El sector de la ciberseguridad está plagado de jerga, abreviaturas y acrónimos. Ante la creciente proliferación de vectores de ataque sofisticados, que afectan desde los endpoints hasta las redes y la nube, muchas empresas están adoptando un nuevo enfoque para contrarrestar las amenazas avanzadas: la detección y respuesta extendida, lo que ha dado lugar a un nuevo acrónimo, XDR. XDR ha cobrado fuerza este año entre los líderes del sector y la comunidad de analistas, pero sigue siendo un concepto en evolución y, como tal, todavía genera cierta confusión.
- ¿Qué es XDR?
- ¿En qué se diferencia XDR de EDR?
- ¿Es lo mismo que SIEM y SOAR?
Como líderes del mercado de EDR y pioneros en la tecnología emergente XDR, a menudo se nos pide que expliquemos de qué se trata y en qué medida puede ayudar a ofrecer mejores resultados a los clientes. El propósito de este artículo es aclarar algunas dudas habituales en torno a XDR y las diferencias con EDR, SIEM y SOAR.
¿Qué es EDR?
EDR proporciona a una organización la capacidad de supervisar los endpoints en busca de comportamientos sospechosos y registrar todas y cada una de las actividades y eventos. Acto seguido, relaciona la información para proporcionar un contexto crítico que permita detectar las amenazas avanzadas y, por último, ejecuta una acción de respuesta automatizada, como aislar el endpoint infectado de la red prácticamente en tiempo real.
¿Qué es XDR?
XDR es la evolución de EDR, la detección y respuesta para endpoints. Mientras que EDR recopila y correlaciona las actividades que se suceden en varios endpoints, XDR amplía el alcance de la detección con el fin de proporcionar detección, análisis y respuesta no solo en los endpoints, sino también en las redes, servidores, cargas de trabajo en la nube, SIEM y mucho más.
Esto proporciona una vista unificada de varias herramientas y vectores de ataque. Esta visibilidad mejorada contextualiza las amenazas para facilitar la clasificación, investigación y reparación.
XDR recopila y relaciona automáticamente los datos de diversos vectores de seguridad, favoreciendo así una detección más rápida de las amenazas para que los analistas de seguridad puedan responder rápidamente antes de que se amplíe el alcance de la amenaza. Las integraciones listas para usar y los mecanismos de detección preestablecidos en varios productos y plataformas diferentes ayudan a mejorar la productividad, la detección de amenazas y el análisis forense.
¿En qué se diferencia XDR de SIEM?
Cuando hablamos de XDR, hay quien piensa que estamos describiendo una herramienta de información de seguridad y gestión de eventos (SIEM) de una manera diferente. Pero XDR y SIEM son dos cosas distintas.
SIEM recopila, agrega, analiza y almacena grandes volúmenes de datos de registro de toda la empresa. Originalmente, tenía un enfoque muy amplio: recopilar datos de eventos y registros de prácticamente cualquier fuente de la empresa con el fin de almacenarlos para diferentes casos de uso, como la gobernanza y el cumplimiento, la correspondencia de patrones basada en reglas, la detección heurística / de comportamiento de amenazas como UEBA, y la detección de indicadores de peligro (IoC) o indicadores atómicos en las fuentes de telemetría.
Sin embargo, la implementación de las herramientas SIEM requiere muchos ajustes y esfuerzos. Los equipos de seguridad pueden verse superados por la gran cantidad de alertas procedentes de un SIEM, con lo que el centro de operaciones de seguridad (SOC) podría terminar pasando por alto alertas críticas. Además, aunque un SIEM capture datos de decenas de fuentes y sensores, sigue siendo una herramienta analítica pasiva que emite alertas.
La plataforma XDR pretende resolver los retos que plantean las herramientas SIEM para una detección y respuesta eficaz a los ataques dirigidos e incluye análisis de comportamiento, inteligencia sobre amenazas, perfiles de comportamiento y análisis.
¿En qué se diferencia XDR de SOAR?
Las plataformas de orquestación, automatización y respuesta de seguridad (SOAR) son utilizadas por equipos de operaciones de seguridad experimentados para crear y ejecutar procedimientos de varias etapas que automatizan acciones a través de un ecosistema de soluciones de seguridad conectado a una API. En cambio, XDR permite la integración de ecosistemas a través de Marketplace y proporciona mecanismos para automatizar acciones sencillas en controles de seguridad de terceros.
