Seguridad de endpoints con IA: guía de SentinelOne para los equipos SOC modernos
La seguridad de endpoints con IA usa IA basada en el comportamiento para detectar ransomware, malware sin archivos y actividad LOTL. SentinelOne detiene estos ataques y revierte los daños.
Puntos clave
- La seguridad de endpoints con IA protege los dispositivos mediante aprendizaje automático e IA basada en el comportamiento. Analiza cómo se comportan realmente los archivos y procesos para detectar ransomware, malware sin archivos y técnicas living-off-the-land (LOTL) que las herramientas basadas en firmas pasan por alto.
- La prevención eficaz de amenazas en endpoints depende de cuatro componentes que funcionan en un agente único: IA estática para analizar archivos antes de su ejecución, IA basada en el comportamiento para supervisar la actividad durante la ejecución, recopilación de telemetría para obtener visibilidad y respuesta automatizada para contener y remediar las amenazas.
- La IA basada en el comportamiento detiene las amenazas al detectar desviaciones respecto de los patrones normales. El seguimiento de la genealogía de procesos revela cadenas anómalas de procesos principales y secundarios, lo que permite descubrir ataques incluso cuando todos los archivos binarios implicados son legítimos.
- La seguridad de endpoints con IA sigue exigiendo disciplina operativa. Los equipos deben gestionar los falsos positivos, las técnicas de evasión de los adversarios, el consumo de recursos de los agentes y las brechas de competencias. Los avisos de CISA muestran que la mayoría de los fallos se deben a implementaciones incompletas, alertas sin revisar, ajustes deficientes y planes de respuesta sin probar, no a las herramientas.
- Las buenas prácticas comienzan con la cobertura. Implemente agentes en todos los activos, revise las alertas continuamente (con clasificación mediante IA agéntica cuando sea posible), ajuste la protección frente a técnicas de evasión e integre la telemetría de endpoints con los flujos de trabajo de identidad, cloud y SOC.
¿Qué es la seguridad de endpoints con IA?
En 2024, CISA, la NSA y el FBI advirtieron que Volt Typhoon, un grupo patrocinado por la República Popular China (PRC), había comprometido redes de infraestructura crítica de Estados Unidos y, en algunos casos, había mantenido ese acceso durante al menos cinco años. Sus principales herramientas eran las de las propias víctimas. Según el aviso AA24-038A de CISA, el grupo utiliza técnicas living-off-the-land (LOTL) que camuflan su actividad entre el comportamiento normal de los sistemas y las redes. CISA señala que estas técnicas pueden eludir la seguridad de endpoints más básica. Sin malware con el que comparar, las firmas no tienen nada que detectar.
La seguridad de endpoints con IA consiste en proteger los dispositivos endpoint de usuarios y servidores mediante modelos de aprendizaje automático e IA basada en el comportamiento que analizan cómo actúan realmente los archivos y procesos. Combina el análisis de archivos antes de su ejecución, la supervisión de procesos durante la ejecución, la telemetría de endpoints y la respuesta automatizada para detectar y detener amenazas que las herramientas basadas en firmas pasan por alto.
El término también se usa para otro problema: proteger los agentes y asistentes de IA que ahora se ejecutan en los dispositivos de los empleados. Esta guía trata sobre la IA que protege los endpoints. Para proteger la IA que se ejecuta en esos endpoints, consulte la guía de SentinelOne sobre la seguridad de los agentes de IA.
No puede bloquear lo que no puede observar en acción. Esta realidad define cada una de las capacidades siguientes.
La relación entre la seguridad de endpoints con IA y la ciberseguridad
La seguridad de endpoints con IA actúa cerca de un punto de acceso habitual para los atacantes: el propio dispositivo. Los endpoints generan actividad de procesos, archivos y redes que revela las intrusiones en curso. Correlacionar esa telemetría con otras fuentes de datos amplía el contexto de riesgo disponible para los defensores. Los datos de endpoints alimentan la supervisión de identidades, la búsqueda de amenazas y la respuesta a incidentes, por lo que son fundamentales para la IA en la ciberseguridad. La fiabilidad de cada modelo posterior depende de las pruebas obtenidas de los endpoints.
Componentes principales de la seguridad de endpoints con IA
La protección moderna de endpoints se basa en cuatro componentes principales: IA estática, IA basada en el comportamiento, recopilación de telemetría y respuesta automatizada. En la seguridad de endpoints basada en aprendizaje automático, cada componente aborda una fase distinta de la intrusión.
