Qué hace bien un antivirus y dónde se queda corto
Un antivirus moderno hace tres cosas con bastante eficacia: reconocer malware conocido por su firma, detectar variantes por heurística o por modelo, y bloquear comportamientos obviamente maliciosos en el momento en que ocurren. Contra el malware de volumen que llega por correo o por descarga, funciona.
Sus límites no son un defecto del producto, son su alcance de diseño:
- Ataques sin malware. Si el atacante entra con usuario y contraseña correctos a un portal de correo, en el equipo no pasa nada que el antivirus pueda ver.
- Uso malicioso de herramientas legítimas. PowerShell, las utilidades de administración del sistema y las herramientas de soporte remoto no son malware. Bloquearlas rompería la operación; el valor está en detectar la secuencia en la que se usan.
- Ejecución en memoria. Código que nunca se escribe en disco deja poco a lo que un escaneo de archivos pueda aferrarse.
- Robo de sesión. Las páginas falsas de inicio de sesión que capturan la cookie ya autenticada operan en el navegador y contra el sitio, no contra el sistema de archivos.
- Falta de contexto entre dispositivos. Un antivirus ve un equipo. No sabe que la misma cuenta inició sesión desde otro país quince minutos antes ni que un servidor empezó a recibir conexiones raras.
EDR y XDR: la diferencia que importa en la práctica
Un EDR (detección y respuesta en el endpoint) hace lo del antivirus y añade tres cosas que cambian el resultado de un incidente. Registra la actividad del equipo —procesos, conexiones, cambios en el registro, accesos a archivos— y la conserva, lo que permite reconstruir después qué pasó. Correlaciona esa actividad en una cadena, de modo que una secuencia de acciones individualmente inocentes se detecta como un ataque. Y permite responder en remoto: aislar el equipo de la red, detener un proceso, poner un archivo en cuarentena en toda la flota.
Un XDR amplía lo mismo a más señales —identidad, correo, nube, red— y es ahí donde se ve el ataque completo, porque empieza en el correo, sigue en la identidad y termina en el equipo. Ninguna de las dos herramientas sirve sola: lo que convierte un EDR en protección es que alguien atienda la alerta cuando ocurre, incluido el fin de semana, que es cuando se lanza el cifrado. Si no hay equipo interno con esa guardia, se contrata como servicio administrado; comprar la consola y dejarla sin vigilancia es el gasto peor aprovechado de la seguridad empresarial.
Las capas que ningún antivirus va a cubrir
Esta lista es el verdadero contenido de la respuesta. Ninguno de estos controles se compra en la misma caja que el antivirus, y todos pesan más que él en el resultado de un incidente real.
- Identidad: MFA en todas las cuentas, factor resistente al phishing para administradores y dirección, bloqueo de la autenticación heredada y acceso condicional por dispositivo y por riesgo.
- Menor privilegio: nadie trabaja a diario con permisos de administrador, cuentas administrativas separadas y sin correo, y contraseñas de administrador local distintas en cada equipo.
- Correo: filtrado avanzado, análisis de enlaces y adjuntos en el momento del clic, y autenticación de dominio (SPF, DKIM y DMARC) para que no suplanten a tu empresa.
- Parcheo y superficie de ataque: inventario, ciclo con plazos por criticidad, prioridad a lo publicado en internet y retiro del escritorio remoto expuesto.
- Respaldo: regla 3-2-1, al menos una copia inmutable o aislada, credenciales separadas del dominio y restauraciones de prueba documentadas.
- Segmentación: que un equipo de usuario no pueda hablar directamente con todos los servidores, y que la red de administración y la de respaldo estén aparte.
- Las personas: capacitación con ejercicios periódicos y un canal de reporte sin consecuencias, porque el aviso temprano vale más que cualquier filtro.
- Respuesta a incidentes: un plan escrito, impreso, con roles y teléfonos, guardado fuera de los sistemas que un ataque va a cifrar.
Cómo se ve esto con herramientas reales
No hace falta un catálogo de diez fabricantes. En una empresa mediana, dos plataformas cubren casi todo el terreno y suelen estar parcialmente pagadas ya.
Microsoft 365 Business Premium incluye Defender para Empresas, que aporta capacidades de EDR, reducción de superficie de ataque e investigación y remediación automatizadas; Entra ID Plan 1, que es lo que habilita el acceso condicional; Intune, para exigir que los equipos estén administrados y en cumplimiento; y Defender para Office 365, para el correo. Es decir: si tu empresa tiene ese plan, el salto de antivirus a EDR con identidad controlada es sobre todo trabajo de configuración.
Acronis Cyber Protect cubre el otro lado desde un solo agente: respaldo y recuperación con opción de almacenamiento inmutable, protección anti-ransomware en el endpoint, evaluación de vulnerabilidades y administración de parches, y recuperación ante desastres. El valor de integrarlo no es la lista de funciones, es que la detección y el respaldo se hablen: cuando una restauración se analiza antes de devolverla a producción, no se reintroduce lo que causó el problema.
Cómo evaluar lo que ya tienes
Seis preguntas que se responden en una reunión y que dicen bastante más que cualquier comparativa de productos:
- ¿Qué porcentaje de equipos y servidores tiene el agente instalado, activo y reportando? ¿Quién lo verifica y cada cuánto?
- ¿Podemos aislar un equipo de la red en remoto, sin ir físicamente a desconectarlo?
- ¿Cuánta telemetría se conserva y por cuánto tiempo? Si un incidente empezó hace tres semanas, ¿quedan registros para reconstruirlo?
- ¿Quién atiende una alerta crítica a las tres de la mañana de un domingo, y en cuánto tiempo?
- ¿El agente se puede desinstalar con permisos de administrador local? (Si sí, falta activar la protección contra manipulación.)
- ¿Cuándo fue la última restauración de prueba, cuánto tardó y quién firmó el resultado?
Un criterio simple para decidir
El antivirus deja de ser suficiente en el momento en que la empresa tiene algo que perder por una interrupción: nómina, facturación, un ERP, expedientes de clientes. A partir de ahí la pregunta útil no es qué tan bueno es el producto que detecta, sino qué pasa en las dos horas siguientes a la detección. Si la respuesta es que el equipo se limpia y la vida sigue, hay un control, no una estrategia.
La secuencia que mejor rinde es siempre la misma: identidad primero porque es la vía de entrada más usada, respaldo inmutable después porque determina la duración del daño, y EDR vigilado en tercer lugar porque acorta la ventana en la que el atacante trabaja sin que nadie lo vea. Las tres juntas sí responden la pregunta del título.