Sophos MDR: ¿qué asume Sophos y qué queda al cliente?

A las tres de la madrugada, un atacante empieza a propagarse por la red de la empresa. El software de protección informa de actividades sospechosas. Pero ¿quién investiga la alerta, decide aislar un servidor e informa a las personas responsables?

Sophos MDR proporciona un equipo de analistas las veinticuatro horas para ello. Managed Detection and Response incluye detección, investigación y prestaciones de respuesta acordadas. Esto alivia la carga del equipo de TI, pero no sustituye su responsabilidad operativa ni la preparación para un incidente.

Este artículo, publicado originalmente en 2022, se ha revisado para reflejar el servicio actual. La transición de MTR a MDR de entonces sigue siendo relevante como contexto histórico; las antiguas tablas de paquetes no sirven de referencia para contratar hoy.

¿Qué asume Sophos concretamente?

Los analistas evalúan las alertas de seguridad disponibles, investigan relaciones sospechosas y gestionan los incidentes resultantes. Para ello utilizan la telemetría de los sistemas conectados. La administración se realiza en Sophos Fusion, anteriormente Sophos Central.

Según las prestaciones contratadas y la autorización concedida, el equipo puede, por ejemplo, aislar un ordenador accesible, detener un proceso malicioso o bloquear un inicio de sesión y revocar sesiones mediante una integración de respuesta de Microsoft 365 configurada. Son intervenciones concretas. Para ejecutarlas deben existir la función correspondiente, el acceso técnico y los permisos necesarios.

Un detalle importante está en el alcance del servicio: la documentación actual de Sophos sobre los modos de respuesta distingue entre contención y neutralización completa. Esta última se asigna a MDR Plus. Por tanto, una promesa genérica como «MDR resuelve por completo cualquier incidente» no constituye una descripción útil de las prestaciones. Lo que cuenta es el servicio contratado.

¿Puede Sophos actuar de inmediato?

La empresa define un modo de respuesta. Esta decisión debería tomarse antes del primer incidente, porque una alerta urgente no concede por sí misma autoridad para actuar.

En Collaborate también se puede permitir pasar a Authorize después de intentar contactar por teléfono sin éxito con todas las personas registradas. Esta opción debe activarse expresamente. Sin ella, el equipo no puede interpretar la falta de respuesta como consentimiento.

La configuración de contactos de MDR y Threat Response explica estos ajustes. Se requiere al menos un contacto principal autorizado. Conviene añadir otros contactos para que unas vacaciones, una enfermedad o un único teléfono apagado no interrumpan el proceso. Sin embargo, registrar un número no sustituye la organización interna de la disponibilidad.

Terceros: ver los datos no equivale a poder intervenir

MDR también puede incorporar datos de seguridad de otros fabricantes. Por eso no es necesario sustituir todos los productos existentes por Sophos. Debe comprobarse para cada producto qué datos proporciona la integración y qué respuestas permite. La guía de integraciones de MDR/XDR ayuda a configurarlas y verificarlas.

Un conector exclusivamente de datos puede proporcionar alertas sin poder bloquear cuentas ni aislar dispositivos. Una integración de respuesta requiere sus propios permisos. Del mismo modo, que un firewall envíe eventos no significa que ya esté preparado para cualquier acción de respuesta. En los endpoints, el agente, las políticas y Live Response pueden determinar qué investigaciones e intervenciones son posibles.

Un ejemplo típico es una cuenta de Microsoft 365 comprometida: revocar las sesiones iniciadas y bloquear nuevos inicios de sesión puede interrumpir su uso inmediato. Sin embargo, esto no aclara todas las posibles consecuencias. Las reglas de reenvío manipuladas, las operaciones de negocio afectadas, otros accesos y la rehabilitación segura del acceso deben investigarse y asignarse expresamente durante el incidente. También aquí, lo que Sophos puede ejecutar depende de la integración y del alcance del servicio.

¿Qué sigue a cargo del cliente o del proveedor de TI?

El equipo de TI sigue operando la infraestructura. Esto incluye actualizaciones, configuraciones seguras, gestión de usuarios, copias de seguridad operativas y recuperación de aplicaciones. MDR no hace que un servidor sin parches sea seguro de forma permanente ni restaura desde una copia de seguridad los datos de negocio cifrados.

Las decisiones empresariales también siguen correspondiendo a la empresa: ¿qué sistemas pueden quedar temporalmente fuera de servicio? ¿Quién informa a la dirección, a los clientes o a la aseguradora? ¿Quién evalúa las obligaciones de notificación y contrata el apoyo externo necesario? Estas tareas deben tener responsables en el plan de emergencia. El contrato de MDR, por sí solo, no las asigna a personas internas.

También queda trabajo después de la contención. Hay que eliminar la causa, restablecer correctamente un acceso afectado e implementar los cambios de configuración recomendados. Un informe solo supone un avance operativo cuando alguien asume las tareas pendientes y comprueba que se completan.

Por eso, cada entorno crítico debería disponer de una lista breve de responsabilidades: ¿qué puede hacer Sophos por su cuenta, qué realiza el proveedor de TI y quién decide en la empresa? Especialmente en servidores críticos para la producción, las consecuencias del aislamiento deben analizarse previamente.

¿Cuánto cuesta MDR y qué debe incluir la oferta?

Un precio total fiable requiere conocer el número de usuarios y servidores, la duración del contrato, el alcance de respuesta deseado y los sistemas incluidos. A ello se añaden la configuración y las tareas del propio proveedor de TI. Un precio de licencia más barato puede decir poco si faltan las integraciones necesarias y la disponibilidad ante emergencias.

En la tienda de Avanet hay ofertas bajo los nombres Sophos MDR, MDR Complete, MDR para servidores y MDR Complete para servidores. La documentación actual del fabricante también utiliza el nombre MDR Plus. Por tanto, no se deben equiparar antiguos nombres de producto y denominaciones de la tienda con un alcance de servicio actual sin revisar la oferta.

Los paquetes de integración de la versión original de este artículo tampoco son una lista de precios actual fiable. Para un presupuesto, las integraciones incluidas, los periodos de retención y las posibles prestaciones adicionales deben quedar expresamente definidos. Además, una conexión incluida no licencia automáticamente el producto de otro fabricante al que se conecta. Por eso no damos aquí un precio unitario fijo sin verificar.

¿Cómo se reconoce un entorno MDR listo para operar?

Después de comprar, no basta con que la licencia aparezca en el portal. Todos los dispositivos supervisados deben estar registrados, las fuentes de datos previstas deben proporcionar eventos actuales y los accesos de respuesta deben funcionar. El modo elegido debe encajar con el procedimiento de emergencia acordado.

Para aceptar la puesta en servicio, conviene revisar conjuntamente con el proveedor las vías de contacto y las responsabilidades, comprobar el estado de las integraciones y acordar una prueba funcional segura. El resultado debe mostrar quién recibe una alerta y qué respuesta es posible desde el punto de vista técnico y organizativo. Una prueba así no requiere ejecutar deliberadamente software malicioso.

Evaluaría MDR según su capacidad de crear una cadena accesible y capaz de actuar en una emergencia. Deben coincidir un equipo de analistas, un acceso técnico operativo y una autorización clara. Si falta uno de ellos, queda una carencia decisiva incluso con una buena licencia.

Preguntas frecuentes