Componente | Fase de la intrusión | Qué hace |
IA estática | Antes de la ejecución | Los clasificadores entrenados con colecciones de archivos de malware conocido y archivos benignos estudian la estructura del código, las cadenas de texto y las características de los archivos binarios para evaluar cada archivo antes de su ejecución. Resultan menos eficaces frente al malware polimórfico, que se reescribe para eludir la detección basada en firmas. |
IA basada en el comportamiento | Durante la ejecución | Observa lo que hace un programa después de iniciarse. La guía M1040 de MITRE ATT&CK define esta capa como el análisis del comportamiento de los procesos, los archivos, las llamadas a API y los eventos de endpoints mediante métodos heurísticos, aprendizaje automático y supervisión en tiempo real, sin depender únicamente de las firmas. Entre las señales figuran el acceso no autorizado a archivos y las llamadas anómalas a API, como OpenProcess y WriteProcessMemory. |
Recopilación de telemetría | Visibilidad en todas las etapas | Los agentes de cada dispositivo recopilan datos de procesos y programas, parámetros del dispositivo, usuarios con sesión iniciada y tráfico. Después, envían esos datos a un motor de análisis que los evalúa según las políticas de seguridad y las líneas de referencia (telemetría de endpoints del NIST). La guía de SANS sobre visibilidad de EDR expone claramente la relación: una herramienta de detección y respuesta para endpoints (EDR) solo es tan eficaz como los eventos que puede detectar. |
Respuesta automatizada | Contención y remediación | NIST SP 800-61r3 especifica medidas de contención como poner malware en cuarentena, trasladar un endpoint comprometido a una red de remediación aislada o detener la ejecución de un contenedor infectado. |
Estos componentes ofrecen la máxima protección cuando operan juntos, mediante un agente único que unifica la prevención con EDR. En la seguridad de endpoints basada en aprendizaje automático, el comportamiento durante la ejecución es clave para detectar las amenazas más difíciles.
Cómo detiene las amenazas la IA basada en el comportamiento
La IA basada en el comportamiento detiene las amenazas al evaluar la actividad de los procesos durante la ejecución. Por eso detecta las técnicas LOTL y sin archivos que evaden los escáneres de firmas.
El análisis del comportamiento en el agente se realiza cerca de la actividad que evalúa. La telemetría de endpoints del NIST describe este enfoque basado en agentes: recopilan datos de procesos y programas, parámetros del dispositivo y tráfico, y después señalan las desviaciones respecto de las políticas de seguridad preconfiguradas y las líneas de referencia establecidas.
La ventaja principal: como el modelo evalúa las desviaciones respecto de una línea de referencia establecida, detecta actividades como un consumo inusual de recursos o un aumento repentino de conexiones de red nuevas, aunque el malware sea nuevo.
El seguimiento de la genealogía de procesos hace gran parte del trabajo. El componente de datos de MITRE ATT&CK Process Creation señala que supervisar la creación de procesos facilita la detección de comportamientos maliciosos, como la ejecución no autorizada de archivos binarios, el uso indebido de scripts y los intentos de escalada de privilegios. Abarca explícitamente las “relaciones entre procesos principales y secundarios, los argumentos de los procesos y las variables de entorno”.
- Técnicas que aprovechan herramientas del sistema. El ransomware Rhysida, documentado en CISA Advisory AA23-319A, operaba casi por completo mediante archivos binarios de confianza del sistema operativo: cmd.exe para modificar el registro, wevtutil.exe para borrar registros y PowerShell para ejecutar código. No había malware nuevo cuya firma pudiera detectarse, por lo que los modelos de comportamiento señalan la secuencia y la genealogía anómalas.
- Ataques sin archivos. La inyección de procesos ejecuta código dentro de un proceso legítimo para ocultar su ejecución. MITRE señala que la ejecución oculta en un proceso legítimo puede evadir los productos de seguridad. La supervisión durante la ejecución detecta el propio comportamiento de inyección mediante las llamadas de token y las escrituras en memoria.
- Ransomware. La técnica de MITRE Data Encrypted for Impact describe el cifrado masivo de archivos. Los modelos de comportamiento identifican el patrón de cifrado rápido y a gran escala antes de que exista un hash conocido del programa de cifrado.
Los modelos que analizan la actividad durante la ejecución detectan los tres patrones porque el propio comportamiento delata el ataque. Esa cobertura genera los beneficios operativos que se presentan a continuación.
Beneficios clave de la seguridad de endpoints con IA
La seguridad de endpoints con IA protege frente a intrusiones que evitan el malware conocido y no activan ninguna firma. Para prevenir amenazas en endpoints, los beneficios proceden directamente del análisis del comportamiento y la respuesta automatizada.
