Detección y respuesta en la red (NDR): guía completa

NDR son las siglas de «detección y respuesta de red». Se trata de una tecnología de ciberseguridad que supervisa continuamente el tráfico de red mediante inteligencia artificial y análisis de comportamiento para detectar amenazas en tiempo real. A diferencia de las herramientas de seguridad tradicionales, que se basan en firmas conocidas o en datos de registro, el NDR analiza las comunicaciones reales de la red, tanto el tráfico norte-sur que atraviesa el perímetro como el tráfico este-oeste que se desplaza lateralmente entre los sistemas internos.

El NDR detecta amenazas como el movimiento lateral, las comunicaciones de comando y control, la exfiltración de datos, el uso indebido de credenciales y las anomalías en el tráfico cifrado. Ofrece capacidades de respuesta automatizada, tales como el aislamiento de hosts, la interrupción de sesiones y la integración con plataformas SOAR para una respuesta coordinada ante incidentes. Esta categoría fue definida oficialmente por Gartner en 2020 y validada con el primer Cuadrante Mágico para NDR en 2025.

Las organizaciones implementan soluciones NDR para subsanar la falta de visibilidad entre la detección basada en endpoints (EDR) y la basada en registros (SIEM), especialmente en el caso de dispositivos no gestionados, sistemas de IoT/OT y cloud que no pueden ejecutar agentes de endpoint.

Los sistemas NDR y EDR supervisan fuentes de datos fundamentalmente diferentes y destacan en distintos escenarios de detección. El NDR supervisa el tráfico de red en toda la infraestructura, lo que proporciona visibilidad sobre las comunicaciones entre todos los dispositivos —gestionados, no gestionados y de IoT/OT—. Se implementa sin agentes mediante TAP de red, puertos SPAN y registros cloud , por lo que no requiere la instalación de software en los dispositivos supervisados.

EDR supervisa los terminales individuales mediante la instalación de agentes ligeros en cada dispositivo. Ofrece una visibilidad detallada de la ejecución de procesos, los cambios en los archivos, la actividad de la memoria y las modificaciones del registro en cada host.

El NDR destaca en la detección de movimientos laterales, amenazas de tráfico cifrado y ataques contra dispositivos no gestionados. El EDR destaca en la detección malware , ataques sin archivos y amenazas a nivel de procesos en sistemas gestionados. El NDR proporciona el contexto de toda la red del que carece el EDR, mientras que el EDR ofrece el detalle a nivel de terminal que el NDR no puede ver. La mayoría de las arquitecturas de seguridad requieren ambas tecnologías como pilares complementarios de la tríada de visibilidad del SOC.

Aunque tanto el NDR como el SIEM contribuyen a la detección de amenazas, cumplen funciones principales diferentes. El NDR analiza el tráfico de red en tiempo real mediante el análisis de comportamiento y el aprendizaje automático, detectando anomalías en las comunicaciones reales de la red. El SIEM recopila, correlaciona y analiza los datos de registro de toda la organización mediante una detección basada en reglas.

La diferencia fundamental radica en la dependencia de los datos. El SIEM depende de que los dispositivos y las aplicaciones generen y reenvíen registros. Si un dispositivo no genera registros, si estos están incompletos o mal configurados, o si un atacante altera los mecanismos de registro, el SIEM pierde visibilidad. El NDR supervisa el propio tráfico de red, algo que los atacantes no pueden ocultar fácilmente, ya que cada comunicación de red genera patrones de tráfico observables.

El NDR ofrece una visibilidad única de la red en el eje este-oeste de la que carecen la mayoría de las implementaciones de SIEM. El SIEM ofrece una cobertura organizativa más amplia mediante la agregación de registros y constituye la plataforma principal para la elaboración de informes de cumplimiento normativo, los registros de auditoría y la conservación de registros. Las organizaciones obtienen el máximo beneficio al integrar ambas soluciones: las detecciones del NDR enriquecen las correlaciones del SIEM con pruebas de la red.

NDR se centra específicamente en la detección y la respuesta a nivel de red, y ofrece una visibilidad detallada de los patrones de tráfico de red, las anomalías de comportamiento y los flujos de comunicación. XDR amplía las capacidades de detección y respuesta a múltiples ámbitos de seguridad —terminales, red, cloud, correo electrónico e identidad— y correlaciona los datos de telemetría procedentes de diversas fuentes para convertirlos en incidentes unificados.

