El software original de seguridad endpoint, el software antivirus, protege los endpoints contra formas conocidas de malware: troyanos, gusanos, adware y más.

El software antivirus tradicional escaneaba los archivos de un dispositivo endpoint en busca de firmas de malware (cadenas de bytes características de virus o malware conocidos).  El software alertó al usuario o administrador cuando se encontró un virus y proporcionó herramientas para aislar y eliminar el virus y reparar cualquier archivo infectado.

El software antivirus actual, a menudo llamado antivirus de próxima generación (NGAV), puede identificar y combatir los tipos de malware más nuevos, incluido el malware que no deja firma. Por ejemplo, NGAV puede detectar malware sin archivos, es decir, malware que reside en la memoria e inyecta scripts maliciosos en el código de aplicaciones legítimas. NGAV también puede identificar actividades sospechosas mediante heurística, que compara patrones de comportamiento sospechosos con los de virus conocidos, y escaneo de integridad, que escanea archivos en busca de signos de infección por virus o malware.

El software antivirus por sí solo puede ser suficiente para proteger un puñado de endpoints. Todo lo que vaya más allá suele requerir una plataforma de protección empresarial o EPP. Una EPP combina NGAV con otras soluciones de seguridad endpoint, entre las que se incluyen:

• Control sitio web: a veces llamado filtro sitio web, este software protege a los usuarios y a su organización del código malicioso oculto en sitios web o dentro de los archivos que descargan los usuarios. El software de control sitio web también incluye capacidades de listas blancas y negras que permiten a un equipo de seguridad controlar qué sitios pueden visitar los usuarios.
• Clasificación de datos y prevención de pérdida de datos: estas tecnologías documentan dónde se almacenan los datos confidenciales, ya sea on premises o en la nube, y evitan el acceso no autorizado o la divulgación de esos datos.
• Cortafuegos integrados: estos cortafuegos son hardware o software que aplican la seguridad de la red al evitar el tráfico no autorizado dentro y fuera de la red.
• Puertas de enlace de correo electrónico: estas puertas de enlace son programas informáticos que filtran el correo electrónico entrante para bloquear los ataques de phishing y de ingeniería social.
• Control de aplicaciones: esta tecnología permite a los equipos de seguridad monitorear y controlar la instalación y el uso de aplicaciones en dispositivos y puede bloquear el uso y la ejecución de aplicaciones no seguras o no autorizadas.

Un EPP integra estas soluciones de endpoint en una consola de administración central, donde los equipos de seguridad o los administradores del sistema pueden monitorear y gestionar la seguridad de todos los endpoints. Por ejemplo, un EPP puede asignar las herramientas de seguridad adecuadas a cada endpoint, actualizar o aplicar parches a esas herramientas según sea necesario y gestionar las políticas de seguridad corporativas.

Las EPP pueden ser on-premises o basados en la nube. Pero el analista de la industria Gartner (enlace externo a ibm.com), que definió por primera vez la categoría EPP, señala que "las soluciones EPP deseables se gestionan principalmente en la nube, lo que permite el monitoreo y la recopilación continuos de datos de actividad, junto con la capacidad de tomar medidas de corrección remotas, ya sea el endpoint está en la red corporativa o fuera de la oficina".

Las EPP se centran en prevenir amenazas conocidas o amenazas que se comportan de maneras conocidas. Otra clase de solución de seguridad endpoint, llamada Ejecución de la detección y respuesta de endpoints (EDR), permite a los equipos de seguridad responder a las amenazas que se escabullen de las herramientas preventivas de seguridad endpoint. 

Las soluciones de  ejecución de la detección y respuesta de endpoints (EDR) monitorean continuamente los archivos y aplicaciones que entran en cada dispositivo, buscando actividad sospechosa o maliciosa que indique malware, ransomware o amenazas avanzadas. La ejecución de la detección y respuesta de endpoints (EDR ) también recopila continuamente datos detallados de seguridad y telemetría, almacenándolos en un lago de datos donde se pueden utilizar para análisis en tiempo real, investigación de causas principales, caza de amenazas y más.

La ejecución de la detección y respuesta de endpoints (EDR) suele incluir analytics avanzados, análisis de comportamiento, inteligencia artificial (IA) y machine learning, capacidades de automatización, alertas inteligentes y funcionalidad de investigación y corrección que permiten a los equipos de seguridad:

• Correlacionar los indicadores de compromiso (IOC) y otros datos de seguridad endpoint con fuentes de inteligencia de amenazas para detectar amenazas avanzadas en tiempo real.
• Recibir notificaciones de actividades sospechosas o amenazas reales en tiempo real, junto con datos contextuales que pueden ayudar a aislar las causas principales y acelerar la investigación de amenazas. 
• Realice análisis estáticos (análisis de código sospechoso malicioso o infectado) o análisis dinámico (ejecución de código sospechoso de forma aislada).
• Establezca umbrales para los comportamientos de los endpoints y alertas para cuando se superen esos umbrales.
• Automatice las respuestas, como desconectar y poner en cuarentena dispositivos individuales, o bloquear procesos, para mitigar el daño hasta que se pueda resolver la amenaza.
• Determine si otros dispositivos endpoint se ven afectados por el mismo ciberataque.

Muchas EPP más nuevas o más avanzadas incluyen algunas capacidades de Ejecución de la detección y respuesta de endpoints (EDR), pero para una protección completa de endpoints que abarque la prevención y la respuesta, la mayoría de las compañías deben emplear ambas tecnologías.

La detección y respuesta extendidas, o XDR, amplía el modelo de detección y respuesta de amenazas de la ejecución de la detección y respuesta de endpoints (EDR) a todas las áreas o capas de la infraestructura, protegiendo no solo los dispositivos endpoint sino también las aplicaciones, las bases de datos y el almacenamiento, las redes y las cargas de trabajo en la nube. Una solución de software como servicio (SaaS), XDR protege los recursos on-premises y en la nube. Algunas plataformas XDR integran productos de seguridad de un solo proveedor o proveedor de servicios en la nube, pero las mejores también permiten a las organizaciones agregar e integrar las soluciones de seguridad que prefieran.