¿Qué es la tecnología de detección y respuesta extendidas (XDR)?

La tecnología de detección y respuesta extendidas (XDR) es una consolidación de herramientas y datos que amplía la visibilidad, el análisis y la respuesta en puntos de acceso, cargas de trabajo, usuarios y redes.

La XDR unifica las prestaciones de seguridad para puntos de acceso y cargas de trabajo gracias a una visibilidad de las redes y la nube más importantes que reduce los puntos ciegos, detecta las amenazas más rápido y automatiza la corrección mediante información contextual fidedigna en estos dominios.

Fundamentalmente, la XDR es una consolidación de herramientas y datos, y representa un gran avance en las funciones de seguridad empresariales. Dado que la XDR tiene acceso a los datos sin procesar recopilados en todo el entorno, puede detectar a los ciberdelincuentes que utilizan software legítimo para acceder al sistema, algo que el software de gestión de información y eventos de seguridad (SIEM) a menudo no puede hacer. La XDR lleva a cabo análisis y correlación automatizados de los datos de actividad, lo que permite a los equipos de seguridad contener las amenazas de forma más eficaz. Por ejemplo, puede ampliarse para incluir detecciones, desplazamiento lateral, conexiones anómalas, balizas, robo y distribución de elementos maliciosos en la red.

Al igual que la tecnología de detección y respuesta en terminales (EDR), la tecnología de detección y respuesta extendidas (XDR) responde a la amenaza para contenerla y eliminarla. Sin embargo, la mejor capacidad de recopilación de datos y de integración con el entorno de la XDR le permite responder con mayor eficacia ante un activo afectado. Las plataformas de XDR real proporcionan la visibilidad y el contexto integrales que los analistas de seguridad necesitan para responder a las amenazas de forma específica y eficaz. Esta respuesta personalizada ayuda a contener no solo la amenaza en sí, sino también el impacto de la respuesta en los sistemas; por ejemplo, reduciendo el tiempo de inactividad en los servidores esenciales.

La XDR consta de tres partes: telemetría y análisis de datos, detección, y respuesta.

• Telemetría y análisis de datos: la XDR supervisa y recopila datos en múltiples capas de seguridad, que incluyen los terminales, la red, el servidor y la nube. Utiliza el análisis de datos para correlacionar el contexto de miles de alertas de esas capas con el fin de mostrar un número menor de alertas de alta prioridad, una medida que ayuda a no abrumar a los equipos de seguridad.
• Detección: la visibilidad superior de la XDR le permite cribar las alertas e informar sobre las que requieren una respuesta. Esa misma visibilidad le permite crear valores de referencia para el comportamiento normal dentro de un entorno, lo que hace posible detectar las amenazas que utilizan software, puertos y protocolos, además de investigar el origen de la amenaza para evitar que afecte a otras partes del sistema.
• Respuesta: al igual que la EDR, la XDR tiene la capacidad de contener y eliminar las amenazas que detecta, así como de actualizar las políticas de seguridad para evitar que se vuelva a producir una vulneración similar. Pero a diferencia de la EDR, que realiza esta función solo en los terminales y las cargas de trabajo, la XDR va más allá de la protección de los terminales y responde a las amenazas en todos los puntos de control de seguridad que abarca, desde la seguridad de los contenedores hasta las redes y los servidores.

Las funciones de la XDR, frente a la EDR, le otorgan varias ventajas tangibles para proteger el entorno de TI de una organización. Entre estas ventajas se incluyen las siguientes:

• Mayor visibilidad y contexto: a diferencia de la EDR (que se limita a los terminales y las cargas de trabajo) y los servicios de seguridad de terceros (que a menudo tienen una vista limitada), la XDR proporciona una vista completa e integral del entorno de seguridad. Permite a los analistas de seguridad ver las amenazas (incluso las que utilizan software, puertos y protocolos legítimos para acceder) en cualquier capa de seguridad, así como la manera en la que se produjo un ataque, el modelo, el punto de entrada, quién más se vio afectado, dónde se originó la amenaza y cómo se propagó. Este contexto adicional (así como los análisis necesarios para entenderlo) es crucial para responder rápidamente a las amenazas.
• Priorización: los equipos de TI y de seguridad suelen tener dificultades para atender las miles de alertas que generan sus servicios de seguridad. Las funciones de análisis y correlación de datos de la XDR les permiten agrupar las alertas relacionadas en el marco de trabajo de MITRE ATT&CK, priorizarlas y mostrar solo las más importantes.
• Automatización: el uso de la automatización por parte de la XDR acelera la detección y respuesta, y elimina los pasos manuales de los procesos de seguridad, lo que permite a los equipos de TI gestionar un gran volumen de datos de seguridad y llevar a cabo procesos complejos de forma repetible.
• Eficiencia operativa: en lugar de ofrecer un conjunto fragmentado de herramientas de seguridad, la XDR proporciona una visión integral de las amenazas en todo el entorno. Ofrece una recopilación de datos y una respuesta centralizadas que se integran completamente en el entorno y en el ecosistema de seguridad más amplio.
• Detección y respuesta más rápidas: todas estas ventajas componen una situación de seguridad más sólida y eficaz. Gracias a su eficiencia añadida, la XDR puede detectar amenazas y responder ante ellas con mayor rapidez, algo fundamental en el panorama de seguridad actual.
• Respuestas más sofisticadas: la EDR tradicional a menudo responde a una amenaza poniendo en cuarentena el terminal afectado. Esta solución funciona cuando ese terminal es un dispositivo de usuario, pero podría suponer un problema si un servidor esencial está infectado. La mayor visibilidad y sofisticación de las funciones de la XDR le permiten adaptar la respuesta según el sistema en cuestión y aprovechar otros puntos de control para minimizar el impacto general.