bash
powershell.exe -enc ...
para descargar un payload; el EDR detecta que un proceso de Office generó PowerShell ofuscado, mata la cadena de procesos, aísla la notebook de la red y genera una alerta con la línea de tiempo completa para que el analista la investigue.
🛡Cómo protegerse
Desplegá el agente en todos los endpoints y servidores: los equipos sin cobertura son el punto ciego favorito del atacante.
Ajustá las políticas y exclusiones con cuidado: excluir carpetas o procesos a la ligera abre huecos explotables.
Asigná a alguien (interno o un servicio MDR) que revise y responda las alertas; un EDR sin monitoreo pierde gran parte de su valor.
Activá la protección contra manipulación (tamper protection) para que el malware no pueda desactivar el agente.
Integralo con tu SIEM y practicá procedimientos de respuesta a incidentes que usen sus capacidades de aislamiento.
⚠Para tener en cuenta
Un EDR no es infalible: existen técnicas de evasión (como el uso de drivers vulnerables o la manipulación de hooks) que los atacantes y los red teams estudian, y su análisis solo debe hacerse en entornos propios o con autorización. Tampoco reemplaza el parcheo, la gestión de privilegios ni las copias de seguridad.
Redactado con el asistente Underc0de IA. Actualizado el 13/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.
