Hay una pregunta que aparece con regularidad en los procesos de compra de seguridad: "¿necesitamos XDR o MDR?". Es una pregunta mal planteada. XDR es una plataforma tecnológica. MDR es un servicio. Compararlos directamente es como preguntar si necesitas un motor o un conductor, la respuesta depende de si ya sabes manejar y de cuántas horas puedes estar al volante.

La confusión no es culpa del equipo de seguridad. Es el resultado de años de marketing por parte de vendors que tienen interés en que las categorías parezcan intercambiables. Este artículo no vende ninguna plataforma. Explica qué hace cada tecnología, dónde termina una y empieza la otra, qué diferencia hay entre un MDR tradicional y uno con IA nativa, y cómo decidir según la realidad operativa de tu organización.

EDR: la capa base que ningún equipo puede saltarse

El EDR (Endpoint Detection and Response) monitoriza lo que ocurre en cada dispositivo, estaciones de trabajo, servidores, portátiles, registrando procesos, conexiones de red, cambios en el sistema de archivos y comportamiento de usuarios. Cuando detecta una anomalía este genera una alerta y dependiendo de la configuración, puede contener automáticamente el endpoint afectado.

Fortalezas:
Su fortaleza es la profundidad en el endpoint. Puede reconstruir con precisión la cadena de ejecución de un ataque: qué proceso padre lanzó qué proceso hijo, qué archivos modificó, qué conexiones estableció y en qué orden. Esa visibilidad forense es irreemplazable durante una investigación de incidente.

Limitaciones:
Su limitación es igualmente clara, el EDR solo ve lo que pasa en el endpoint. Un atacante que se mueve lateralmente usando credenciales legítimas, sin tocar disco ni ejecutar procesos sospechosos, puede pasar completamente desapercibido. El movimiento lateral vía living-off-the-land es exactamente el vector que más explotan los operadores de ransomware moderno y es invisible para un EDR que opera en aislamiento.

XDR: correlación multicapa cuando el endpoint no es suficiente

El XDR (Extended Detection and Response) agrega y correlaciona telemetría de múltiples capas simultáneamente endpoints, red, correo electrónico, cargas de trabajo en la nube, identidad, SaaS en un único plano de análisis. Nació como una extensión del EDR, por lo que sigue siendo EDR-céntrico en su arquitectura, pero amplía radicalmente la superficie de visibilidad.

Diferencias Operativas

La diferencia operativa es concreta. Un empleado recibe un correo con un adjunto malicioso, lo abre, el payload establece una conexión C2 y el atacante comienza a enumerar Active Directory. Un EDR detectará la ejecución del payload. Un XDR correlacionará el correo inicial, la conexión de red al C2, la consulta LDAP al AD y el comportamiento del proceso, generando un único incidente coherente en lugar de cuatro alertas separadas que un analista tiene que ensamblar manualmente.

Esa correlación automática reduce la fatiga de alertas, uno de los problemas operativos más documentados en los equipos de seguridad.

En entornos modernos con infraestructura cloud dinámica contenedores que se crean y destruyen en segundos, funciones serverless que solo existen durante su ejecución, desarrolladores que provisionan recursos diariamente, el XDR escala a través de integraciones vía API con AWS CloudTrail, Azure Security Center y GCP Security Command Center, extendiendo la cobertura automáticamente a nueva infraestructura sin necesidad de instalar agentes en cada recurso efímero.

Existen dos modelos que conviene distinguir:

• El XDR nativo integra telemetría exclusivamente del stack del mismo vendor, por lo que funciona mejor en entornos consolidados en un solo proveedor.
• El XDR abierto o híbrido ingiere telemetría de fuentes de terceros vía integraciones, es más flexible para entornos heterogéneos, pero requiere un mayor trabajo de configuración inicial.

MDR: la tecnología con analistas incluidos (y no todos los MDR son iguales)

El MDR (Managed Detection and Response) no es una tecnología, sino un modelo de servicio donde un proveedor externo opera la tecnología de detección y respuesta con cobertura 24/7. Lo que aporta y que la tecnología por sí sola no puede dar es el juicio en tiempo real sobre las alertas o, en los modelos más modernos, la investigación autónoma con supervisión humana para los casos que lo requieren.

Seamos claros: no todos los MDR son equivalentes. El mercado tiene hoy dos arquitecturas fundamentalmente distintas, y la diferencia determina lo que tu equipo realmente recibe.

• El MDR tradicional opera con analistas humanos que siguen playbooks deterministas por turnos. Cuando una alerta no encaja en un patrón predefinido o el analista tiene baja confianza en el veredicto, la escala a tu equipo con logs adjuntos. Tu equipo investiga la escalación de todas formas. La carga operativa regresa a ti: contrataste MDR para reducir trabajo y terminaste con el mismo trabajo más un intermediario.
• El MDR con IA nativa funciona de forma distinta. La plataforma ensambla telemetría, contexto organizacional e historial para investigar y alcanzar veredictos de forma autónoma. Un inicio de sesión sospechoso a las 3 a.m. no genera la misma respuesta para un representante de ventas que viaja regularmente que para un contratista dado de baja la semana pasada. El sistema ve el login, un MDR con IA suficientemente maduro entiende a la persona, sus patrones y si ese comportamiento es anómalo para ese usuario específico.