- Cobertura frente a amenazas desconocidas: Los modelos de comportamiento detectan actividades de día cero y sin archivos al comparar el comportamiento durante la ejecución con las líneas de referencia. Así, el malware nuevo y el abuso de binarios que aprovechan herramientas del sistemaliving-off-the-land (LOLBin) se detectan como anomalías.
- Contención más rápida: La respuesta automatizada aísla un equipo o detiene un proceso en cuanto se detecta una amenaza, lo que reduce el tiempo disponible para que un atacante se mueva lateralmente.
- Contexto completo del ataque: El seguimiento de la genealogía de procesos muestra las relaciones entre procesos principales y secundarios y las líneas de comandos asociadas a una alerta. También vincula la actividad de red relevante. Ese contexto convierte horas de correlación manual en una cronología que puede investigarse.
- Operaciones adaptables con menos alertas irrelevantes: El aprendizaje continuo adapta los modelos de comportamiento a nuevos patrones de ataque, mientras que la correlación de telemetría agrupa los eventos relacionados en menos incidentes de mayor fiabilidad.
Estos beneficios solo se mantienen con ajustes continuos, recursos suficientes y personal cualificado, cuyos costos operativos se abordan a continuación.
Desafíos y limitaciones de la seguridad de endpoints con IA
La seguridad de endpoints con IA exige ajustes, defensa frente a ataques adversariales, recursos y personal especializado mucho después de su implementación inicial. Planifique cada aspecto antes de confiar en el modelo en producción.
- Los falsos positivos y los ajustes del modelo requieren atención continua. NIST AI 100-2 documenta una tensión persistente entre la resistencia a ataques adversariales y la precisión del modelo. La Agencia de la Unión Europea para la Ciberseguridad (ENISA), en su informe sobre los desafíos de la ciberseguridad de la IA, añade que los cambios en los patrones de los datos obligan a repetir el entrenamiento con frecuencia, lo que exige muchos recursos de compute.
- Los intentos de evasión adversarial siguen siendo motivo de preocupación. NIST afirma claramente que “diseñar modelos de aprendizaje automático que resistan la evasión sin perder precisión sigue siendo un problema sin resolver”. Los atacantes también afrontan una limitación: mantener la funcionalidad del malware tras modificarlo es difícil. Por eso, el análisis del comportamiento durante la ejecución sigue siendo eficaz incluso frente a muestras modificadas.
- El consumo de recursos del agente varía mucho según su diseño. Un estudio de USENIX Security midió el consumo de recursos de un EDR ligero en producción, mientras que otro agente de investigación consumió mucha más memoria y CPU. La diferencia refleja el alcance de la telemetría y si la inferencia se ejecuta en el sensor o en la nube. Valide el consumo con sus propios equipos como referencia.
- Las competencias necesarias para ponerla en funcionamiento siguen siendo una limitación real. La encuesta de 2025 SANS SOC Survey reveló que el 42% de los centros de operaciones de seguridad (SOC) usan herramientas de IA o aprendizaje automático listas para usar, sin personalizarlas. Esas herramientas figuran entre las peor valoradas en satisfacción. Aun así, necesita interpretar los resultados del modelo y saber cuándo cuestionarlos.
Errores comunes en la seguridad de endpoints con IA
Los fallos de protección de endpoints suelen deberse a decisiones de implementación y supervisión. Los avisos de CISA documentan los mismos errores una y otra vez. La prevención de amenazas para endpoints falla cuando la cobertura, la revisión de alertas o el proceso de respuesta dejan al modelo sin visibilidad. Cada uno de esos fallos responde a una decisión y, por tanto, puede corregirse.
- Cobertura de implementación incompleta: En el incidente de GeoServer de 2024, el aviso AA25-266A de CISA constató que “algunos sistemas expuestos a Internet carecían de protección de endpoints”, por lo que la intrusión pasó inadvertida.
- Alertas sin revisar: En ese mismo incidente de GeoServer, la herramienta EDR identificó la herramienta Stowaway, pero el SOC no actuó hasta después de una omisión en la revisión de alertas. La herramienta identificó la amenaza. El proceso humano no respondió.
- Ajustes y configuración insuficientes: El aviso sobre el ejercicio Red Team de CISA AA24-193A documenta una “configuración insuficiente de EDR” e insta a los equipos a implementar un EDR capaz de detectar técnicas conocidas de ofuscación y ejecución.
- Planes de respuesta a incidentes sin probar: AA25-266A señala que la agencia afectada no había probado ni puesto en práctica su plan de respuesta a incidentes, lo que retrasó la participación de terceros durante la respuesta.
