Monitorización de la superficie de ataque frente a EDR y XDR: complemento, no competencia

La monitorización de la superficie de ataque externa y el EDR o XDR responden a preguntas distintas. El EDR (endpoint detection and response) y el XDR (extended detection and response) vigilan lo que ocurre en sus portátiles, servidores, cuentas en la nube y red: procesos, inicios de sesión, cambios en archivos, comportamientos sospechosos. La monitorización de la superficie de ataque externa vigila cómo se ve su empresa desde internet: dominios, DNS, certificados, configuración del correo, sitios web y servicios abiertos.

La respuesta corta, por tanto, es que no compiten. El EDR y el XDR le avisan cuando algo está ocurriendo dentro. La monitorización externa le dice qué puertas son visibles desde fuera, a menudo antes de que nadie las toque, y cubre elementos que nunca se ejecutan en un dispositivo que usted gestione.

Si ya paga una plataforma EDR o XDR, este artículo explica lo que no ve y cómo cerrar esa brecha sin comprar una segunda copia de la misma capacidad.

Lo que el EDR y el XDR hacen bien

El EDR instala un agente en cada endpoint. Registra la actividad de los procesos, bloquea comportamientos maliciosos conocidos y permite a un analista investigar y aislar un equipo. El XDR amplía la misma idea correlacionando señales de más fuentes, como pasarelas de correo, proveedores de identidad, cargas de trabajo en la nube y sensores de red.

Ambos destacan en:

• Detectar malware y comportamientos sospechosos en dispositivos gestionados.
• Identificar inicios de sesión inusuales y movimientos laterales dentro de la red.
• Ofrecer a los equipos de respuesta una cronología de lo ocurrido en un equipo.
• Contener un incidente aislando un host o desactivando una cuenta.

Su visión empieza allí donde están instalados sus agentes e integraciones.

Lo que no pueden ver

Gran parte de la exposición de una empresa está en sistemas que no tienen agente, o que ni siquiera gestiona usted:

• DNS y dominios. Un cambio de servidores de nombres, un dominio a punto de caducar o una transferencia de registrador ocurren en su registrador, no en un endpoint (consulte cambios de servidores de nombres y de registrador).
• Autenticación del correo. Sin DMARC, cualquiera puede enviar desde sus propios servidores correos que parecen suyos. Su EDR nunca ve ese correo.
• Dominios parecidos y páginas de inicio de sesión falsas alojados en infraestructura ajena.
• Hosts olvidados: un antiguo sitio de staging en una agencia, una página de marketing en un constructor web alojado, un servidor de pruebas en el que nadie instaló un agente. Consulte servidores de staging y de pruebas olvidados.
• Certificados TLS emitidos para sus nombres, y su caducidad.
• Servicios expuestos a internet en hosts que no figuran en su inventario.

Son justo las cosas que un atacante estudia primero. MITRE ATT&CK recoge el reconocimiento como una táctica propia, con técnicas como consultar bases de datos técnicas abiertas y los sitios web de la víctima. Todo eso ocurre antes de que se ejecute ningún malware.

De dentro hacia fuera y de fuera hacia dentro

Una forma sencilla de plantearlo es la dirección.

• De dentro hacia fuera (EDR, XDR): se parte de los dispositivos que usted conoce y se vigilan de cerca.
• De fuera hacia dentro (monitorización de la superficie de ataque externa): se parte de lo que internet muestra sobre su empresa y se llega a lo que usted posee.

La vista de fuera hacia dentro es también la forma de encontrar los dispositivos que usted no conocía. Si aparece un host bajo su dominio y su consola EDR nunca ha oído hablar de él, ha encontrado un hueco de cobertura, no solo un fallo de configuración.

En el NIST Cybersecurity Framework 2.0, las funciones principales son Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. El EDR y el XDR hacen la mayor parte de su trabajo en Detectar y Responder. La monitorización externa alimenta Identificar (conocer sus activos y su exposición) y Proteger (corregir configuraciones débiles antes de que se aprovechen), y añade una señal temprana de Detectar para cambios realizados fuera de su red.

Cómo comprobar si tiene una brecha

Un ejercicio rápido para su equipo de TI:

1. Exporte la lista de hosts que cubre su EDR o XDR.
2. Elabore una lista de nombres de host bajo sus dominios, por ejemplo desde crt.sh con %.yourcompany.com, más su zona DNS.
3. Resuelva cada nombre y compare:

dig +short app.yourcompany.com
dig +short CNAME promo.yourcompany.com

1. Marque cada nombre que apunte a una IP o servicio no cubierto por sus agentes.
2. Revise DMARC y los servidores de nombres, de los que ninguna herramienta de endpoint informa:

dig +short TXT _dmarc.yourcompany.com
dig +short NS yourcompany.com

Todo lo que salga en el paso 4 o un resultado débil en el paso 5 queda fuera de su detección actual.

Cómo hacer que ambos trabajen juntos

• Envíe los hallazgos externos a la misma cola de tickets que ya usa su equipo de seguridad, para que no formen un silo aparte.
• Cuando la monitorización externa encuentre un host nuevo, decida: instalar el agente, ponerlo detrás de un control de acceso o eliminarlo.
• Use las alertas externas (certificado nuevo, registro DNS modificado) como contexto en las investigaciones del XDR.
• Priorice los servicios expuestos con fallos que se sabe que se están explotando; CISA mantiene un catálogo de vulnerabilidades explotadas conocidas precisamente para esto.

Una lista de comprobación breve

• ¿Conocemos todos los nombres de host bajo nuestros dominios, y tiene cada uno un responsable?
• ¿Tiene agente cada servidor que gestionamos, o un motivo documentado para no tenerlo?
• ¿Quién recibe una alerta cuando cambian los servidores de nombres, el registrador o los registros MX?
• ¿Está DMARC en modo de aplicación?
• ¿Están cerrados a internet los puertos de acceso remoto y de bases de datos?

Dónde encaja Datahorses

Datahorses es la vista de fuera hacia dentro. Vigilamos su empresa desde fuera cada día, vemos lo que puede ver un atacante y le enviamos cada hallazgo con los pasos exactos para corregirlo, sin entrar en sus sistemas ni necesitar accesos. Funciona junto a su EDR o XDR, no en su lugar; consulte cómo vigilamos y por qué no necesitamos accesos.