Symantec EDR

Información básica

Broadcom Symantec EDR (Endpoint Detection and Response) es una solución de seguridad diseñada para la detección, investigación y respuesta avanzadas ante amenazas en endpoints. Suele integrarse en la plataforma más amplia Symantec Endpoint Security Complete (SES-C).

• Modelo: Symantec EDR (parte de Symantec Endpoint Security Complete). Los modelos de dispositivos de hardware específicos incluyen S550, 8840 y 8880.
• Versión: Las versiones del dispositivo incluyen Symantec EDR 4.12 (última versión estable). Las versiones del agente para Symantec Endpoint Protection (SEP) suelen ser 14.3 RUx, con 14.3 RU9 MP1 compatible con Ubuntu 24.04 LTS.
• Fecha de lanzamiento: Las fechas específicas de lanzamiento del producto no se publican de forma sistemática, pero se lanzan nuevas funciones y versiones periódicamente. Por ejemplo, se añadieron nuevas funciones de visibilidad alrededor del 2 de noviembre de 2020.
• Requisitos mínimos: Varían significativamente según el tipo de implementación (agente, dispositivo virtual, dispositivo de hardware) y las funciones habilitadas.
• Sistemas operativos compatibles:
  • Windows: Varias versiones, con sistemas operativos de 32 bits que ya no son compatibles con SEP 14.3 RU6 y posteriores.
  • Linux: Amazon Linux, CentOS, Debian, Fedora, Oracle Linux (OEL), Red Hat Enterprise Linux (RHEL), SUSE Linux Enterprise Server (SLES), SUSE Linux Enterprise Desktop (SLED) y Ubuntu (por ejemplo, 12.04, 14.04, 16.04, 18.04, 24.04 LTS).
  • macOS: compatible con un agente dedicado.
• Última versión estable: Symantec EDR 4.12 para el dispositivo. Agente de Symantec Endpoint Protection 14.3 RU9 MP1 para Linux.
• Fecha de fin de soporte: Varía según la versión del producto y el componente. La función Symantec EDR Network Sensor finalizó su soporte el 31 de diciembre de 2023. Las versiones 14.2 y anteriores de Symantec Endpoint Protection ya no están disponibles. Los usuarios deben consultar la página del ciclo de vida del producto de Broadcom para conocer las fechas específicas.
• Fecha de finalización del ciclo de vida: Varía según la versión del producto y el componente. Symantec Endpoint Protection Cloud (SEPC) y Small Business versión 2013 (SEP SBE 2013) finalizaron su ciclo de vida el 7 de diciembre de 2020, con actualizaciones gratuitas a Symantec Endpoint Security (SES). Los usuarios deben consultar la página del ciclo de vida del producto de Broadcom para conocer las fechas específicas.
• Fecha de vencimiento de la actualización automática: no se especifica explícitamente en la documentación disponible públicamente.
• Tipo de licencia: Generalmente basada en suscripción.
• Modelo de implementación: Las opciones de implementación flexibles incluyen configuraciones locales (hardware o dispositivo virtual), basadas en la nube o híbridas.

Requisitos técnicos

Los requisitos técnicos para Symantec EDR dependen en gran medida del modelo de implementación (agente, dispositivo virtual o dispositivo de hardware) y de las funciones específicas habilitadas, como Endpoint Activity Recorder.

