EDR
Endpoint Detection and Response — software de seguridad en ordenadores y servidores (endpoints) que vigila el comportamiento de forma continua, detecta actividad sospechosa y permite a un equipo investigar y responder (por ejemplo, aislar una máquina infectada). El sucesor del antivirus tradicional.
La diferencia con el AV clásico: el antivirus busca ARCHIVOS maliciosos conocidos (firmas); el EDR observa el COMPORTAMIENTO — qué hacen los procesos, cómo se comunican, qué llamadas al sistema realizan — y por eso caza amenazas modernas como el malware sin archivos y las técnicas living-off-the-land que el AV pasa por alto. Funciones: telemetría detallada de la actividad del endpoint (para poder rastrear una intrusión a posteriori), detección automática de patrones sospechosos y capacidad de respuesta (aislar la máquina de la red, matar procesos, recoger evidencias forenses). Ejemplos: CrowdStrike Falcon, Microsoft Defender for Endpoint, SentinelOne. A menudo se apoya en monitorización cercana al kernel (eBPF). Se amplía en XDR (correlación entre más fuentes) y alimenta a SOAR/SIEM. El componente central de la seguridad moderna de endpoints.