En estos incidentes, las herramientas funcionaron, pero falló la disciplina operativa necesaria para aprovecharlas. Su equipo controla esa disciplina y puede reforzarla con las prácticas siguientes.
Prácticas recomendadas para la seguridad de endpoints con IA
La prevención eficaz de amenazas para endpoints empieza por una cobertura completa, seguida de revisión, ajustes e integración continuos. Las recomendaciones de CISA y NIST coinciden en una breve lista.
- Implemente la protección en todos los activos. Instale un agente EDR en todos los equipos, incluidos los sistemas expuestos a Internet y los de la nube, y compleméntelo con listas de aplicaciones permitidas, según la guía #StopRansomware.
- Revise las alertas continuamente. La omisión en la revisión de alertas del incidente de GeoServer demuestra que detectar una amenaza sin una revisión continua equivale a no detectarla. Asigne personal o automatice la clasificación de alertas 24/7. IA agéntica en las investigaciones hace que la automatización sea práctica: un analista de IA investiga las alertas críticas en cuanto se activan y entrega a su equipo un veredicto respaldado por pruebas. Así, la cobertura no disminuye por las noches ni los fines de semana.
- Ajuste la detección frente a técnicas de evasión. Configure los agentes para detectar la ofuscación y el uso indebido de LOLBin, y ajuste los patrones de referencia a medida que cambien los comportamientos.
- Integre, aplique parches y ensaye. La guía Trusted Internet Connections (TIC) 3.0 de CISA sobre uso de la nube indica a las agencias que incorporen los datos de endpoints en la nube a la visibilidad situacional de toda la empresa. Corrija las vulnerabilidades explotadas conocidas según un calendario definido y realice simulacros de respuesta para comprobar que el acceso de terceros y las rutas de escalamiento funcionan antes de un incidente.
La plataforma de SentinelOne está diseñada para aplicar las cuatro prácticas a escala.
Proteja su puesto final
Descubra cómo la seguridad para endpoints basada en IA de SentinelOne puede ayudarle a prevenir, detectar y responder a las ciberamenazas en tiempo real.
Detenga las amenazas a los endpoints con SentinelOne
Singularity™ Endpoint combina prevención con IA y EDR en un agente único. Aplica IA basada en el comportamiento directamente en el dispositivo para detectar y detener técnicas LOTL y sin archivos. También detecta comportamientos de ransomware documentados en avisos de CISA. El agente evalúa el comportamiento y la secuencia de procesos durante la ejecución. Así identifica como anomalías los comportamientos de ransomware y las secuencias de procesos anómalas en cuanto aparecen, antes de que exista una firma.
Singularity Platform reúne la telemetría de endpoints y la nube con la telemetría de identidades. Un agente único y una consola alimentan un único data lake. Storyline® reconstruye la creación de procesos y la actividad de archivos para ofrecer una visión completa del ataque. También muestra las conexiones de red, para que usted pase de la alerta a la causa raíz sin reconstruir manualmente la cronología. Por sexto año consecutivo, Gartner® nombró a SentinelOne Líder en el Magic Quadrant™ 2026 para la protección de endpoints. Latio nombró a SentinelOne Líder en plataformas SOC en su informe de mercado de 2026, un reconocimiento que abarca toda la plataforma SOC, desde la telemetría hasta la investigación y la respuesta.
Si el ransomware llega a ejecutarse, Singularity Endpoint revierte los cambios maliciosos y devuelve el endpoint Windows afectado a su estado anterior a la infección. Un evento de cifrado destructivo se convierte en uno del que es posible recuperarse.
Purple AI™ amplía esta capacidad a la investigación. Convierte preguntas en lenguaje natural en búsquedas estructuradas en la telemetría de endpoints. Así, los analistas reconstruyen la cronología de un ataque sin correlacionar manualmente datos de distintas herramientas. Según la investigación de IDC sobre valor empresarial, los clientes de Purple AI identificaron las amenazas un 63% más rápido y las corrigieron un 55% más rápido.
Purple AI Agentic Investigation lleva a los equipos SOC un paso más allá. Cuando una amenaza crítica supera un umbral definido, inicia la investigación de forma autónoma, recopila y correlaciona las pruebas, emite un veredicto y puede detener la amenaza a la velocidad de máquina. Sus analistas parten del veredicto, no de la alerta. Cada veredicto incluye una cadena de pruebas auditable, y su equipo define el grado de autonomía de Purple AI.
Singularity Data Lake ingiere y normaliza la telemetría mediante Open Cybersecurity Schema Framework (OCSF). Esto le ofrece una base común para proteger endpoints con aprendizaje automático, investigar la nube y correlacionar datos entre dominios. Los datos almacenados permanecen disponibles para consultas inmediatas, de modo que los analistas pueden consultar la telemetría de endpoints y de otros dominios casi en tiempo real.
