EDR, XDR, MDR, SIEM, SOC y SOAR: qué es cada uno, en qué se diferencian y cuál necesita tu empresa
Una guía clara, con tablas e infografías y fuentes enlazadas, para entender las siglas de la detección y la respuesta y elegir con criterio.
EDR detecta y contiene amenazas en equipos; XDR amplía esa vista a correo, identidad, red y nube; MDR es el servicio con analistas que opera la detección y la respuesta; SIEM centraliza y correlaciona registros; y el SOC es el equipo y los procesos que vigilan y responden las 24 horas. Se complementan; en general, una no sustituye a las demás.
- Tecnologías: EDR, XDR, SIEM y SOAR son herramientas.
- Servicios y equipos: MDR es un servicio y SOC es un equipo.
- Para una empresa mediana, lo habitual es EDR más MDR antes que un SOC propio (criterio editorial).
- Lo crítico: si nadie atiende las alertas, una herramienta pierde gran parte de su valor.
Respuesta rápida: qué es cada uno
Seis siglas que se confunden, ordenadas de lo más cercano al equipo a lo más cercano al negocio:
| Sigla | Qué es | Qué ve | Quién lo opera | Qué NO hace |
|---|---|---|---|---|
| EDR | Herramienta de detección y respuesta en equipos | Lo que ocurre en laptops y servidores | Tu equipo de TI o seguridad, o un MDR | No ve por completo el correo, la red ni las identidades; no vigila 24/7 por sí sola |
| XDR | Plataforma que correlaciona varias capas | Equipos, correo, identidad, red y nube (según el fabricante) | Tu equipo o un MDR | No sustituye la retención amplia de registros ni el cumplimiento |
| MDR | Servicio gestionado de detección y respuesta | Lo que cubra la tecnología del servicio | El proveedor | No gestiona parches, arquitectura ni gobierno; el alcance de respuesta depende del contrato |
| SIEM | Plataforma que centraliza y correlaciona registros | Cualquier fuente que envíe registros | Tu equipo o un SOC | No detecta ni responde por sí solo; requiere afinación y analistas |
| SOC | Equipo, procesos y herramientas de vigilancia | Lo que integre | Interno, externo o híbrido | No es una herramienta; un SOC propio 24/7 es costoso |
| SOAR | Automatización de respuesta con guías predefinidas | Alertas y casos de otras herramientas | El SOC | No detecta; si se automatiza mal, amplifica errores |
Un incidente, paso a paso: cómo trabajan juntos
Estas piezas no compiten: forman una cadena. Así se ve un ataque de principio a fin en una arquitectura típica (flujo editorial, consistente con la definición del SOC de NIST: monitorear, correlacionar, analizar y responder):
- 1EDR detectaUn equipo empieza a cifrar archivos o a robar credenciales. El EDR lo ve y puede aislarlo.
- 2SIEM o XDR correlacionaCruza esa señal con identidad, correo, red y nube para ver el ataque completo.
- 3El SOC investigaUn analista confirma que es real, mide el alcance y prioriza.
- 4MDR o respuesta contieneSe cierra la cuenta, se aísla lo afectado y se erradica al atacante.
- 5SOAR automatizaEjecuta las acciones repetitivas: bloquear, notificar y abrir tickets.
- 6Lecciones y evidenciaLos registros del SIEM alimentan la auditoría y el cumplimiento.
Flujo de referencia editorial de Cyberkust. La definición de SOC de NIST: csrc.nist.gov.
¿Qué es un EDR (Endpoint Detection and Response)?
Un EDR es una herramienta instalada en laptops y servidores que registra lo que hacen los programas, detecta comportamientos sospechosos y permite aislar el equipo e investigar lo ocurrido. A diferencia del antivirus tradicional, que reconoce amenazas ya conocidas, el EDR observa el comportamiento.
El término lo acuñó en 2013 Anton Chuvakin, de Gartner, como "endpoint threat detection and response" (referencia secundaria). Si quieres el detalle, lee nuestra guía de endpoints y EDR o conoce el servicio de protección de endpoints gestionada.
¿Qué es un XDR (Extended Detection and Response)?
El XDR extiende la idea del EDR a más capas: correo, identidades, red y nube. En lugar de ver cada alerta por separado, correlaciona señales para reconstruir el ataque completo. Gartner lo describe como una plataforma unificada de detección y respuesta que recopila y correlaciona datos de varios componentes de seguridad.
El término se atribuye a Nir Zuk, de Palo Alto Networks, en 2018 (referencia secundaria). Existen XDR nativos, de un solo fabricante, y abiertos, que integran herramientas de varios.
¿Qué es un MDR (Managed Detection and Response)?
