En este artículo11 min de lectura
Un EDR (Endpoint Detection and Response) es el software que vigila lo que pasa en cada ordenador y servidor de tu empresa, detecta comportamientos de ataque y permite cortarlos: aislar el equipo, parar el proceso, deshacer cambios. El XDR amplía esa vigilancia al correo, la red, la nube y las cuentas de usuario. El MDR es el servicio de personas que miran esas alertas las 24 horas y responden por ti. Aquí verás qué hace cada uno y cuál necesita tu empresa.
Qué es un EDR y cómo funciona
Un EDR es un programa que se instala en cada ordenador y servidor, registra lo que pasa en ellos y reacciona cuando algo se comporta como un ataque. No espera a reconocer un virus conocido: se fija en lo que hace cada proceso y puede cortarlo en el momento.
El nombre se atribuye a Anton Chuvakin, analista de Gartner, que lo usó en 2013 para describir esta nueva clase de herramientas (Wikipedia). Funciona en cuatro pasos:
- RegistraUn agente en cada equipo anota los procesos, las conexiones y los cambios en archivos y configuración.
- DetectaCompara ese comportamiento con patrones de ataque, aunque el programa sea nuevo y no tenga firma conocida.
- RespondeAísla el equipo de la red, para el proceso o deshace los cambios, solo o con un clic.
- Deja el rastroGuarda la línea de tiempo del ataque: por dónde entró, qué tocó y a qué equipos intentó saltar.
Funciona igual en ordenadores con Windows o macOS y en servidores, también en los que están en la nube: lo que importa es que cada equipo tenga su agente. Un equipo sin agente es un punto ciego.
Para medir estas herramientas se usa MITRE ATT&CK, un catálogo público de técnicas de ataque reales. Cuando un fabricante dice que su EDR «cubre» una técnica, se refiere a ese catálogo.
Por qué el antivirus ya no basta
El antivirus tradicional busca archivos que ya conoce, por su firma. Hoy la mayoría de los ataques no usan archivos maliciosos: entran con contraseñas robadas y con herramientas legítimas del propio sistema, así que no hay nada que reconocer. Estas son las tres generaciones de protección del puesto:
Antivirus tradicional
Compara archivos con una lista de virus
- Ligero y barato
- No ve ataques sin archivo malicioso
- No responde ni investiga
En resumenYa no basta por sí solo
Antivirus de nueva generación
Analiza el comportamiento antes de ejecutar
- Para también malware nuevo
- No registra la actividad para investigar
- Respuesta limitada
En resumenMejor prevención, poca visibilidad
EDR
Vigila y registra todo lo que pasa en el equipo
- Ve ataques sin malware
- Aísla el equipo y deshace cambios
- Deja el rastro para investigar
- Genera alertas que alguien tiene que revisar
En resumenPrevención, detección y respuesta
Las cifras de los últimos informes explican el cambio:
Y cada vez se mueven más rápido. Desde que el atacante entra en un equipo hasta que salta a otros pasan, de media, 29 minutos. El caso más rápido medido tardó 27 segundos (CrowdStrike):
Media de los ataques de cibercrimen de cada año. Fuente: CrowdStrike, informes de amenazas globales de 2025 y de 2026.
El problema pesa más en las empresas pequeñas. En el último estudio de Sophos sobre ransomware, con empresas de 100 a 5.000 empleados, solo el 34 % de las de 100 a 250 frenó el ataque antes del cifrado, frente al 46 % de las de 3.001 a 5.000. Y el 43 % de las más pequeñas señala la falta de personal como una de las causas de haberlo sufrido (Sophos, State of Ransomware 2026). En España, INCIBE gestionó 122.223 incidentes en 2025, un 26 % más que el año anterior; 55.411 fueron de malware (INCIBE).
Es lo que le pasaba a uno de nuestros clientes, un centro público de idiomas de Barcelona, antes de trabajar con nosotros:
Antivirus tradicional
Protección básica frente a amenazas conocidas, poca visibilidad de lo que pasaba en los equipos y nadie vigilando fuera del horario lectivo.
EDR con SOC 24×7
Detección y respuesta en cada equipo, analistas vigilando día y noche y sin impacto en el trabajo diario del personal ni del profesorado.
Lo contamos con detalle en el caso de la Escola Oficial d’Idiomes de Barcelona.
El EDR es la base del puesto de trabajo, pero no protege solo. Puedes ver cómo encaja con el resto de herramientas de ciberseguridad para empresas, del firewall a las copias.
