La ciberdefensa activa según Metafrase

Tras la entrevista que realizamos a Santiago Crespo, CEO de Metafrase, hemos querido conocer más sobre los principales servicios que prestan. A continuación entramos en detalle en todo lo que ofrece Metafrase en el área de Ciberdefensa activa (MDR y SOC 24×7) a sus clientes.

¿Qué perfil de empresa está externalizando hoy la detección y respuesta?

Hoy ya no es una cuestión de tamaño. Nos contratan detección y respuesta desde microPYMEs hasta grandes compañías, pasando por la administración pública.

En su momento, cuando en 2014 empezamos a hablar de ataques dirigidos (APT) y la necesidad de MDR (EDR con supervisión y operación 24×7), nos dirigíamos únicamente a organizaciones con músculo económico. Era lo lógico, los ataques dirigidos eran por aquel entonces, cosa de grandes corporaciones, de espionaje industrial o de estados.

Eso hoy ha cambiado. Las organizaciones criminales han industrializado y “democratizado” esos mismos tipos de ataque con los métodos muy similares. Vemos malware fabricado a medida para cada víctima, vulnerabilidades sin parchear y, cada vez más, ataques que ni siquiera usan malware, sino las propias herramientas del sistema operativo y equipos de red incorrectamente configurados. Y la vía de entrada más habitual hoy ni siquiera es técnica, es el robo de credenciales, que permite al atacante entrar como si fuera un usuario legítimo. Un antivirus tradicional, que reacciona ante amenazas ya conocidas, sigue siendo necesario, pero ya no es suficiente.

Nuestros propios números a día de hoy lo reflejan. 22 de nuestros 84 clientes activos ya tienen contratado algún servicio MDR, y del resto, 56 más de ellos tienen un EDR o un XDR. Entre todos ellos encontramos microPYMEs, empresas medianas, administraciones públicas y grandes compañías. Lo que buscan es lo mismo: dormir tranquilos. Que alguien vigile su entorno las 24 horas, detecte lo que el antivirus no ve y actúe a tiempo, sin tener que montar un equipo de seguridad propio.

¿Los MDR siguen siendo territorio de grandes cuentas o las PYMEs también pueden acceder a sus ventajas?

El MDR ya no es un servicio reservado a las grandes cuentas, una PYME puede tener la misma vigilancia y capacidad de respuesta que una gran empresa, sin montar un equipo propio.

Conviene distinguir dos cosas que a menudo se confunden. Un SOC tradicional recoge y analiza eventos y, en el mejor de los casos, avisa. Si nadie actúa a tiempo, acaba siendo una «caja negra» que permite reconstruir cómo se produjo el ataque, pero cuando el daño ya está hecho. Un servicio MDR va un paso más allá. Además de vigilar 24×7, detecta la amenaza y la contiene antes de que bloquee o destruya la infraestructura.

¿Cómo logramos que algo así sea accesible para una PYME? Mediante una red de SOC compartidos, con servicios prestados por fabricantes tecnológicos como son Sophos y Cynet. Ese equipo especializado da servicio a muchos clientes a la vez y el coste de analistas, sistemas, etc. se reparte entre todos, de modo que una PYME accede a una capacidad que por sí sola no podría sostener, y además de ello cuenta con el factor de inteligencia de colmena o colaborativa. Es más probable detectar los nuevos tipos de ataque si en un SOC cuidas más de 35,000 clientes de todos los sectores y zonas geográficas con mayor rapidez que en un SOC dedicado que lleva una única compañía.

En la práctica, el servicio se resume en tres pasos: desplegar los agentes en los equipos, ajustarlos al entorno del cliente y operar de forma coordinada con los analistas del MDR. Durante todo el proceso, Metafrase actúa como interlocutor (a menudo único). Atendemos las peticiones del cliente, las trasladamos al operador del MDR y hacemos el camino inverso cuando es el operador quien necesita algo del cliente. El cliente no tiene que gestionar a varios proveedores ni entender cómo funciona cada SOC por dentro.