El MDR no es una herramienta sino un servicio: un equipo externo opera la detección y la respuesta con tecnologías como EDR o XDR, investiga las alertas y contiene las amenazas. Es la forma en que muchas empresas obtienen vigilancia 24/7 sin armar un equipo propio.
Gartner publicó guías de mercado de MDR desde 2016. Su guía de 2025 describe el servicio como remoto, liderado por personas y orientado a contener amenazas, no solo a alertar, y advierte que muchos proveedores que dicen ofrecer MDR no cumplen esa definición (según citas de terceros; no pudimos leer el documento original).
¿Qué es un SIEM (Security Information and Event Management)?
Un SIEM recolecta registros (logs) de equipos, redes, aplicaciones, nube e identidades, los normaliza, los correlaciona para detectar patrones y los conserva para investigación y auditoría. NIST lo describe, a partir de la guía SP 800-92, como una capacidad de registro centralizado para varios tipos de registros.
El término lo acuñaron en 2005 Mark Nicolett y Amrit Williams, de Gartner (referencia secundaria). El SIEM es amplio y agnóstico de fabricante, pero por sí solo no responde: necesita analistas que lo afinen y lo vigilen. Es la base de un buen SOC.
¿Qué es un SOC (Security Operations Center)?
El SOC es el equipo, los procesos y las herramientas que vigilan de forma continua tus sistemas para detectar, analizar y responder a incidentes. NIST lo define como un punto focal de las operaciones y la defensa de la red, que monitorea, correlaciona, analiza y responde.
MITRE publicó la guía "11 Strategies of a World-Class Cybersecurity Operations Center" (primera edición de 2014, segunda de 2022), referencia habitual para diseñar un SOC. Si no quieres armar uno propio, existe el SOC gestionado.
¿Y qué es un SOAR?
SOAR (Security Orchestration, Automation and Response) automatiza acciones de respuesta mediante guías predefinidas: bloquear una cuenta, aislar un equipo, abrir un caso y notificar. Gartner lo describe, desde 2017, como la convergencia de gestión de incidentes, orquestación y automatización e inteligencia de amenazas. No detecta por sí mismo; actúa sobre lo que detectan otras herramientas.
Cada pieza responde una pregunta distinta
Una forma sencilla de recordarlo:
Ve procesos, archivos y conexiones de laptops y servidores, y puede aislarlos.
Une señales de equipos, correo, identidad, red y nube.
Centraliza, correlaciona y conserva eventos para investigar y auditar.
Personas y procesos que investigan y priorizan, idealmente las 24 horas.
Servicio externo que opera la detección y contiene amenazas.
Guías que ejecutan acciones repetitivas de respuesta.
Resumen editorial de Cyberkust a partir de las definiciones citadas.
Los 4 errores más comunes al elegir
- XDR no es un SIEM. El XDR es más acotado y se orienta a detectar y responder; el SIEM es amplio y sirve además para retención, auditoría y cumplimiento.
- MDR no es lo mismo que un MSSP. El MSSP típicamente monitorea y alerta; el MDR investiga y contiene con autoridad acordada. Verifica qué respuesta incluye el contrato.
- EDR no es antivirus. El antivirus de nueva generación previene; el EDR además registra y permite investigar y responder.
- Tener EDR no es tener monitoreo. Si nadie atiende las alertas las 24 horas, el EDR pierde gran parte de su valor: detecta, pero la investigación y la contención dependen de alguien que responda.
Por qué importa la vigilancia y la respuesta
Estas cifras recientes muestran qué está en juego:
Fuentes: ver lista al final. Las cifras de México difieren según el informe; FortiGuard Labs reportó 40.6 mil millones de intentos de ciberataque en México en el primer semestre de 2025 (Itsitio).
¿Qué necesita tu empresa?
Criterio editorial de Cyberkust según tamaño y madurez. No es una regla absoluta: se valida con un diagnóstico.
| Perfil | Combinación habitual | Por qué |
|---|---|---|
| Menos de 250 colaboradores y sin equipo de seguridad | EDR + MDR | Cobertura 24/7 sin contratar analistas propios |
| 250 a 1,000 colaboradores con TI pequeño | EDR o XDR + MDR; SIEM gestionado si hay requisitos regulatorios | Más fuentes de datos y necesidad de evidencia |
| Más de 1,000 colaboradores o industria regulada | SOC híbrido, SIEM propio y SOAR cuando haya volumen de alertas y procesos documentados | Escala, cumplimiento y automatización |
10 preguntas para elegir un proveedor de MDR o SOC
Hazlas por escrito antes de firmar:
- ¿Hay cobertura 24/7/365 con analistas propios o subcontratados, y en español?
- ¿Cuáles son los SLA de reconocimiento, análisis y contención, y qué penalizaciones hay?
