EDR (Endpoint Detection and Response)

EDR (Endpoint Detection and Response) registra actividad en equipos y servidores para detectar, investigar y responder a comportamientos sospechosos. A diferencia de un antivirus centrado en archivos conocidos, puede relacionar procesos, conexiones, identidades y cambios, aunque cada producto y licencia ofrece capacidades distintas. El agente necesita cobertura, actualización y comunicación; un dispositivo sin telemetría no debe aparecer como sano. Aislar un endpoint o terminar un proceso puede contener un incidente, pero también interrumpir operaciones y requiere reglas de autorización. La implantación combina inventario, políticas, retención, roles, pruebas y escalado humano. EDR no sustituye parches, copias o privilegios mínimos. La eficacia se valida con escenarios controlados y seguimiento desde la señal hasta la investigación y recuperación.