Hay además un motivo regulatorio. El Esquema Nacional de Seguridad (ENS) exige un nivel de control y supervisión de las operaciones de ciberseguridad, y su alcance se centra en la administración pública y en los sectores estratégicos de infraestructura crítica en España. En ambos tenemos clientes. En ese terreno, el MDR cubre la capacidad de supervisión y respuesta 24×7 que se les exige.

¿Cuáles son los incidentes más frecuentes que detecta vuestro SOC y cómo ha cambiado esa tipología en el último año (ransomware, robo de credenciales, suplantación de identidad…)?

En los clientes que supervisamos, el incidente real más frecuente es el robo de credenciales en Microsoft 365, y cada vez vemos más alertas de este tipo. De los ataques confirmados como reales (descartando falsos positivos), la gran mayoría empieza con una cuenta de Microsoft 365 comprometida. No hace falta malware, el atacante entra con un usuario y una contraseña válidos que roba mediante ingeniería social o phishing, y una vez dentro de la organización, su actividad se parece mucho a la de un empleado y resulta bastante más complicada de detectar.

No es solo nuestra experiencia. Según el último informe elaborado por Sophos, el Sophos Active Adversary Report 2026 de febrero de este mismo año, con más de 600 casos de respuesta a incidentes y MDR, las técnicas basadas en la identidad, como credenciales comprometidas, fuerza bruta y phishing, fueron el origen del 67% de los casos analizados. Además, la fuerza bruta ya casi iguala a la explotación de vulnerabilidades como vía de acceso inicial. El atacante entra cada vez más por la puerta en lugar de forzar la ventana.

Hay una segunda categoría que vemos con cierta frecuencia: herramientas y scripts descargados de internet, no pensados para un entorno laboral, que realizan operaciones sospechosas. En nuestros casos no los hemos confirmado como ataques, pero sí como actividad sospechosa que merece investigarse, porque podrían haberlo sido. Distinguir entre un uso imprudente y un ataque real es justo el trabajo del analista.

Y conviene recordar cuándo ocurre lo más grave. Según el mismo informe, el 88% del ransomware se despliega fuera de horario laboral, y el 79% de las exfiltraciones de datos también. Por eso la vigilancia 24×7 no es un lujo.

¿Qué papel juega ya la IA en vuestras operaciones de detección y respuesta, y dónde sigue siendo insustituible el analista humano?

La IA ya forma parte de nuestro trabajo diario, pero las decisiones siguen siendo de personas. Trabajamos con ella en dos niveles. Por un lado, la IA que incorporan tanto el software de endpoint como los propios servicios MDR de los fabricantes, que ayudan a detectar y bloquear ataques en las plataformas que operamos. Por otro, la que usamos nosotros en Metafrase para tres tareas: analizar y priorizar las alertas, investigar a fondo lo que ocurre (cruzando datos técnicos y buscando soluciones y alternativas) y redactar informes y resúmenes de los eventos de ciberseguridad.

Lo que la IA aporta es velocidad y capacidad para manejar un gran volumen de información. Pero hay tres puntos en los que siempre interviene un analista humano: las soluciones que propone la IA las prueba un analista antes de aplicarlas, los informes y resúmenes los revisa un analista antes de llegar al cliente, y la decisión final sobre los casos y alertas que la IA ha priorizado la toma siempre una persona.

Es una cuestión de responsabilidad. La IA puede equivocarse o no conocer el contexto de cada empresa y en ciberseguridad un error de criterio puede costar un incidente grave o una parada de actividad innecesaria.

¿Cómo se mide el éxito de un servicio MDR? ¿Qué métricas (tiempo de detección, tiempo de respuesta, falsos positivos) debería exigir un cliente a su proveedor?