SOAR es complejo, costoso y requiere un SOC muy curtido para implementar y mantener las integraciones y procedimientos de los socios. XDR pretende ser «SOAR-lite»: una solución sencilla, intuitiva y cuyo uso no requiera conocimientos de programación, que proporcione la capacidad de actuar desde la plataforma XDR en las herramientas de seguridad conectadas.
¿Qué es MXDR?
La detección y respuesta extendida y gestionada (MXDR) extiende los servicios de MDR a toda la empresa para obtener una solución completamente gestionada que incluye análisis y operaciones de seguridad, caza de amenazas avanzadas y detección y respuesta rápida en entornos de endpoints, redes y la nube.
Un servicio MXDR aumenta las capacidades de XDR del cliente con servicios MDR para ofrecer una mayor capacidad de supervisión, investigación, caza de amenazas y respuesta.
¿Por qué XDR está ganando adeptos y generando tanto revuelo?
XDR sustituye la seguridad disgregada y ayuda a las organizaciones a abordar los retos de la ciberseguridad desde un punto de vista unificado. Con un único conjunto de datos brutos que incluye información de todo el ecosistema, XDR permite una detección y respuesta a amenazas más rápida, profunda y eficaz que EDR, ya que recopila y coteja datos de una mayor variedad de fuentes.
XDR proporciona más visibilidad y contexto a las amenazas; los incidentes que de otro modo no se habrían tratado antes afloran ahora por el mayor cúmulo de información, lo que permite a los equipos de seguridad reparar y mitigar cualquier impacto ulterior y minimizar el alcance de los ataques.
Un ataque de ransomware típico atraviesa la red, llega a la bandeja de entrada de un correo electrónico y ataca el endpoint. La adopción de un enfoque de seguridad que considere cada uno de estos aspectos por separado sitúa a las organizaciones en una posición de desventaja. XDR integra controles de seguridad de diversa índole para proporcionar acciones de respuesta automatizadas o de un solo clic en todo el perímetro de seguridad de la empresa, como deshabilitar el acceso de los usuarios, forzar la autenticación multifactor en caso de sospecha de vulneración de una cuenta o bloquear dominios de entrada y hash de archivos, todo ello mediante reglas personalizadas escritas por el usuario o por la lógica integrada en el motor de respuesta prescriptiva.
Con un único conjunto de datos brutos que incluye información de todo el ecosistema, XDR permite una detección y respuesta a amenazas más rápida, profunda y eficaz que EDR, ya que recopila y coteja datos de una mayor variedad de fuentes.
Esta visibilidad total conlleva varias ventajas, como:
- Reducción del tiempo medio de detección (MTTD) mediante la correlación entre fuentes de datos.
- Reducción del tiempo medio de investigación (MTTI) al agilizar la clasificación y minimizar el tiempo de investigación y el alcance.
- Reducción del tiempo medio de respuesta (MTTR) gracias a una automatización sencilla, rápida y pertinente.
- Mejora de la visibilidad en todos los ámbitos de la seguridad.
Además, gracias a la IA y la automatización, XDR contribuye a reducir la carga del trabajo manual de los analistas de seguridad. Una solución XDR puede detectar amenazas sofisticadas de forma proactiva y rápida. Esto aumenta la productividad del equipo de seguridad o SOC y maximiza enormemente el ROI de la organización.
Reflexiones finales
Evaluar el mercado de proveedores constituye un reto para muchas empresas, sobre todo a la hora de buscar soluciones de detección y respuesta. Uno de los obstáculos más habituales es entender lo que ofrece cada solución, puesto que la terminología varía de un proveedor a otro y puede tener distintos significados.
Como ocurre con todas las nuevas tecnologías nuevas que se introducen en el mercado, la información puede ser abrumadora, por lo que los compradores deben ser prudentes. La realidad es que no todas las soluciones XDR son iguales. SentinelOne Singularity XDR unifica y amplía la capacidad de detección y respuesta en varios niveles de seguridad, de modo que proporciona a los equipos de seguridad visibilidad total y centralizada de la empresa, análisis en profundidad y respuesta automatizada en toda la pila tecnológica.
Si desea obtener más información sobre la plataforma SentinelOne Singularity, póngase en contacto con nosotros o solicite una demostración gratuita.