• RAM:
  • Agente (Windows): Mínimo 256 MB.
  • Agente (Linux): Mínimo 512 MB (se recomiendan 4 GB).
  • Dispositivo virtual EDR: mínimo 48 GB (para entornos de producción, con o sin Endpoint Activity Recorder).
  • Dispositivos de hardware (por ejemplo, S550, 8840, 8880): rango de 32 GB a 256 GB.
  • AD Gateway: 16 GB (para dominios grandes de Active Directory, es posible que se necesite más).
• Procesador:
  • Agente (Windows): Intel Pentium a 1 GHz.
  • Agente (Linux): Intel Pentium 4 (2 GHz) o equivalente con 2 núcleos (se recomiendan 4 núcleos).
  • Dispositivo virtual EDR: 12 núcleos.
  • Dispositivos de hardware: las configuraciones varían, como 12 x 1, 1 x 4 o 2 x 18 núcleos.
• Almacenamiento:
  • Agente (Windows): 245 MB instalados en la unidad del sistema.
  • Agente (Linux): 2 GB de espacio disponible en disco (+5 GB recomendados en/opt para funciones EDR).
  • Dispositivo virtual EDR: 500 GB (sin Endpoint Activity Recorder), 1,5 TB (con Endpoint Activity Recorder).
  • Dispositivos de hardware: las configuraciones varían, como 500 GB + 1 TB, 1,6 TB + 14 TB o 2 discos de arranque SATA de 64 GB + 4 SAS de 12 TB.
• Pantalla: Se suponen capacidades de visualización estándar; no se enumeran requisitos específicos.
• Puertos: Se requieren puertos de firewall específicos para la comunicación entre los componentes EDR y los servidores back-end.
• Sistema operativo: consulte la sección "Información básica" para conocer los sistemas operativos compatibles con agentes y plataformas de dispositivos (por ejemplo, VMware ESXi 7.0 o posterior para dispositivos virtuales).

Análisis de requisitos técnicos: Los requisitos técnicos de Symantec EDR son considerables, especialmente para las implementaciones de dispositivos y cuando se habilitan funciones avanzadas como Endpoint Activity Recorder. Esto refleja las intensas necesidades de procesamiento y almacenamiento de datos de una solución EDR integral. Las organizaciones deben dimensionar cuidadosamente sus implementaciones en función del número de endpoints y el conjunto de funciones deseado para garantizar un rendimiento óptimo y evitar cuellos de botella en los recursos. Las implementaciones de dispositivos virtuales requieren recursos dedicados para evitar problemas de rendimiento.

Soporte y compatibilidad

Symantec EDR ofrece una amplia compatibilidad en varios sistemas operativos y se integra con otros productos de seguridad de Symantec.

• Última versión: La última versión estable del dispositivo es Symantec EDR 4.12. Las versiones del agente se actualizan continuamente, y Symantec Endpoint Protection 14.3 RU9 MP1 es compatible con las distribuciones de Linux más recientes.
• Compatibilidad con sistemas operativos: Compatibilidad completa con sistemas operativos modernos de Windows (principalmente de 64 bits), macOS y una amplia gama de distribuciones de Linux. Las versiones recientes del agente SEP ya no admiten sistemas operativos Windows de 32 bits más antiguos.
• Fecha de fin de soporte: Las fechas de fin de soporte (EoS) y fin de vida útil (EoL) varían según la versión y el componente. Por ejemplo, la función Symantec EDR Network Sensor llegó a su fin de vida útil el 31 de diciembre de 2023. Symantec Endpoint Protection 14.2 y versiones anteriores ya no ofrece soporte. Broadcom mantiene una página sobre el ciclo de vida del producto con información actualizada.
• Localización: La documentación y los recursos de soporte están disponibles en varios idiomas, incluidos inglés y japonés.
• Controladores disponibles: Los controladores y componentes necesarios suelen estar incluidos en las instalaciones del agente. Broadcom valida la velocidad de operación del disco mediante controladores VMware para dispositivos virtuales.

Análisis del estado general de soporte y compatibilidad: Symantec EDR demuestra una sólida compatibilidad con los principales sistemas operativos, lo que refleja su enfoque empresarial. Las actualizaciones continuas de las versiones del agente garantizan la compatibilidad con las nuevas versiones del sistema operativo. Sin embargo, las organizaciones deben supervisar activamente las fechas de fin de servicio (EoS) y fin de vida útil (EoL) de sus versiones y componentes específicos para mantener las configuraciones compatibles. La eliminación gradual de la compatibilidad con Windows de 32 bits indica una transición hacia entornos modernos de 64 bits. La integración con Symantec Endpoint Protection (SEP) es un aspecto fundamental de su compatibilidad, y se requieren versiones específicas de SEP para una funcionalidad óptima de EDR.

