Evasión de EDR (EDR evasion)
En seguridad ofensiva, la evasión de EDR es el conjunto de técnicas que un red team emplea para operar en una máquina sin que el producto de detección y respuesta en el endpoint levante una alerta. Importa porque tener EDR no es lo mismo que tener cobertura, y demostrar esa distancia es algo que ningún fabricante de EDR va a escribir en su propio glosario.
Cómo funciona
Los productos EDR vigilan una máquina con varios sensores: callbacks en el kernel, hooks en modo usuario sobre bibliotecas habituales, y telemetría enviada a una plataforma de analítica en cloud. La evasión trabaja contra cada capa. En lugar de dejar caer un binario malicioso conocido, el operador se mezcla con la actividad legítima usando utilidades del sistema firmadas (binarios de living off the land), ejecuta el payload en memoria para no escribir ningún fichero en disco, quita los hooks o evita las funciones monitorizadas, y da al tráfico de mando y control un aspecto corriente. Nada de esto derrota al producto de frente. Derrota una detección concreta: el objetivo es quedarse por debajo del umbral a partir del cual se le pide a una persona que mire.
Qué sale mal
El fallo es tratar un agente desplegado como si fuera cobertura. En los parques que probamos, el EDR está instalado pero afinado de forma conservadora para evitar falsos positivos, algunas máquinas están en modo solo observación, y la analítica que cazaría una cadena sutil no la revisa nadie porque nadie tiene tiempo. Desde el asiento del atacante ese es el juego completo: no necesitamos desactivar el agente, necesitamos una sola ruta en la que la acción sea técnicamente visible pero ninguna regla la convierta en alerta, o en la que la alerta caiga en una cola que nadie trabaja. Las operaciones más eficaces son silenciosas, no ingeniosas, y explotan mucho más a menudo el hueco operativo que una vulnerabilidad del producto.
Dónde aparece esto en una auditoría
Un encargo que incluya evasión produce dos salidas útiles: qué hicimos y si se vio. Registramos cada acción, la telemetría que debería haber generado y si el EDR alertó, bloqueó o se quedó callado, para que el cliente pueda pasar los huecos directamente a su función de ingeniería de detección. El hallazgo se escribe contra la detección que falta, no contra el producto. Así es como probamos si la detección salta de verdad en vez de suponer que un agente instalado equivale a cobertura.