- ¿Qué acciones ejecutan sin pedir permiso (aislar un equipo, deshabilitar una cuenta, bloquear una IP)?
- ¿Incluye respuesta a incidentes y forense, con cuántas horas y a qué costo extra?
- ¿Usan mi tecnología actual o imponen la suya? ¿Qué pasa al terminar el contrato?
- ¿Dónde se guardan y por cuánto tiempo mis registros? ¿Puedo exportarlos? ¿Cómo se alinea con la LFPDPPP?
- ¿Cubren identidad, correo, nube y red o solo equipos?
- ¿Hacen búsqueda proactiva de amenazas y qué reportes y métricas entregan?
- ¿Qué referencias y certificaciones tienen y cuántos clientes atiende cada analista?
- ¿Qué NO cubren (parches, configuración, gobierno)?
Descubre qué tan preparada está tu empresa antes de que pase algo.
En una primera evaluación identificamos riesgos visibles, puntos críticos y los primeros pasos para proteger información, operación y clientes. Sin costo inicial.
Preguntas frecuentes
¿Cuál es la diferencia entre EDR, XDR, MDR, SIEM y SOC?
EDR detecta y contiene amenazas en equipos y servidores; XDR amplía esa detección a correo, identidad, red y nube; MDR es un servicio en el que analistas operan la detección y la respuesta por ti; SIEM centraliza y correlaciona registros de toda la empresa; y SOC es el equipo, los procesos y las herramientas que vigilan y responden las 24 horas. En general, una herramienta no sustituye a la otra: se complementan.
¿Qué es un EDR?
Es una herramienta instalada en los equipos que registra lo que hacen los programas, detecta comportamientos sospechosos y permite aislar el equipo e investigar. El término lo acuñó Anton Chuvakin, de Gartner, en 2013.
¿Qué es XDR?
Es una plataforma que correlaciona señales de varias capas (equipos, correo, identidad, red y nube) para ver un ataque completo. El término se atribuye a Nir Zuk, de Palo Alto Networks, en 2018.
¿Qué es MDR?
Es un servicio gestionado en el que un equipo externo opera la detección y la respuesta con tecnología como EDR o XDR, investiga las alertas y contiene amenazas. Gartner publicó guías de mercado sobre el tema desde 2016.
¿XDR reemplaza al SIEM?
No necesariamente. El XDR se centra en detectar y responder dentro de un ecosistema de herramientas; el SIEM es más amplio: recolecta registros de cualquier fuente, los retiene y sirve para auditoría y cumplimiento. Muchas empresas usan ambos.
¿Cuál es la diferencia entre MDR y MSSP?
Un MSSP típicamente monitorea y envía alertas; un MDR investiga y contiene amenazas con autoridad previamente acordada. En la práctica los servicios se solapan, así que conviene preguntar exactamente qué respuesta incluye el contrato.
¿Una empresa mediana necesita un SOC propio?
Normalmente no. Por costo y escasez de talento (ISC2 2025 reporta que 59 % de los profesionales ve brechas de habilidades críticas o significativas), para muchas empresas medianas es más viable combinar EDR con un servicio MDR o un SOC gestionado. Es un criterio editorial que se valida en un diagnóstico.
¿Para qué sirve un SOAR?
Para automatizar acciones de respuesta mediante guías predefinidas, por ejemplo bloquear una cuenta, aislar un equipo, abrir un ticket y notificar. No detecta amenazas por sí mismo: actúa sobre lo que detectan otras herramientas.
Fuentes y referencias
Consultadas el 8 y 9 de octubre de 2026. Cuando una cifra proviene de una nota que cita un informe original, lo indicamos. Las cifras pueden variar según la fuente y el método de conteo. Las secciones marcadas como criterio editorial reflejan la experiencia de Cyberkust y no una fuente externa.
- Verizon DBIR 2026 (página oficial)
- Help Net Security: hallazgos del Verizon DBIR 2026
- IBM Newsroom: Cost of a Data Breach 2026 (29 de julio de 2026)
- eSecurity Planet: resumen del informe de IBM 2026
- ISC2 Cybersecurity Workforce Study 2025
- NIST CSRC: glosario, Security Information and Event Management
- NIST CSRC: glosario, Security Operations Center
- MITRE: 11 Strategies of a World-Class Cybersecurity Operations Center
- Wikipedia: Endpoint detection and response (origen del término, referencia secundaria)
- Wikipedia: Extended detection and response (origen del término, referencia secundaria)
- Wikipedia: Security information and event management (origen del término, referencia secundaria)
- MSSP Alert: MDR vs. MSSP, ¿cuál es la diferencia?
- TechTarget: definición de SOAR
- Itsitio: ciberataques en México en 2025 (FortiGuard Labs)
- Infosecurity Magazine: ISC2 2025, brechas de habilidades y de personal