Estado de seguridad

Broadcom Symantec EDR proporciona una postura de seguridad sólida a través de capacidades avanzadas de detección, prevención y respuesta, aprovechando la inteligencia artificial y la inteligencia sobre amenazas globales.

• Características de seguridad:
  • Detección avanzada de amenazas: utiliza aprendizaje automático de precisión, análisis de comportamiento e inteligencia de amenazas globales para detectar ataques sofisticados, incluidos malware, ransomware, amenazas de día cero, detección de violaciones, balizamiento de comando y control y movimiento lateral.
  • Respuesta automatizada a incidentes: Admite reglas automatizadas de estrategias de incidentes y análisis del comportamiento de los usuarios para mejorar la productividad de los investigadores. Ofrece acciones de remediación rápidas, como la eliminación de archivos, la inclusión en listas negras y la cuarentena de endpoints.
  • Reducción de la superficie de ataque: incluye funciones como control de dispositivos, control de aplicaciones y aislamiento del comportamiento.
  • Prevención de ataques: ofrece prevención de malware y exploits basada en aprendizaje automático, prevención basada en el comportamiento, integridad de la red, reputación de Wi-Fi y VPN inteligente.
  • Prevención de infracciones: incorpora tecnologías de engaño, defensa de Active Directory (que previene el robo de credenciales y el movimiento lateral), firewall de red y prevención de intrusiones.
  • Visibilidad de puntos finales: proporciona grabación continua y bajo demanda de la actividad del sistema para lograr una visibilidad completa de los puntos finales y un análisis forense.
• Vulnerabilidades conocidas: La información disponible públicamente no detalla vulnerabilidades conocidas específicas para el producto EDR actual, lo que implica una gestión activa y aplicación de parches por parte del proveedor.
• Estado de lista negra: admite la inclusión de listas negras de archivos y aplicaciones para una contención rápida.
• Certificaciones: Obtiene la calificación AAA de SE Labs por su defensa contra ransomware en situaciones reales, sin falsos positivos. Participa en rigurosas evaluaciones MITRE ATT&CK.
• Compatibilidad con cifrado: si bien no se detalla explícitamente como una función EDR directa, es un componente fundamental de las ofertas de seguridad más amplias de Symantec.
• Métodos de autenticación: admite la integración con Microsoft Active Directory e inicio de sesión único (SSO) para la autenticación y gestión de usuarios.
• Recomendaciones generales: Implementar la monitorización continua, aprovechar la generación automatizada de incidentes y utilizar la inteligencia global sobre amenazas. Se recomiendan actualizaciones periódicas a las últimas versiones para una seguridad y un rendimiento óptimos.

Análisis de la calificación general de seguridad: Symantec EDR demuestra una alta calificación general de seguridad, caracterizada por su estrategia de defensa multicapa que abarca todo el ciclo de vida del ataque, desde la prevención hasta la remediación posterior a la vulneración. Su uso de IA, aprendizaje automático e inteligencia global sobre amenazas permite la detección eficaz de amenazas avanzadas y evasivas. Validaciones independientes, como la calificación AAA de SE Labs y el excelente rendimiento en las evaluaciones MITRE ATT&CK, subrayan su eficacia contra ataques reales, en particular el ransomware. La integración de Active Directory Defense es una característica clave para prevenir el movimiento lateral y el robo de credenciales.

Rendimiento y puntos de referencia

Symantec EDR muestra un sólido desempeño en funciones de seguridad críticas, validado por pruebas independientes, aunque algunos comentarios de los usuarios apuntan a posibles preocupaciones sobre la utilización de recursos.

