XDR (detección y respuesta extendidas) es un enfoque de seguridad que correlaciona en una sola plataforma la telemetría de endpoints, red, correo, nube y sistemas de identidad para detectar y detener ataques.
Cómo funciona XDR
XDR nació a partir del EDR. El EDR solo ve lo que ocurre en los equipos, pero los ataques pasan por el correo, las cuentas de usuario, los servicios en la nube y la red. Una plataforma XDR recibe datos de todas estas fuentes, los normaliza y enlaza los eventos relacionados en un único incidente: por ejemplo, un correo de phishing, un adjunto malicioso abierto en un portátil, un inicio de sesión sospechoso en la nube y una subida de datos a un servidor desconocido. El término lo popularizó Palo Alto Networks en 2018 y hoy lo usan la mayoría de los grandes fabricantes de seguridad.
Existen dos variantes: XDR nativo, basado en los productos de un mismo fabricante, y XDR abierto, que integra herramientas de terceros.
XDR frente a SIEM
Un SIEM recoge registros de casi cualquier fuente y es flexible, pero requiere mucho ajuste y trabajo de ingeniería. XDR es más acotado, pero llega con detecciones listas, correlación y acciones de respuesta —aislar un equipo, deshabilitar una cuenta, eliminar un correo— sobre los productos integrados. Muchas organizaciones usan ambos: XDR para detección y respuesta, SIEM para conservación a largo plazo, cumplimiento y analítica propia.
Por qué es importante
Los equipos de seguridad están saturados de alertas de herramientas separadas. Al correlacionar señales, XDR reduce el ruido, acorta las investigaciones y ayuda a equipos pequeños o a un SOC a responder más rápido. La telemetría de varias capas también apoya el threat hunting.
Qué tener en cuenta
- Comprobar qué fuentes de datos están realmente integradas y hasta dónde llegan las acciones de respuesta.
- Valorar la dependencia de un solo fabricante en el XDR nativo.
- XDR sigue necesitando analistas cualificados o un servicio gestionado (MDR).
