Protoxol
Solicitar demo
Plataforma Módulos Planes Blog Solicitar demo
NDR · Módulo

Detección y respuesta en red

Inspección protocol-aware. Detección de beaconing. Movimiento lateral.

Comparar con 5 alternativas ↓

Visión general

Qué hace NDR.

La detección y respuesta de red (NDR) captura metadatos de flujo y paquetes de tus VPCs, switches on-prem y sitios remotos. Protoxol NDR despliega sensores software (sin appliances) que parsean más de 60 protocolos en profundidad — DNS, HTTP, SSH, RDP, SMB, Kerberos y más — y escriben al mismo bus de eventos que EDR. Resultado: un analista ve un proceso lanzarse en un host y la comunicación C2 saliente como dos filas del mismo timeline.

Características

Dentro de NDR.

Inspección protocol-aware

60+ protocolos parseados a velocidad de línea. Detalle nivel Zeek sin operar Zeek.

Detección de beaconing

Análisis estadístico de jitter identifica comunicaciones C2 incluso con sleep aleatorio.

Análisis de tráfico cifrado

Huella digital JA3/JA4, metadatos de certificado, análisis SNI — sin descifrar.

Sensores cloud-native

Corre como DaemonSet en Kubernetes, sidecar en ECS, o VPC mirror tap en AWS/Azure/GCP.

Detección de movimiento lateral

Análisis de grafo cross-host capturan ataques east-west invisibles a perímetro.

Casos de uso

Donde NDR se justifica.

Descubrir comunicaciones C2

Encuentra amenazas persistentes vía patrones outbound long-tail, no firmas.

Descubrir dispositivos no gestionados

Inventaría cada IP que habla — IoT, OT, laptops de contratistas, VMs sombra.

Exfiltración de datos

Tunneling DNS, volumen anormal a destinos nuevos, picos de upload sospechosos.

Especificaciones técnicas

NDR por dentro.

Rendimiento 10 Gbps por instancia de sensor
Despliegue Container, VM mirror, VPC tap
Soporte de cifrado Metadatos TLS 1.2/1.3 + JA3/JA4
Retención Flujos: 1 año, Paquetes: 7 días

Cifras de pruebas internas; método y fecha de medición pendientes de publicar.

Comparar alternativas

Protoxol NDR frente a cinco alternativas

Un EDR no ve lo que pasa en dispositivos sin agente, en el tráfico entre servidores ni en una conexión saliente que repite cada pocos minutos. El módulo NDR de Protoxol cubre ese hueco con sensores software que leen metadatos de flujo y paquetes, detectan beaconing y movimiento lateral, y escriben en el mismo bus de eventos que el EDR. Esta comparación sitúa Protoxol NDR frente a cinco alternativas relevantes y dice dónde cada una encaja mejor.

Qué ofrece Protoxol

Tabla comparativa

Cada celda indica el estado y el alcance. Los estados se explican debajo de la tabla.

Ver alternativa:

Desliza la tabla horizontalmente para ver todas las columnas.