• Puntuaciones de referencia:
  • SE Labs: Obtuvo una calificación AAA perfecta para Advanced Security EDR Protection, con un puntaje del 100 % en detección y protección contra ransomware y cero falsos positivos en pruebas del mundo real.
  • Evaluaciones de MITRE ATT&CK: Demostró un sólido rendimiento, deteniendo el 85 % de los ataques en la evaluación APT29.
• Métricas de rendimiento en el mundo real:
  • Detecta, bloquea y neutraliza eficazmente ransomware y otros ataques sofisticados en entornos que imitan escenarios de la vida real.
  • Los usuarios informan que proporciona una protección confiable y consistente y es eficaz para detectar amenazas.
  • Algunos usuarios han informado problemas de utilización de la CPU, que pueden afectar los entornos de producción.
  • En general, algunos perciben que el agente funciona "bastante liviano" en segundo plano, mientras que otros destacan un agente más pesado en comparación con los competidores.
• Consumo de energía: No se detalla explícitamente en la documentación disponible públicamente.
• Huella de carbono: No se detalla explícitamente en la documentación disponible públicamente.
• Comparación con activos similares:
  • vs. CrowdStrike Falcon: Symantec EDR tiene una ventaja en seguridad básica, mientras que CrowdStrike suele ser líder en capacidades de gestión y respuesta. Ambos tienen un rendimiento comparable en las evaluaciones de MITRE ATT&CK. CrowdStrike es frecuentemente citado por su agente ligero y su mínimo impacto en el rendimiento de los endpoints, lo que contrasta con algunas percepciones del agente de Symantec. Symantec EDR destaca en Prevención de Intrusiones (9.4) y Remediación Automatizada (9.1) en comparación con CrowdSec.
  • vs. SanerNow: Symantec EDR muestra una mayor detección de malware (9,3) y monitoreo de cumplimiento (8,6), mientras que SanerNow se destaca por su facilidad de configuración y calidad de soporte.

Análisis del estado general del rendimiento: Symantec EDR demuestra un excelente rendimiento en su función principal de detección y prevención de amenazas, en particular contra ransomware, como lo demuestran las puntuaciones de referencia independientes de primer nivel. Su detección en tiempo real y sus capacidades de respuesta automatizada son sólidas. Si bien su eficacia en seguridad es muy valorada, algunos comentarios de los usuarios sugieren que la optimización del rendimiento y el uso de los recursos del sistema pueden ser áreas de mejora, especialmente en comparación con competidores nativos de la nube conocidos por sus agentes ligeros.

Reseñas y comentarios de usuarios

Las opiniones de los usuarios sobre Broadcom Symantec EDR destacan sus sólidas capacidades de seguridad, aunque algunas áreas como la facilidad de uso y la consistencia del soporte reciben comentarios mixtos.

• Puntos fuertes:
  • Análisis y detección integral de amenazas: Elogiado por su capacidad para detectar, aislar y eliminar intrusiones mediante IA, aprendizaje automático e inteligencia global sobre amenazas. Los usuarios valoran su detección en tiempo real y su filtrado avanzado.
  • Prevención y remediación robustas: Destaca en la prevención de intrusiones y la remediación automatizada, lo que permite respuestas rápidas ante las amenazas. Detecta amenazas eficazmente y proporciona una protección fiable y consistente.
  • Gestión empresarial: se considera fácil de implementar, configurar y gestionar en distintos puntos finales de entornos empresariales.
  • Integración: Se integra bien con otras aplicaciones y ecosistemas de seguridad.
• Debilidades:
  • Facilidad de uso: algunos usuarios encuentran la interfaz menos intuitiva en comparación con la competencia, lo que genera una puntuación ligeramente inferior en facilidad de uso.
  • Calidad del soporte: los comentarios sobre la calidad del soporte son mixtos, y algunos revisores indican que hay margen de mejora en la capacidad de respuesta y la utilidad.
  • Utilización de recursos: Se han reportado problemas de utilización de la CPU que podrían afectar la producción. Los usuarios sugieren la necesidad de optimizar el rendimiento y reducir el uso de recursos del sistema.
  • Escalabilidad y estabilidad: si bien en general es estable, algunos usuarios señalan la escalabilidad y la estabilidad como áreas que podrían mejorarse.
• Casos de uso recomendados:
  • Organizaciones que requieren detección avanzada de amenazas, investigación y capacidades de respuesta automatizada para amenazas cibernéticas sofisticadas como malware, ransomware y ataques de día cero.
  • Empresas que buscan una plataforma de seguridad de puntos finales completa e integrada para todos los dispositivos y sistemas operativos.
  • Entornos que necesitan una sólida respuesta a incidentes, búsqueda de amenazas, análisis forense y funciones de contención de puntos finales.