Qué es XDR y en qué se diferencia del EDR
La diferencia es el alcance. El EDR vigila ordenadores y servidores. El XDR (Extended Detection and Response) junta y cruza lo que pasa en los equipos, el correo, la red, la nube y las cuentas de usuario, para ver el ataque entero y no solo una parte.
El término lo presentó Palo Alto Networks en 2018, de la mano de su director de tecnología, Nir Zuk (Palo Alto Networks). Se entiende mejor con un ejemplo.
EDR vs XDR ante un mismo ataque
Tres alertas sueltasUn correo sospechoso, un inicio de sesión desde un país raro y un proceso extraño en un portátil. Cada aviso sale de una herramienta distinta y el EDR solo ve el del portátil.
Un solo incidenteEl XDR une las tres piezas: el correo trajo el enlace, el enlace robó la contraseña y con ella se lanzó el proceso. Se ve el ataque entero y se corta de una vez.
A cambio, el XDR pide más: más fuentes significan más información, pero también más alertas que revisar. Rinde de verdad cuando hay alguien que lo opera a diario.
Qué es MDR: el servicio que responde a las tres de la madrugada
El MDR (Managed Detection and Response) no es otro programa: es un servicio. Un equipo de analistas vigila las 24 horas lo que detecta tu EDR o tu XDR, investiga las alertas y corta el ataque cuando hace falta, también de noche y en fin de semana.
La guía de mercado de Gartner sobre MDR, de octubre de 2025, lo resume en tres rasgos: funciona las 24 horas, se presta en remoto y lo hacen personas, no solo automatismos (resumen de Rapid7). Sophos lo recomienda en su informe de 2026 a las empresas que no pueden mantener un equipo de seguridad propio: un proveedor de MDR con cobertura 24/7 (Sophos).
Un buen MDR no se limita a esperar alertas. También busca señales de ataque que todavía no han hecho saltar ninguna, lo que se llama caza de amenazas, y te entrega un informe de cada incidente: qué pasó, qué hizo y qué conviene cambiar.
Lo importante se pacta antes de empezar: qué puede hacer el proveedor sin preguntarte y qué necesita tu autorización.
Acciones urgentes y que se pueden deshacer, como aislar un equipo de la red o parar un proceso. Cada minuto cuenta.
Lo que afecta al negocio: apagar un servidor, bloquear la cuenta de un directivo o restaurar desde las copias.
Es lo que ofrecemos como detección y respuesta gestionada (MDR). Si quieres más detalle, aquí explicamos qué es el MDR y cómo se compara el MDR frente a SOC como servicio.
EDR, XDR y MDR comparados
En corto: el EDR es una herramienta para los equipos, el XDR es una plataforma que une varias fuentes y el MDR es un servicio de personas que vigila cualquiera de las dos. No compiten entre sí: el MDR se apoya en un EDR o en un XDR.
| EDR | XDR | MDR | |
|---|---|---|---|
| Qué es | Una herramienta | Una plataforma | Un servicio |
| Qué vigila | Ordenadores y servidores | Lo anterior más correo, red, nube y cuentas | Lo que tengas desplegado (EDR o XDR) |
| Quién responde | Tu equipo | Tu equipo | Analistas del proveedor |
| Cuándo | Cuando alguien mira la consola | Cuando alguien mira la consola | 24 horas, 365 días |
| Qué necesitas dentro | Alguien formado que lo revise | Un equipo de seguridad | Un interlocutor |
| Cómo se paga | Licencia por equipo | Licencia por plataforma | Cuota de servicio |
Cuál necesita tu empresa
Depende menos del tamaño que de una pregunta: ¿quién mira las alertas? Una herramienta que avisa a las tres de la madrugada solo sirve si alguien contesta. Esta es la guía rápida:
| Si tu empresa… | Lo razonable es… |
|---|---|
| No tiene informático en plantilla | EDR gestionado con MDR: alguien tiene que mirar las alertas |
| Tiene una o dos personas de IT sin guardias | EDR y MDR para noches y fines de semana |
| Tiene equipo de seguridad propio | XDR (y SIEM) operado dentro, con MDR de refuerzo |
| Tiene sistemas industriales o datos muy sensibles | Pasar antes por un diagnóstico: no todo se protege con un agente |
Los dos primeros casos son los más habituales en una pyme. Si no hay nadie de IT, un EDR sin servicio detrás se queda en una consola llena de avisos que nadie abre. Si hay una o dos personas, cubren el horario de oficina, pero el 88 % del ransomware llega fuera de ese horario: ahí es donde entra el MDR.
Si prefieres no montar ese equipo de seguridad, un SOC gestionado te da los analistas, las herramientas y las guardias como servicio.
Un EDR sin nadie que mire las alertas avisa, pero nadie contesta.
