Cómo protegen los equipos el antivirus y EDR

Imagina una alarma de humo, un registro de incidentes y un equipo preparado para responder. Resuelven problemas relacionados, pero tener la alarma no proporciona el registro ni el equipo. La seguridad de los endpoints funciona de forma parecida.

El antivirus puede prevenir o remediar actividad maliciosa. EDR añade investigación y respuesta alrededor de la actividad del equipo. Las funciones se solapan: un antivirus moderno puede usar análisis de comportamiento y aprendizaje automático, además de firmas. “El antivirus solo lee archivos y EDR solo observa comportamiento” simplifica demasiado.

Cuatro tareas, no una marca verde

La prevención intenta detener una acción no deseada. La recogida registra observaciones seleccionadas: el inicio de un proceso, un cambio de archivo, una conexión o una identidad. La detección evalúa esas observaciones mediante reglas o modelos. La respuesta puede avisar a un analista, poner un elemento en cuarentena o aislar un equipo, según la política.

Cada tarea necesita comprobaciones distintas. Un agente instalado puede tener una política antigua. Un sensor sano puede enviar eventos que ninguna regla evalúa. Una alerta útil puede esperar en una cola desatendida. Pregunta dónde funciona la cadena y dónde faltan pruebas.

Pistas estáticas y de comportamiento

La inspección estática examina un elemento sin ejecutarlo: por ejemplo, su estructura, reputación o patrones reconocibles. El análisis de comportamiento estudia actividad y relaciones a lo largo del tiempo. Ninguno promete reconocer todas las amenazas.

En un portátil ficticio de nóminas, una herramienta administrativa firmada se conecta a un servidor. Puede ser mantenimiento programado o una sesión inesperada. El nombre de la herramienta es el mismo; el usuario, la hora, el proceso padre, el destino y el propósito aprobado aportan contexto. Utilizar herramientas del sistema no es automáticamente malicioso ni automáticamente seguro.

Dónde encaja AMSI

La interfaz de análisis antimalware de Windows permite que las aplicaciones y servicios integrados pidan a un proveedor antimalware que inspeccione contenido, incluso en memoria. Un motor de scripts es una posible integración.

AMSI es una interfaz, no el motor de detección. No sustituye los permisos del equipo ni garantiza cobertura de todos los programas. Un inventario útil identifica qué aplicaciones la integran, qué proveedor está activo y cómo influyen los resultados del análisis en la aplicación.

Lee una alerta como una pregunta

Una alerta señala una condición que merece evaluación. Por sí sola no demuestra un incidente. Del mismo modo, la ausencia de alertas no demuestra seguridad. La telemetría puede ser incompleta por retención, configuración, límites de eventos, actividad no cubierta o equipos ausentes.

En un incidente ficticio, reúne equipo, cuenta, fecha, fuente del evento y comportamiento esperado. Separa “el evento existe” de “la regla coincidió” y de “alguien respondió”. Usa pruebas redactadas: los registros pueden contener datos personales o argumentos sensibles.

Mejora la cobertura sin saturar al equipo

Compara detecciones útiles con falsas alarmas y actividad omitida. Una regla que alerta de todos los procesos resulta difícil de operar. Ajustarla exige actividad legítima representativa, una condición no deseada bien definida y una persona responsable de revisar el resultado.

Una mejora concreta describe la carencia y su comprobación: “Faltaban tres portátiles gestionados en el inventario; incorporarlos, verificar telemetría reciente y asignar un responsable de alertas”. Es más útil que declarar ineficaz todo el producto.