Análisis: En general, los comentarios de los usuarios posicionan a Symantec EDR como una solución de seguridad potente y eficaz, especialmente por sus funciones principales de detección y prevención de amenazas. Sus puntos fuertes residen en su análisis avanzado, respuesta automatizada y protección integral contra una amplia gama de ciberamenazas. Sin embargo, la plataforma enfrenta desafíos en la experiencia del usuario, ya que algunos la encuentran menos intuitiva y desean un soporte más consistente. El impacto en el rendimiento, específicamente en el uso de la CPU, también es una preocupación recurrente para algunos usuarios. Estos hallazgos sugieren que, si bien Symantec EDR ofrece una seguridad robusta, existe la oportunidad de mejorar la usabilidad y la eficiencia de los recursos para optimizar la experiencia general del usuario.

Resumen

Broadcom Symantec EDR es una solución integral y robusta de detección y respuesta de endpoints, parte integral de la plataforma Symantec Endpoint Security Complete. Ofrece funciones avanzadas para detectar, investigar y responder a ciberamenazas sofisticadas en diversos sistemas operativos, como Windows, macOS y diversas distribuciones de Linux. El producto admite modelos de implementación flexibles, incluyendo hardware local o dispositivos virtuales, así como opciones en la nube e híbridas.

Puntos fuertes: Symantec EDR destaca en sus funciones principales de seguridad, aprovechando la inteligencia artificial, el aprendizaje automático y la inteligencia global de amenazas para una detección precisa de amenazas y una respuesta automatizada a incidentes. Ofrece amplias funciones de reducción de la superficie de ataque, prevención de ataques y prevención de brechas de seguridad, incluyendo defensas especializadas contra el robo de credenciales de Active Directory y el movimiento lateral. Evaluaciones independientes, como la calificación AAA de SE Labs en defensa contra ransomware y el excelente rendimiento en las evaluaciones MITRE ATT&CK, validan su alta eficacia contra amenazas reales. Los usuarios elogian con frecuencia su análisis exhaustivo de amenazas, su robusta prevención de intrusiones y sus acciones de remediación automatizadas.

Debilidades: Entre las áreas de mejora se encuentra la experiencia del usuario, ya que algunos comentarios indican que la plataforma puede ser menos intuitiva que la de la competencia. La consistencia y la capacidad de respuesta del servicio de atención al cliente también reciben opiniones diversas. Además, algunos usuarios manifiestan inquietudes sobre el uso de los recursos del sistema, en particular el uso de la CPU, lo que sugiere la necesidad de optimizar aún más el rendimiento.

Recomendaciones: Symantec EDR es altamente recomendable para empresas que buscan una solución de seguridad de endpoints potente e integrada, capaz de gestionar amenazas avanzadas y persistentes. Las organizaciones deben considerar cuidadosamente su estrategia de implementación, alineándose con los requisitos técnicos detallados para agentes, dispositivos virtuales o hardware. La supervisión regular de las páginas del ciclo de vida del producto de Broadcom es crucial para garantizar que los componentes sigan recibiendo soporte. Si bien las capacidades de seguridad son de primer nivel, los usuarios potenciales deben evaluar la usabilidad de la plataforma y el impacto en los recursos dentro de su entorno específico. Los comentarios continuos de la comunidad de usuarios sugieren que las mejoras continuas en el diseño de la interfaz de usuario y la eficiencia del rendimiento fortalecerían aún más la posición del producto en el mercado.

La información proporcionada se basa en datos públicos y puede variar según la configuración del dispositivo. Para obtener información actualizada, consulte los recursos oficiales del fabricante.