XDR, SIEM y EDR: en qué se diferencian en un SOC real
EDR vigila el endpoint, SIEM centraliza logs de cualquier fuente y XDR correlaciona varias capas de serie. Qué aporta cada uno al trabajo diario de un SOC.
- xdr
- siem
- edr
- soc
- vision-one
- deteccion
Un EDR vigila lo que pasa dentro de cada equipo y puede aislarlo. Un SIEM recoge logs de cualquier fuente, los guarda y permite correlacionarlos y buscar en ellos. Un XDR junta la telemetría de varias capas (endpoint, correo, identidad, red, cloud) normalmente de un mismo fabricante, y la correlaciona por ti en un único incidente. No son sustitutos exactos: se solapan, y la mayoría de SOCs acaban usando dos de los tres.
Trabajo a diario con Trend Micro Vision One, que es un XDR, así que lo que sigue sale de esa perspectiva.
EDR: el detalle del endpoint
El EDR registra procesos, conexiones de red, cambios en el registro y ficheros, y detecta comportamiento sospechoso en el propio equipo. Su fuerza es la profundidad: puedes ver el árbol de procesos completo de un winword.exe que lanzó powershell.exe con un comando codificado, y aislar el equipo de la red con un botón.
Su límite es que solo ve endpoints. Un inicio de sesión desde una IP rara en Microsoft 365 o una regla de reenvío creada en un buzón no pasan por ahí.
SIEM: todo en un sitio, a tu manera
Un SIEM (Splunk, Microsoft Sentinel, QRadar, Elastic, Wazuh) ingesta logs de lo que quieras: firewalls, controladores de dominio, proxies, aplicaciones propias, cloud. Lo que aporta:
- Retención larga y búsqueda sobre todo ese histórico.
- Reglas de correlación propias, escritas para tu entorno.
- Cumplimiento normativo: muchas auditorías piden logs centralizados durante un tiempo concreto.
A cambio, da trabajo: normalizar fuentes, escribir y afinar reglas, pagar por volumen ingestado. Un SIEM recién instalado y sin afinar genera ruido, no detección.
XDR: correlación ya hecha
El XDR parte de que el fabricante controla los sensores de varias capas y por tanto puede correlacionarlos de serie. En la práctica, en vez de tres alertas sueltas (correo sospechoso entregado, macro ejecutada, conexión a un dominio nuevo) recibes un único incidente con la secuencia completa y el usuario afectado.
Para el triaje de alertas eso cambia mucho el tiempo por incidente. La contrapartida es que la visibilidad es mejor dentro del ecosistema del fabricante y más pobre fuera de él.
Tabla comparativa
| EDR | SIEM | XDR | |
|---|---|---|---|
| Fuentes | Endpoints | Cualquiera | Varias capas, mismo fabricante |
| Correlación | En el equipo | Reglas propias | De serie |
| Respuesta | Aislar, matar proceso | Vía SOAR | Integrada |
| Retención | Corta | Larga | Media |
| Esfuerzo de ajuste | Bajo | Alto | Medio |
Cuál necesita una empresa mediana
Si hay que elegir uno, para una organización sin equipo para mantener reglas de correlación, un XDR (o un EDR con servicio gestionado) da más detección por hora de trabajo. El SIEM llega cuando hace falta retención por normativa, cuando hay fuentes que el XDR no cubre (OT, aplicaciones propias) o cuando el equipo quiere escribir su propia detección. Lo habitual es acabar con XDR y SIEM a la vez, con el XDR enviando sus incidentes al SIEM.
Preguntas frecuentes
¿El XDR sustituye al SIEM?
En algunas organizaciones pequeñas, sí. En cuanto hay requisitos de retención de logs o fuentes de terceros, no: se complementan.
¿Qué es un SOAR?
Una plataforma de orquestación y respuesta automatizada que ejecuta playbooks sobre alertas: enriquecer un IOC, abrir un ticket, bloquear un usuario. Muchos SIEM y XDR ya incluyen parte de esa función.
¿Y MDR?
Managed Detection and Response no es un producto sino un servicio: un equipo externo vigila y responde usando EDR o XDR. Es la opción cuando no hay SOC propio 24x7.