El NDR puede funcionar como una tecnología de seguridad independiente o como el componente de red dentro de una plataforma XDR más amplia. Muchas soluciones XDR incluyen capacidades de NDR, pero pueden carecer de la profundidad que ofrecen las soluciones NDR especializadas en el análisis del tráfico de red y la detección de comportamientos.

La línea divisoria entre NDR y XDR se está difuminando. Algunos proveedores amplían sus plataformas NDR para incluir cloud de terminales y cloud , avanzando así de hecho hacia el XDR. Otros comienzan con el XDR y profundizan en sus capacidades de análisis de red. Las organizaciones deben evaluar si necesitan la visibilidad profunda de la red que ofrece un NDR independiente, la correlación entre dominios del XDR, o ambas integradas en una plataforma unificada.

Sí. Las soluciones NDR modernas analizan el tráfico cifrado sin descifrarlo, lo cual es fundamental, ya que actualmente el 87 % o más de las amenazas utilizan canales cifrados. El NDR examina múltiples atributos de las comunicaciones cifradas para identificar anomalías.

El análisis de metadatos examina atributos de conexión como las direcciones de origen y destino, los puertos, los protocolos, los detalles de los certificados, la duración de la sesión y los volúmenes de datos. La identificación de huellas digitales JA3 y JA4 permite identificar las aplicaciones de cliente y servidor basándose en los parámetros de su protocolo de enlace TLS, lo que permite detectar malware presenta huellas digitales distintivas que difieren de las del software legítimo. El análisis de certificados comprueba la presencia de certificados autofirmados, certificados caducados y atributos de certificado inusuales asociados a infraestructuras maliciosas.

El análisis de sincronización y entropía detecta patrones de comunicación —llamadas periódicas a servidores de comando y control— y flujos de datos anómalos basándose en los intervalos de tiempo y la entropía de la carga útil. Estos patrones de comportamiento revelan amenazas incluso cuando el contenido real de la carga útil está cifrado, lo que hace que el NDR sea esencial en entornos donde la mayor parte del tráfico utiliza TLS u otros protocolos de cifrado.

La tríada de visibilidad del SOC es un concepto que Gartner introdujo en 2019 en el informe de investigación «Aplicación de enfoques centrados en la red para la detección y respuesta ante amenazas». Describe tres tecnologías complementarias que, en conjunto, proporcionan una visibilidad completa de las amenazas a los centros de operaciones de seguridad.

Los tres pilares son el SIEM para el análisis basado en registros, el EDR para la detección y respuesta en los puntos finales, y el NDR para la detección y respuesta en la red. Cada tecnología supervisa una fuente de datos diferente y cubre una parte distinta de la superficie de ataque. El SIEM analiza los registros de las aplicaciones, los sistemas y la infraestructura. El EDR supervisa el comportamiento de los puntos finales, incluidos los procesos, los archivos y la memoria. El NDR supervisa los patrones de tráfico de red y las comunicaciones.

El concepto de la tríada reconoce que ninguna herramienta por sí sola ofrece una visibilidad completa del entorno de una organización. Los atacantes se aprovechan de las lagunas que existen entre las herramientas. La NDR cubre esa laguna crítica en la visibilidad de la red, al detectar amenazas en el tráfico este-oeste, en las comunicaciones cifradas y en la actividad relacionada con dispositivos no gestionados que ni el SIEM ni el EDR pueden observar. Las organizaciones que implementan los tres pilares logran una cobertura de detección significativamente mejor que aquellas que se basan en una o dos tecnologías.

El NDR es totalmente compatible con zero trust , ya que verifica de forma continua el comportamiento de la red en lugar de confiar implícitamente en cualquier tipo de tráfico. En un zero trust , no se confía de forma implícita en ningún usuario, dispositivo o segmento de red, y todas las comunicaciones deben validarse continuamente.

El NDR contribuye al zero trust varias maneras. Supervisa todo el tráfico de la red interna —no solo el tráfico perimetral— y detecta comportamientos anómalos incluso en usuarios autenticados y segmentos de red de confianza. Identifica desviaciones respecto a los patrones de comportamiento establecidos que puedan indicar credenciales comprometidas o amenazas internas. Ofrece visibilidad sobre las comunicaciones este-oeste entre microsegmentos, verificando que se apliquen las políticas de segmentación y detectando movimientos no autorizados entre segmentos.

El NDR también supervisa los dispositivos no gestionados y los dispositivos IoT/OT que podrían no estar sujetos a zero trust basados en la identidad, garantizando que el comportamiento de red de estos dispositivos se ajuste a los patrones esperados. Dado que más del 67 % de las organizaciones están implementando zero trust , la verificación continua del comportamiento que ofrece el NDR se está convirtiendo en un componente cada vez más esencial de la infraestructura de seguridad.