¿Tienes antivirus pero nadie vigilando por la noche?
Revisamos cómo están protegidos tus equipos y qué pasaría hoy con una alerta fuera de horario.
Lo que piden NIS2 y las aseguradoras
Tener detección y respuesta ya no es solo una buena idea. La directiva NIS2 obliga a gestionar incidentes y a avisar en plazos fijos, y las aseguradoras de ciberriesgo lo piden para asegurar.
NIS2 pide gestión de incidentes (artículo 21.2.b) y que la dirección apruebe las medidas y responda de ellas (artículo 20). Los avisos a la autoridad tienen plazos cerrados (artículo 23.4 de la Directiva (UE) 2022/2555):
Sin un registro de lo que pasó en los equipos es difícil cumplir esos plazos: no sabrás a tiempo por dónde entraron ni qué tocaron. En España, la ley que traspone NIS2 seguía sin aprobarse a mediados de octubre de 2026, y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE el 8 de julio de 2026 (Comisión Europea). Lo explicamos en NIS2 en España.
Las aseguradoras van por delante. Marsh incluye el EDR entre sus 12 controles clave y dice que ya son un requisito mínimo para asegurar (Marsh). En su estudio de agosto de 2025, el EDR es el segundo control que más reduce la probabilidad de sufrir una brecha (Marsh McLennan).
Y si trabajas con la administración pública, el ENS en categoría ALTA pide «sistemas para detección de amenazas avanzadas y comportamientos anómalos» (medida op.mon.3, refuerzo R3 del Real Decreto 311/2022). Lo vemos en la guía de certificación ENS.
Cómo se implanta sin parar la empresa
Un EDR se implanta por fases y sin cortar el trabajo. Lo normal es empezar en modo observación en unos pocos equipos, comprobar que no molesta y extenderlo después al resto. Estos son los pasos:
- Inventario de equiposCuántos ordenadores y servidores hay y qué sistema operativo tiene cada uno.
- Despliegue por fasesEl agente se instala primero en modo observación: registra y avisa, pero todavía no bloquea.
- Conexión con el SOCLas alertas empiezan a llegar a los analistas que las van a vigilar.
- Acuerdo de respuestaSe deja por escrito qué puede hacer el MDR sin preguntar y qué necesita tu autorización.
- Prueba con un incidente simuladoSe comprueba que la alerta llega, que alguien responde y en cuánto tiempo.
Preguntas frecuentes
¿Un EDR sustituye al antivirus?
Normalmente lo incluye: los EDR actuales llevan la protección de un antivirus de nueva generación y añaden la detección por comportamiento y la respuesta. Lo que no sustituyen es a la persona que mira las alertas; para eso está el MDR.
¿Cuál es la diferencia entre EDR y XDR?
El EDR vigila ordenadores y servidores. El XDR cruza esa información con la del correo, la red, la nube y las cuentas de usuario, así que ve un ataque completo donde el EDR ve piezas sueltas.
¿Es mejor XDR que EDR para una pyme?
No siempre. Un XDR rinde si alguien lo opera a diario. Para una pyme sin equipo de seguridad suele proteger más un EDR bien gestionado con un MDR detrás que un XDR que nadie mira.
¿Necesito MDR si ya tengo EDR?
Si nadie revisa las alertas por la noche y los fines de semana, sí. El 88 % del ransomware se lanza fuera del horario laboral (Sophos, 2026). El MDR pone a alguien a responder en ese horario.
¿Un EDR ralentiza los ordenadores?
Un agente bien configurado apenas se nota en el uso diario. Por eso se despliega por fases y primero en modo observación: se comprueba el efecto en unos pocos equipos antes de activarlo en toda la empresa.
¿Qué diferencia hay entre XDR, SIEM y SOAR?
El SIEM recoge y relaciona los registros de todos los sistemas; el SOAR automatiza la respuesta; el XDR integra detección y respuesta sobre las fuentes de un mismo fabricante. En un SOC se usan juntos.
Por dónde empezar
Si hoy solo tienes antivirus, el primer paso es un EDR. Si nadie va a mirar sus alertas de noche, el segundo es un MDR. Y si te preocupa el ransomware, que no falte una copia de seguridad inmutable: es lo que te permite recuperarte si todo lo demás falla.
¿Quieres a alguien vigilando tus equipos las 24 horas?
Te proponemos EDR con SOC 24×7, como el de la Escola Oficial d’Idiomes de Barcelona.
Escribe sobre ciberseguridad, protección del dato e infraestructura IT a partir de lo que plantean las empresas y administraciones con las que trabaja ITGLOBAL.