Por supuesto. Le proporcionaremos un agente EDR con todas las prestaciones gestionado por nuestro equipo, que se desplegará en los endpoints a proteger. Somos agnósticos de otros agentes EDR en sus endpoints, por lo que si decide iniciar una prueba gratuita de nuestro servicio, no necesitará desinstalar las otras soluciones de seguridad.

La telemetría de este nuevo EDR es lo que nuestro equipo procesará y analizará. La diferencia clave ahora es que se investigará en tiempo real, mientras que en un escenario de sólo EDR, todo se «tira a la basura». Algunos ejemplos de fuentes de telemetría son Eventos de Procesos (nuevos procesos, estado, privilegios, módulos cargados…), Eventos de Usuario (eventos de inicio de sesión, autenticaciones fallidas…), Eventos de Registro (estados de key/value, nuevas entradas…), Eventos de Archivos (Crear – Leer – Actualizar – Eliminar para archivos monitorizados), Eventos de Red, autoejecutables, tareas programadas y muchos más. Póngase en contacto con nosotros para obtener todos los detalles técnicos.

Siempre queremos tener el menor acceso posible en sus redes, y nos quedaremos en lo estrictamente necesario, para evitar riesgos en la cadena de suministro.

• Agente EDR gestionado en sus endpoints: Una vez instalado el agente EDR, podemos operar completamente. Sin necesidad alguna de cuentas de dominio ni nada similar.
  

  ---

• MDR para cuentas M365: Los Audit Logs se habilitarán en sus Tenants, y a través de una cuenta de administrador global suya, en el onboarding tendrá que proporcionarnos acceso a los registros, incidentes, eventos de seguridad, configuración del buzón (NO los correos en sí, no necesitamos escanear ni leerlos) entre algunos otros.

Todas las amenazas detectadas se neutralizarán lo antes posible. Esto puede significar, por ejemplo, que un host que esté siendo utilizado como acceso inicial por los atacantes haya sido aislado para detener la amenaza, y que haya que tomar algunas medidas. Dependerá de la gravedad del problema: los artefactos de malware se pondrán en cuarentena o se eliminarán al instante, pero un usuario comprometido puede simplemente bloquearse hasta que usted, como administrador, cambie su contraseña.

Todo este procedimiento de toma de decisiones se hablará y definirá con nuestros clientes antes del despliegue del servicio.

Hay ciertos pasos de mitigación que no podemos realizar, la mayoría relacionados con Active-Directory. Por ejemplo, el atacante ha creado una GPO maliciosa, o un usuario de dominio privilegiado. La amenaza se habrá detenido y neutralizado, por supuesto, pero no podemos eliminar estos rastros del atacante a nivel de endpoint, por lo que su equipo administrativo de TI recibirá las tareas exactas y concisas que debe realizar. Siguiendo este ejemplo: Eliminar la GPO maliciosa cuyo GUID es: «xxxxx». Aunque, depende del cliente concedernos acceso temporal o similar para que implementemos las mitigaciones.

La gran mayoría de las empresas no cuentan con personal de seguridad las 24 horas del día. Nuestro servicio MDR le proporcionará cobertura 24/7, porque los atacantes suelen trabajan duro mientras los empleados y usuarios duermen.

La comunicación entre nuestros clientes y nosotros, los proveedores de servicios, se definirá antes de la implementación, estableciendo canales para cada tipo de interacción.

Además, en algún momento transferiremos nuestro flujo de trabajo a su equipo, normalmente para correcciones. Los procedimientos de toma de decisiones se habrán acordado previamente (véanse las FAQ anteriores).

Tenemos un artículo entero que explica cómo funcionan los EDR y por qué no bastan por sí solos para detener el malware moderno. Incluso creamos un artefacto de malware personalizado para mostrar cómo elude las detecciones de un EDR muy conocido. Enlace aquí!

Los productos EDR son increíbles y realmente valiosos. Aunque están diseñados como una herramienta para los Blue Teams, es decir, los equipos defensivos. Los EDR son muy complejos y difíciles de utilizar en profundidad, y procesar la telemetría que proporcionan es básicamente imposible para la mayoría de los equipos de TI, ya que eso requiere una infraestructura compleja y, de nuevo, cobertura 24 horas al día, 7 días a la semana. Si no, los atacantes sólo tienen que esperar a que no haya ningún empleado trabajando.

Los vendedores y proveedores de EDR han empujado con fuerza esta tecnología a casi todas las pymes, y aunque venderlas de forma autónoma funciona gracias a sus algoritmos de decisión y Machine Learning en la nube, se quedan cortas frente a los ataques complejos, cada vez más comunes. Aunque los atacantes suelen quedar registrados en la telemetría del EDR, lo que ocurre es que nadie la procesa.