Al evaluar un proveedor de MDR, cuatro preguntas concretas separan a los que entienden los entornos cloud de los que solo marcan casillas en una hoja de ventas:

1. ¿qué porcentaje de tipos de alerta cubren por herramienta integrada?
2. ¿Qué contexto de negocio, identidad, dispositivo, RRHH, ubicación incorporan en cada investigación?
3. ¿Qué ocurre cuando la confianza de la IA es baja y quién investiga?
4. ¿Puedes ver el camino completo de la investigación o solo el veredicto final?

La capa que los vendors omiten: identidad y cloud moderno

La infraestructura moderna no es la red corporativa plana de hace diez años. Los entornos actuales tienen cargas de trabajo en Kubernetes, APIs expuestas, aplicaciones SaaS, accesos remotos permanentes y pipelines CI/CD que crean y destruyen instancias en minutos. Un EDR clásico no tiene visibilidad sobre un contenedor efímero que vive 30 segundos, ni sobre una API cloud que autentica con un token comprometido.

La monitorización de Kubernetes requiere lo que la industria denomina las "4 C": Cloud, Cluster, Container y Code. Implica visibilidad a nivel de namespace, monitoreo de RBAC, supervisión de seguridad de pods y seguimiento del API server. Las plataformas Kubernetes gestionadas siguen un modelo de responsabilidad compartida: el proveedor asegura la infraestructura subyacente, el cliente, sus contenedores y aplicaciones. Cualquier solución MDR o XDR debe cubrir explícitamente el lado del cliente de esa línea, no solo la capa de infraestructura.

La identidad es el vector más crítico y el más frecuentemente subestimado. Las identidades no humanas cuentas de servicio, APIs, agentes de IA superan en número a las humanas por márgenes significativos en organizaciones con automatización avanzada.

El informe de adversarios activos de Sophos documenta que más del 67% de los ataques analizados comenzaron con credenciales de identidad, no con exploits técnicos. Un stack que no correlaciona telemetría de identidad con actividad de endpoints, red y cloud tiene un punto ciego estructural donde opera la mayoría de los ataques modernos. La cobertura de SaaS, a su vez, funciona principalmente a través de esta capa de identidad: monitoreando eventos de autenticación y comportamiento de usuarios en el portafolio de aplicaciones, sin necesidad de integraciones directas con cada vendor.

Cómo funcionan juntos y una aclaración sobre MXDR

EDR, XDR y MDR no son excluyentes. El EDR provee visibilidad forense profunda en el endpoint. El XDR agrega esa telemetría junto con señales de red, correo, identidad y cloud en incidentes coherentes. El MDR agrega una capa de analistas o IA supervisada sobre esa plataforma, operando la detección y respuesta cuando el equipo interno no puede o no está disponible.

Un proveedor de MDR, en la práctica, utiliza una plataforma XDR bajo el capó. Cuando contratas MDR, no estás reemplazando tu tecnología, sino agregando el servicio que la opera.

Sobre el término MXDR (Managed XDR): no es una categoría distinta. Es un término de marketing que algunos vendors usan para decir "gestionamos nuestra propia plataforma XDR para ti" y otros para "operamos sobre tu XDR existente". La etiqueta no dice nada relevante por sí sola, lo que importa es qué investiga realmente el proveedor, qué autoridad de respuesta tiene y si puede demostrar la calidad de la investigación en una prueba de concepto en tu entorno específico.

Marco de decisión según el tamaño y la madurez del equipo

El tiempo de despliegue también es una variable real. Un MDR bien implementado puede dar cobertura inicial en días. Un XDR que alcanza una madurez operativa real con reglas de detección ajustadas al entorno, playbooks desarrollados y equipo entrenado normalmente requiere meses. Esa brecha temporal es uno de los argumentos más sólidos para un enfoque MDR-primero en organizaciones que necesitan cobertura inmediata.

Conclusión: la herramienta da visibilidad, el servicio da cobertura

La elección entre EDR, XDR y MDR no es una decisión puramente tecnológica. Es una decisión operativa que depende de cuántas personas tienes, cuántas horas al día pueden responder a amenazas y qué tan complejo es el entorno que necesitas monitorizar.

Un XDR sin un equipo que lo opere es tecnología cara generando alertas que nadie procesa. Un MDR tradicional, sin entender su arquitectura, puede ser contratar a un intermediario que te devuelve el trabajo con logs adjuntos. Un EDR aislado, en entornos cloud con trabajo remoto, es una defensa con un punto ciego estructural exactamente donde operan los atacantes hoy.

La arquitectura correcta integra las tres capas con roles claros. Lo que varía según tu organización no es si necesitas las tres, sino en qué proporción, con qué modelo de operación y si el MDR que contratas resuelve investigaciones o simplemente te las escala de vuelta.