Saltar al contenido
05 · Arquitectura05 · Architecture

Implementación de EDR / XDREDR / XDR Implementation

Despliegue de agentes, políticas, integración con SIEM.Agent rollout, policy design and SIEM integration.

EndpointEndpoint Diseño y despliegue de tecnología de seguridadDesign and deployment of security technology

¿Qué es este servicio?What is this service?

Es el despliegue de la plataforma de detección y respuesta en los equipos: instalar los agentes en servidores y estaciones, definir las políticas, pasar de modo observación a modo bloqueo con criterio, integrar la telemetría con el SIEM y entrenar al equipo que lo va a operar.

Deploying the endpoint detection and response platform: installing agents on servers and workstations, defining policies, moving from observation to blocking with judgement, integrating telemetry with the SIEM and training the team that will run it.

¿Para qué se usa?What is it used for?

Sirve porque el antivirus tradicional compara contra una lista de lo ya conocido y el atacante moderno no usa nada que esté en esa lista: usa las herramientas legítimas del propio sistema. El EDR mira comportamiento, no firmas, y guarda el rastro de lo que pasó. Es la diferencia entre saber que hubo un incidente y poder contar qué hizo el atacante minuto a minuto.

Traditional antivirus compares against a list of the already known, and the modern attacker uses nothing on that list: the tools already built into the operating system do the job. EDR watches behaviour rather than signatures, and keeps the trace of what happened. That is the difference between knowing there was an incident and being able to recount what the attacker did minute by minute.

Qué beneficios traeBenefits it delivers

  • Detecta técnicas que no traen archivo malicioso, que hoy son la mayoría de los casos serios.
  • Permite aislar un equipo de la red con un clic, sin ir físicamente a desconectar el cable.
  • Deja la telemetría necesaria para investigar después: sin ella, el análisis forense empieza sin datos.
  • El XDR suma correo, identidad y nube al mismo hilo de investigación, que es donde empiezan casi todos los ataques.
  • Detects fileless techniques, which today account for most serious cases.
  • Allows isolating a machine from the network with one click, without walking over to unplug a cable.
  • Leaves the telemetry needed to investigate afterwards: without it, forensic analysis starts with no data.
  • XDR adds email, identity and cloud to the same investigation thread, which is where nearly all attacks begin.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay obligación legal de desplegar EDR en Costa Rica.
  • El perfil tecnológico que exige el Acuerdo CONASSIF 5-24 incorporó una tabla de funciones de ciberseguridad donde la capacidad de detección en equipos queda a la vista del supervisor.
  • Muchas pólizas de ciberseguro y contratos con clientes corporativos ya lo piden como condición, aunque ninguna ley lo mande.
  • There is no legal obligation to deploy EDR in Costa Rica.
  • The technology profile required by CONASSIF Agreement 5-24 added a cybersecurity functions table where endpoint detection capability becomes visible to the supervisor.
  • Many cyber insurance policies and corporate client contracts already require it, even though no law does.

InternacionalInternational

  • PCI-DSS exige protección contra software malicioso en los sistemas del entorno de datos de tarjeta y mecanismos que detecten y respondan.
  • ISO 27001 exige controles contra código malicioso y monitorización de actividades.
  • Es requisito de facto en cuestionarios de proveedores y en la contratación de seguros de ciberriesgo.
  • PCI-DSS requires anti-malware protection on systems within the cardholder data environment and mechanisms that detect and respond.
  • ISO 27001 requires malicious code controls and activity monitoring.
  • It is a de facto requirement in vendor questionnaires and in cyber risk insurance underwriting.

Requisitos mínimosMinimum requirements

  • Un inventario de equipos que sea real: los que no aparecen en el inventario son los que quedan sin agente.
  • Un método de distribución del agente, sea la herramienta de gestión existente o el directorio.
  • Un grupo piloto para validar convivencia con antivirus previo y con software crítico antes de ir a todos.
  • Acordar de antemano quién autoriza aislar un equipo productivo y en qué horario.
  • A real device inventory: the machines missing from it are exactly the ones left without an agent.
  • A distribution method for the agent, whether the existing management tool or the directory.
  • A pilot group to validate coexistence with the previous antivirus and with critical software before rolling out to everyone.
  • Agreeing in advance who authorises isolating a production machine, and during which hours.

Plazo típico de entregaTypical delivery time

4 a 10 semanas 4 to 10 weeks rango habitual del mercado usual market range

El rango habitual va de cuatro a diez semanas. Depende sobre todo del parque: mil estaciones homogéneas se cubren rápido, pero un servidor viejo con software a medida obliga a probar la convivencia antes de instalar nada. El paso a modo bloqueo se hace por olas y nunca el primer día, porque un agente en bloqueo sin afinar puede tumbar una aplicación crítica.

The usual range runs from four to ten weeks. It depends mainly on the estate: a thousand homogeneous workstations are covered quickly, but an ageing server with bespoke software forces coexistence testing before installing anything. The move to blocking mode is done in waves and never on day one, because an untuned agent in blocking mode can take down a critical application.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

EDREDR
Detección y respuesta en el equipo: vigila el comportamiento del dispositivo y permite actuar sobre él. Endpoint detection and response: watches device behaviour and allows acting on it.
XDRXDR
Lo mismo pero extendido a correo, identidad, red y nube, con una sola investigación que cruza todo. The same, extended to email, identity, network and cloud, with a single investigation crossing all of them.
AgenteAgent
El programa que se instala en cada equipo y envía la telemetría a la consola central. The program installed on each machine that sends telemetry to the central console.
Modo observaciónObservation mode
Fase inicial donde la herramienta registra y avisa pero no bloquea, para medir el impacto antes de activarlo. Initial phase where the tool logs and alerts but does not block, to measure impact before switching it on.
AislamientoIsolation
Cortar la red de un equipo dejando solo la conexión con la consola de seguridad. Cutting a machine off the network while leaving only the connection to the security console.