Los atacantes diseñan sus herramientas para pasar desapercibidas ante los antivirus tradicionales. Descubre qué tecnologías los reemplazaron y por qué cada PYME debería usarlas.
El antivirus fue diseñado para otro tipo de amenaza
En los años 90, el modelo del antivirus funcionaba: los virus tenían firmas únicas y la comunidad las identificaba. En 2026, ese modelo está obsoleto.
Los atacantes prueban sus herramientas contra todos los motores de antivirus antes de lanzarlas. El malware llega al endpoint con todas las firmas pasadas.
Qué es EDR y por qué importa
El EDR (Endpoint Detection and Response) monitorea el comportamiento de los procesos en tiempo real, no compara contra firmas conocidas.
Detecta cuando un proceso empieza a comportarse anómalamente: consultar la red cuando nunca lo hizo, modificar archivos del sistema, crear procesos hijos inusuales, exfiltrar datos.
Living off the Land: el ataque que el antivirus no ve
Living off the Land (LotL) es la técnica donde el atacante usa exclusivamente herramientas que ya existen en el sistema operativo: PowerShell, WMI, certutil. Sin malware. Sin archivos en disco.
Ejemplo típico: el empleado abre un documento con una macro, la macro ejecuta PowerShell en segundo plano, PowerShell descarga el payload en memoria y roba credenciales. El antivirus no ve nada. El EDR sí.
El error de configuración más común
El EDR en modo detección en lugar de prevención. En modo detección, alerta pero no bloquea. La PYME no tiene analista dedicado, las alertas se acumulan sin revisarse, y el atacante opera tranquilamente.
Configuración correcta para PYMEs: prevención automática para amenazas de alta confianza.
La protección que funciona en 2026
- EPP moderno con machine learning
- EDR con monitoreo de comportamiento
- Gestión centralizada de todos los endpoints
- Parches al día
- Principio de mínimo privilegio: los usuarios no deben ser administradores locales
Las capas de protección, lado a lado
«Antivirus», «EPP», «EDR», «XDR» y «MDR» se usan como sinónimos y no lo son. Esta tabla ordena qué hace cada una y qué no:
| Capa | Qué hace bien | Qué no hace |
|---|---|---|
| Antivirus de firmas | Bloquea malware conocido | No ve ataques nuevos ni los que no usan archivos |
| Protección moderna de endpoints (EPP) | Suma análisis de comportamiento y aprendizaje automático al bloqueo | Puede no darte visibilidad de qué pasó después de una intrusión |
| EDR | Registra lo que ocurre en el equipo, detecta comportamientos sospechosos y permite investigar y contener | Genera alertas que alguien tiene que atender |
| XDR | Correlaciona señales de endpoints, correo, identidad y red | Depende de integrar las fuentes y de que alguien lo opere |
| MDR (detección y respuesta gestionada) | Un equipo externo atiende las alertas y responde, con cobertura continua | Cuesta más, y necesitas definir qué puede hacer sin consultarte |
Qué preguntar al evaluar una herramienta
- ¿Funciona en modo prevención o solo avisa? La diferencia es la del párrafo anterior: una alerta que nadie atiende no detiene nada.
- ¿Qué ve en Windows, macOS y Linux? Muchos entornos tienen los tres, y los equipos Apple y los servidores se quedan sin cobertura con más frecuencia de la que se admite.
- ¿Puedo aislar un equipo de la red desde la consola con un clic? Es lo primero que necesitas en un incidente.
- ¿Cuánto tiempo conserva los registros? Para investigar una intrusión necesitas poder mirar semanas atrás, no solo horas.
- ¿Quién atiende las alertas a las 3 a. m.? Si la respuesta es «nadie», la herramienta es solo un registro.
- ¿Se integra con la identidad y el correo, que es por donde suelen entrar los ataques?
El EDR sin nadie mirando no es una defensa
Es el error más caro de una pyme: compra la herramienta, la configura en modo de solo aviso y no tiene a quién asignarle las alertas. Hay dos caminos honestos:
- Operarlo con personal propio, lo que exige que alguien tenga el tiempo y la formación, y un procedimiento para actuar fuera de horario.
- Contratar detección y respuesta gestionada (MDR), y definir por escrito qué acciones puede ejecutar el proveedor sin llamarte (aislar un equipo, deshabilitar una cuenta) y cuáles requieren tu aprobación.
Lo que no funciona es un tercer camino: instalar y esperar.
Los endpoints que se olvidan
- Servidores. Con frecuencia se protegen menos que los equipos de oficina y son el premio mayor.
- Equipos de teletrabajo y los que rara vez se conectan a la red de la empresa. Asegúrate de que reportan a la consola en cualquier lugar.
- Equipos Apple. Tienen sus propias debilidades; las resume Vulnerabilidades en macOS.
- Equipos de contratistas con acceso remoto que no están bajo tu control.
- Dispositivos móviles con acceso al correo y a los archivos de la empresa.
Lo que ninguna herramienta reemplaza
Un EDR detecta una parte de los ataques; el resto se evita con lo básico. Los usuarios sin privilegios de administrador local, los equipos actualizados y la configuración segura reducen la superficie antes de que el EDR tenga algo que detectar. Revisa Vulnerabilidades en Windows que afectan a las PYMEs, apóyate en la guía de hardening y en nuestro servicio de hardening. Para saber qué ver en el día a día, Monitoreo de seguridad para PYMEs explica qué señales importan.
¿Necesita convertir estas recomendaciones en responsables, evidencia y un plan verificable? Conozca nuestro servicio de servicios de DevSecOps y seguridad cloud.
¿Prefiere formarse en el tema? La Academia de Structa Defense ofrece, sin costo, un curso gratuito de seguridad en la nube en español.
Artículos relacionados
Continúe con estas guías del tema nube y microsoft 365.