EDR en endpoints: por qué el antivirus tradicional ya no alcanza en PR

Brian Krebs documenta con frecuencia en Krebs on Security cómo grupos de ransomware evaden firmas de antivirus tradicional usando variantes frescas y living-off-the-land. En Puerto Rico vemos el mismo patrón: distribuidoras en Bayamón y bufetes en Hato Rey con suites "enterprise" que bloquean malware conocido pero no detectan movimiento lateral cuando un contador abre un adjunto falso de Hacienda.

EDR — Endpoint Detection and Response — no es antivirus con marketing nuevo. Es telemetría continua de procesos, conexiones de red, cambios en registro y respuesta automatizada o asistida. CISA recomienda capacidades EDR como baseline para organizaciones con datos sensibles; para una PYME de 40 usuarios, Microsoft Defender for Business o CrowdStrike Falcon Go son puntos de entrada razonables sin contrato de seis cifras.

La implementación importa tanto como la licencia. Despliegue en todas las laptops — incluidas las personales bajo BYOD acordado —, integración con identidad (M365 o Google), y reglas de exclusión documentadas. El error típico en PR es instalar el agente y nunca revisar alertas porque "no hay quien las vea". Sin triage semanal, EDR es registro caro de incidentes que ya ocurrieron.

Recomendamos empezar con tres playbooks: ransomware en curso (aislar host, preservar memoria, escalar), credenciales robadas (reset forzado, revisión de sesiones cloud), y herramienta admin sospechosa (PsExec, Mimikatz patterns). Un MSSP regional o retainer de IR puede cubrir caza fuera de horario si su IT interno son dos personas.

Puerto Rico comparte amenazas con el mainland US pero con presupuestos de PYME caribeña. EDR bien operado cierra la brecha entre "tenemos antivirus" y "podemos responder antes de que cifren el servidor de QuickBooks". Eso es lo que preguntan ahora los clientes enterprise al renovar contratos con proveedores locales.