MDR
En operaciones de seguridad, MDR es managed detection and response: un servicio en el que un proveedor pone los analistas, el proceso y normalmente la herramienta para vigilar el parque de un cliente y actuar sobre lo que encuentran. Se compra en vez de montar un equipo que cubra las veinticuatro horas, y lo que lo separa de la vigilancia de antes es el mandato de responder.
Cómo funciona
El proveedor despliega o adopta sensores, casi siempre su propio agente de endpoint más conectores a fuentes de identidad, correo, red y cloud, y ejecuta su propio contenido de detección sobre la telemetría resultante. Sus analistas trían a todas horas, investigan lo que sobrevive al triaje, y o escalan al cliente o ejecutan directamente las acciones de contención acordadas, como aislar un equipo o desactivar una cuenta.
La frontera con sus vecinos es cuestión de qué se está comprando. EDR y XDR son tecnología; un SOC es una función interna; MDR es esa función entregada como servicio. Un proveedor suele operar su propia plataforma, y por eso la elección tiende a venir con una decisión de tecnología pegada.
Qué sale mal
Lee el mandato antes que la hoja de producto, porque la palabra respuesta cubre acuerdos muy distintos. Hay contratos que permiten al proveedor aislar un equipo a las tres de la madrugada sin preguntar; otros le obligan a llamar por teléfono a alguien que igual no contesta. El segundo acuerdo es vigilancia con una vía de escalado más rápida, y cobrarlo como respuesta es la forma en que los clientes acaban creyendo que una intrusión se pararía cuando en realidad se comunicaría.
El segundo asunto es el contexto. Un proveedor no sabe cuál de tus servidores lleva las nóminas, qué ventana de mantenimiento está en marcha o qué administrador se supone que está trabajando a esa hora, así que sin una foto de activos mantenida su priorización es genérica. Los escalados llegan como descripciones técnicas y no como sucesos de negocio, y al cliente le toca convertir unas en otros.
El tercero es la cobertura. El servicio está acotado a las fuentes que cubre el contrato, y un atacante que opere enteramente en un plano no vigilado, típicamente un plano de control de cloud o una plataforma de correo que se dejó fuera para ahorrar, queda fuera por diseño.
Dónde aparece esto en una auditoría
La pregunta medible es qué hizo el proveedor de verdad, y un ejercicio adversario la responde con marcas de tiempo: cuándo fuimos visibles por primera vez en la telemetría, cuándo lo levantó el proveedor, qué escaló y qué contuvo. A los clientes les sorprende con frecuencia el número de en medio, no el primero. También probamos el plano que se dejó fuera de alcance, porque ahí es donde vive la distancia entre el contrato y la expectativa.