El NDR en línea y el NDR fuera de banda representan dos arquitecturas de implementación diferentes con ventajas e inconvenientes distintos. El NDR en línea se sitúa directamente en la ruta de la red e inspecciona el tráfico a medida que pasa por el sensor. Esta ubicación permite bloquear en tiempo real el tráfico malicioso, pero introduce latencia y crea un posible punto único de fallo en caso de que el sensor funcione mal.

El NDR fuera de banda supervisa las copias del tráfico de red proporcionadas por los TAP de red o los puertos SPAN. Analiza este tráfico duplicado sin intervenir en la ruta de datos. Este enfoque elimina la latencia y el riesgo de fallos, pero no puede bloquear directamente el tráfico malicioso; debe integrarse con cortafuegos, conmutadores o EDR para aplicar medidas de contención.

La mayoría de las implementaciones de NDR en empresas utilizan arquitecturas fuera de banda, ya que ofrecen una supervisión exhaustiva sin riesgo de interrumpir la red. Las implementaciones en línea son más habituales en entornos con requisitos específicos de bloqueo en tiempo real, como infraestructuras críticas o entornos que manejan datos altamente confidenciales, en los que el bloqueo inmediato y automatizado compensa las desventajas operativas. Muchas organizaciones adoptan un enfoque híbrido: fuera de banda para una supervisión general y sensores en línea en los puntos críticos.

No. La supervisión tradicional de redes y el NDR tienen fines distintos. La supervisión de redes se centra en la disponibilidad y el rendimiento: realiza un seguimiento de la utilización del ancho de banda, el tiempo de actividad, la latencia y la pérdida de paquetes para garantizar que la red funcione de forma fiable. Herramientas como los monitores SNMP y los sistemas de gestión del rendimiento de la red entran dentro de esta categoría.

El NDR va mucho más allá al aplicar análisis de comportamiento basados en inteligencia artificial específicamente para la detección de amenazas. El NDR establece patrones de referencia del comportamiento de la actividad normal de la red, detecta anomalías que indican amenazas de seguridad, correlaciona múltiples señales para identificar incidentes de seguridad priorizados y ofrece capacidades de respuesta automatizadas o guiadas para contener las amenazas.

Aunque ambas tecnologías supervisan el tráfico de red, sus objetivos difieren de manera fundamental. La supervisión de red se pregunta: «¿Funciona correctamente la red?». El NDR se pregunta: «¿Hay alguien atacando la red?». Las fuentes de datos pueden solaparse, pero los modelos analíticos, los objetivos de detección y las capacidades de respuesta son totalmente diferentes. El NDR complementa la supervisión de red, y muchas organizaciones utilizan ambas: la supervisión de red para obtener visibilidad operativa y el NDR para obtener visibilidad de seguridad.

La IA es la tecnología fundamental que hace posible el NDR moderno. Sin la IA y el aprendizaje automático, el NDR volvería a la detección basada en firmas, el enfoque que caracterizó la era de los IDS/IPS y que resultó insuficiente frente a las amenazas actuales.

Los modelos de aprendizaje automático sustentan el establecimiento de patrones de referencia de comportamiento, la función principal del NDR. Estos modelos observan los patrones normales de la red para cada dispositivo, usuario y subred a lo largo del tiempo, aprendiendo así qué constituye un comportamiento típico. Cuando el tráfico en tiempo real se desvía de estos patrones de referencia, los modelos señalan las anomalías para su investigación. Este enfoque detecta amenazas nuevas que aún no cuentan con una firma definida.

Los modelos de aprendizaje profundo se encargan de tareas complejas de reconocimiento de patrones, como identificar comunicaciones de mando y control dentro del tráfico cifrado, detectar la filtración gradual de datos a lo largo de numerosas sesiones de pequeño volumen y reconocer patrones de ataque en varias fases que se prolongan durante horas o días. El análisis estadístico complementa a los modelos de aprendizaje automático para la detección de valores atípicos en el tráfico de gran volumen.

La última generación de NDR incorpora la IA con agentes: agentes de IA autónomos que investigan las alertas, recopilan señales de comportamiento para reconstruir el recorrido completo de los ataques y priorizan los incidentes en función del riesgo empresarial. Esto reduce la carga de trabajo de los analistas del SOC y permite responder más rápidamente a las amenazas reales, al tiempo que se filtran los falsos positivos.