CrowdStrike · EDR y XDR
EDR y XDR: cuando el antivirus ya no alcanza
El antivirus busca amenazas que alguien ya vio antes. Los ataques que importan hoy no se parecen a nada del catálogo.
Implementamos y operamos la plataforma de detección y respuesta en endpoints de CrowdStrike: detección por comportamiento, aislamiento remoto y contención antes de que el problema se propague.
Las señales
Cómo se ve este problema en la práctica
- Tienes antivirus en todos los equipos y aun así te preocupa lo que no ves
- Cuando pasa algo, no puedes reconstruir qué ocurrió ni por dónde entró
- Un equipo comprometido en una sucursal significa mandar a alguien físicamente
- Nadie revisa las alertas después de las 19:00
- Tu proveedor te entregó la consola y ahí terminó su trabajo
El reparto del trabajo
Hay una parte de esto que no ocurre sola
Un antivirus compara contra un catálogo y contesta sí o no. Acá la detección es automática de punta a punta. La contención no lo es, y conviene saberlo antes de comprar.
Esto lo hace la plataforma sola
- Un proceso legítimo hace algo que no corresponde — un documento que abre una consola de comandos
- El sensor lo contrasta con el comportamiento conocido
- La nube descarta que sea ruido y lo marca
Esto no lo hace sola
Alguien decide si se aísla el equipo de la red, se corta el proceso o se fuerza una nueva autenticación.
Y decide algo menos obvio: si actuar ahora vale más que seguir mirando un rato para entender hasta dónde llegó.
Esto es lo que queda para mostrar
Qué entró, por dónde, qué tocó, si alcanzó a propagarse.
Por eso el módulo se cotiza con operación y no solo como licencias: sin alguien que tome la decisión del bloque del medio, lo que queda es un detector muy bueno avisando a una consola que nadie mira.
Qué resuelve
Detección por comportamiento, no por firma
No busca archivos conocidos: observa qué está haciendo un proceso. Un atacante que usa herramientas legítimas del sistema —lo más común hoy— no aparece en ningún catálogo de malware, pero su comportamiento sí es anómalo.
Aislamiento remoto
Un equipo comprometido se desconecta de la red en segundos desde la consola, sin ir a la sede, sin apagarlo y sin destruir la evidencia.
Reconstrucción del incidente
Qué proceso lo originó, qué tocó, con qué se comunicó, si se propagó. Es lo que convierte «algo pasó» en un informe.
Correlación más allá del endpoint
Cruza señales de endpoint, identidad, red y nube para detectar lo que cada capa por separado no ve.
El diferenciador
La consola no es el servicio
| Qué hacemos | Por qué importa |
|---|---|
| Despliegue | Instalación por etapas, sin frenar la operación. |
| Afinamiento | Reducción de falsos positivos para que tu equipo no se ahogue en ruido. |
| Paso a modo bloqueo | Es frecuente que las implementaciones se queden en modo detección por miedo a romper algo. Lo hacemos por fases, con control y con plan de reversión. |
| Políticas por perfil | No es lo mismo un servidor de producción que el notebook de un ejecutivo. |
| Operación continua | Alguien mira, interpreta y actúa. |
| Respuesta | Cuando detecta algo real, hay quien responde. |
Cómo se integra con el resto
Los módulos rinden más juntos, y todos operan mejor con alguien detrás.
Preguntas frecuentes
¿Reemplaza a mi antivirus?
¿Afecta el rendimiento de los equipos?
¿Cubre servidores y equipos Mac?
¿Puedo empezar por una parte del parque?
¿Qué pasa si ya lo tengo instalado pero mal configurado?
¿Lo compras o quieres que lo operemos?
Las dos son conversaciones válidas, y son distintas. Dinos en cuál estás.
Que funcione. Y que puedas demostrarlo.