Solicite una demo de SentinelOne para ver cómo la IA basada en el comportamiento detiene una cadena de ataque en vivo y cómo la reversión con un solo clic deshace los daños.
Descubra una protección de puntos finales sin precedentes
Descubra cómo la seguridad para endpoints basada en IA de SentinelOne puede ayudarle a prevenir, detectar y responder a las ciberamenazas en tiempo real.
Conclusión
La seguridad de endpoints con IA protege los dispositivos al analizar el comportamiento de archivos y procesos. Así detecta comportamientos de ransomware que eludieron las defensas en incidentes documentados por CISA, además de técnicas de uso de herramientas legítimas y sin archivos. La IA estática, los modelos de comportamiento durante la ejecución, la telemetría y la respuesta automatizada trabajan en conjunto. La cobertura completa y la revisión continua de alertas determinan los resultados. La IA basada en el comportamiento en el agente da a los defensores la primera señal de alerta.
Cierre las brechas de cobertura y revisión para que las herramientas legítimas dejen de ser un escondite para los atacantes.
Preguntas frecuentes
La seguridad de endpoints con IA protege los dispositivos de usuarios y servidores mediante aprendizaje automático e IA basada en el comportamiento que analizan cómo se comportan los archivos y procesos durante la ejecución. Combina el análisis de archivos antes de su ejecución, la supervisión del comportamiento, la recopilación de telemetría y la respuesta automatizada.
Al evaluar las desviaciones respecto de los patrones normales, este enfoque detecta comportamientos de ransomware que las herramientas basadas en firmas pasan por alto, así como malware sin archivos y técnicas que aprovechan herramientas legítimas.
La IA basada en el comportamiento detecta amenazas que las herramientas basadas en firmas pasan por alto al observar lo que hace un proceso durante la ejecución. Las herramientas basadas en firmas comparan los archivos con una base de datos de hashes y patrones de malware conocidos, por lo que solo detienen lo que ya han visto. La IA basada en el comportamiento compara la actividad durante la ejecución con patrones de comportamiento normal.
Cuando los atacantes usan técnicas sin archivos, malware polimórfico, o binarios de confianza del sistema como PowerShell, el modelo evalúa la secuencia y el linaje de los procesos mientras estos se ejecutan y señala el comportamiento anómalo.
El rastreo del linaje de procesos registra las relaciones entre procesos principales y secundarios, junto con las líneas de comandos y sus argumentos. MITRE ATT&CK identifica estas relaciones como señales clave para detectar ataques.
Por ejemplo, si control.exe inicia cmd.exe o un binario firmado ejecuta una carga útil sin firmar, es probable que exista un uso indebido. El rastreo del linaje detecta esta actividad incluso cuando cada binario implicado es legítimo y de confianza, porque la cadena revela el comportamiento del atacante.
Los principales desafíos al implementar la seguridad de endpoints con IA son los falsos positivos, las técnicas de evasión adversaria, el consumo de recursos del agente y la falta de especialistas. Los falsos positivos exigen ajustar y volver a entrenar el modelo continuamente a medida que cambian los patrones de comportamiento.
NIST considera que la evasión adversaria sigue siendo un problema sin resolver. El consumo de recursos varía según el diseño y debe validarse en el hardware. Su equipo también necesita conocimientos para personalizar políticas, interpretar los resultados del modelo y cuestionarlos cuando el contexto no encaja.
La seguridad de endpoints con IA es fundamental para una estrategia moderna de EDR, y ambas funcionan mejor juntas. El enfoque más sólido reúne todo en un único agente: la prevención con IA bloquea los archivos maliciosos antes de que se ejecuten, los modelos de IA basada en el comportamiento identifican indicadores de ataque durante la ejecución y la detección y respuesta automatizadas en endpoints (EDR) contienen las amenazas que logran pasar.
Integrada desde el principio, no añadida después. Estos datos de los endpoints también alimentan la supervisión de identidades, la búsqueda de amenazas y la correlación en todo el programa de seguridad. Así, el endpoint se convierte en el sensor principal para detectar intrusiones en entornos de nube y locales.
Descubra más sobre Seguridad de endpoints
Seguridad de endpoints que detiene amenazas a mayor velocidad y a mayor escala de lo humanamente posible.
Una plataforma inteligente para una visibilidad superior y prevención, detección y respuesta en toda la empresa en toda su superficie de ataque, desde endpoints y servidores hasta dispositivos móviles.