Un MDR no se mide por lo que promete, sino por lo que demuestra. Un cliente debería exigir a su proveedor, como mínimo, cuatro cosas:

1. Tiempo de detección: cuánto pasa desde que ocurre algo sospechoso hasta que alguien lo identifica.
2. Tiempo de respuesta: cuánto pasa hasta que se actúa. Hay que fijarse bien en qué se mide. No es lo mismo el tiempo hasta avisar al cliente que el tiempo hasta contener la amenaza. Conviene que el contrato lo defina con claridad.
3. Calidad de las alertas: cuántas eran amenazas reales y cuántas falsos positivos. Un servicio que satura de avisos inútiles acaba siendo ignorado.
4. Cobertura: qué porcentaje de equipos y cuentas está realmente protegido. Lo que no se vigila no se puede defender.

Los clientes de nuestros servicios reciben cada mes los informes que generan las plataformas de Sophos y de Cynet, y permiten comprobar todo esto. Pero un informe describe lo que pasó, lo que marca la diferencia es lo que ocurre cuando salta una alerta de verdad. Ahí es donde Metafrase interviene, apoyamos al cliente en el análisis de la alerta, actuamos como intermediarios con el operador del MDR y trabajamos con ambos hasta resolver el caso.

Una advertencia práctica: conviene desconfiar de las cifras sueltas. Un «respondemos en minutos» no significa nada si no se sabe qué se mide ni desde cuándo. Pedir la definición de cada métrica es la mejor forma de comparar proveedores con criterio.

En nuestro caso, con Sophos MDR, por ejemplo tenemos un SLA de actuación, una vez detectada la amenaza, de 30 minutos.

¿Podéis compartir un caso real en el que la monitorización 24×7 haya evitado un incidente grave? ¿Qué habría pasado sin ella?

Una empresa cliente, a la que llamaremos ACME, trabaja desde hace años con Sophos Firewall y servicio MDR de Sophos. Llevaba mucho tiempo sin incidentes relevantes. Hasta que, en la madrugada de un domingo a lunes, el servicio MDR detectó actividad sospechosa en dos de sus servidores de producción y también en el Active Directory.

A las 3 o 4 de la madrugada no había nadie despierto, ni en el cliente, ni en Metafrase. Los analistas de Sophos MDR, en cambio sí estaban operativos y comprobaron que la actividad era maliciosa, bloquearon de forma remota los servidores afectados para frenar la propagación y deshabilitaron los usuarios administradores ilegítimos que los atacantes habían creado en el dominio. También nos enviaron varios correos con el detalle.

Al entrar a trabajar esa mañana, estos correos nos llevaron a investigar a fondo, avisar al cliente y buscar el origen del ataque. Lo encontramos no sin dificultad, resultó ser un servidor web que el cliente había puesto en producción el viernes por la tarde y que no figuraba en ninguna parte. No tenía instalado el agente del MDR, por lo que estaba expuesto a internet y fue asaltado con éxito durante el domingo. Los intrusos ya habían creado servicios de conexión remota, integrando los equipos en una botnet, y estaban en fase de descubrimiento de la información de la empresa para definir y lanzar su ataque (probablemente Ransomware). Una vez localizado el origen y protegido todo, el cliente volvió a operar sobre las 15:00 de ese mismo lunes.

¿Qué habría pasado sin el MDR? Con gran probabilidad, el ataque de ransomware que estaban preparando (ya habían localizado los backups y el A/D) hubiera tenido éxito. Y aunque la empresa hacía y hace bien sus copias de seguridad, siguiendo muy buenas prácticas, estimamos que el tiempo de recuperación habría estado al menos entre 7 y 10 días sin poder operar con normalidad.

¿Qué hemos cambiado después? El punto de entrada fue el único servidor sin protección del MDR. Por eso activamos en su firewall una funcionalidad que hasta el momento no se usaba: el Heartbeat y la seguridad sincronizada. Ahora todos los puestos de usuario y los servidores de la empresa, que están en segmentos de red concretos, deben tener instalado el agente de endpoint y MDR para poder conectarse a internet, tanto de entrada como de salida. El incidente se frenó a tiempo, y además la lección quedó convertida en una barrera de seguridad permanente, con dos soluciones que suelen ir por libre, trabajando en equipo.