Protoxol NDR frente a cinco alternativas
CriterioProtoxol NDRVectra AI Platform, ámbito NDR (Detect for Network)Darktrace / NETWORK (figura en el sitio del proveedor como / HYBRID NETWORK)ExtraHop RevealX 360 (módulo NDR)Cisco Secure Network Analytics (antes Stealthwatch)Corelight Open NDR Platform con Investigator
Fuentes de datos DisponibleSensores software leen metadatos de flujo y paquetes de VPCs, switches y sedes remotas; también ingiere Zeek y Suricata que ya tengas. DisponibleSensores físicos o virtuales capturan tráfico (SPAN, TAP, espejo cloud) y envían metadatos a un Brain; suma identidad vista en Kerberos, LDAP y NTLM. ↗ DisponibleTráfico bruto por puerto de un appliance, vSensor u osSensor; acepta syslog y telemetría de otras herramientas con configuración adicional. ↗ DisponibleSensores físicos, virtuales, en contenedor o de hiperescalar, con edición SaaS o local. Los módulos NDR, NPM, IDS y Packet Forensics comparten plataforma. ↗ DisponibleFlow Collector ingiere NetFlow, IPFIX, NVM y syslog de routers, switches, firewalls y endpoints; el Flow Sensor opcional añade capa 7. ↗ DisponibleSensores pasivos producen metadatos Zeek y alertas Suricata, con análisis de ficheros YARA y Smart PCAP; Investigator trabaja sobre esa salida. ↗
Este-oeste y movimiento lateral DisponibleLa ficha describe análisis de grafo entre hosts para ataques este-oeste. No hay datos públicos de tasa de detección ni casos medidos. DisponibleDetecta movimiento lateral en tráfico este-oeste y comunicación saliente. Recomienda no capturar fuera del firewall perimetral, donde domina el tráfico entrante. ↗ DisponibleSu web dice detectar movimiento lateral correlando red, nube, identidad y OT. Necesita tráfico completo y bidireccional sin duplicados. ↗ DisponibleSu web destaca exponer amenazas cifradas que se mueven lateralmente. No hay en las páginas leídas datos de tasa de detección. ↗ DisponibleAlarmas por movimiento lateral, acopio de datos y exfiltración, calculadas sobre telemetría de flujo. ↗ DisponibleInvestigator revisa siete días de actividad de un host para encontrar patrones persistentes y movimiento lateral. ↗
Enfoque de detección DisponibleAnálisis estadístico de jitter para beaconing y reglas de inspección editables y versionables en Git. No describe perfilado de comportamiento por dispositivo. DisponibleIA propia (Attack Signal Intelligence) prioriza entidades; el triaje aprende el entorno y suprime detecciones de comportamiento autorizado. ↗ DisponiblePerfil de comportamiento por dispositivo y sus pares con aprendizaje no supervisado; alertas por modelos e incidentes de Cyber AI Analyst. ↗ DisponibleExtraHop gestiona el machine learning en la nube; la detección por IDS es un módulo aparte dentro de la plataforma. ↗ DisponibleModelado de comportamiento, machine learning multicapa e inteligencia global, sin depender de firmas. ↗ DisponibleEstrategia multicapa con machine learning, analítica de comportamiento, firmas curadas e inteligencia de amenazas. ↗
Tráfico cifrado DisponibleHuellas JA3/JA4, metadatos de certificado y SNI sin descifrar. Descifrar TLS para ver contenido no figura como función. DisponibleLa mayoría de detecciones funcionan sin descifrar. Para Match o Stream puede añadirse tráfico descifrado en un pipeline paralelo. ↗ DisponibleSu web dice analizar tráfico cifrado y descifrado. Las páginas leídas no detallan qué extrae sin descifrar. ↗ DisponibleEl sensor descifra TLS 1.3 con PFS a velocidad de línea según su datasheet de 2022; añade huellas JA4+. ↗ Según configuraciónAnaliza tráfico cifrado sin descifrar; el Flow Sensor opcional (desde 7.1) genera la telemetría ETA ampliada. ↗ DisponibleIncluye una colección de detecciones para tráfico cifrado. Las páginas leídas no detallan si usa metadatos o descifrado. ↗
Investigación y retención de evidencia Según configuraciónEvento de red y de host en un mismo timeline, con IOC de Threat Intel. La retención de flujos y paquetes depende del plan; descarga de PCAP no descrita. Según configuraciónDetecciones con micro-PCAP se conservan en general seis meses; los metadatos dependen de la opción contratada o de tu data lake. ↗ Según configuraciónMetadatos DPI y actividad por dispositivo en Advanced Search, unos 30 días en la mayoría de despliegues; exportables para guardar más. ↗ Según licenciaRecord store en la nube con 90 días en el datasheet de 2022, ampliable por bandas; captura continua de paquetes en sensores Ultra. ↗ Según configuraciónEl Data Store opcional centraliza flujos con retención de uno a dos años, según el datasheet. ↗ DisponibleMetadatos Zeek para histórico largo y Smart PCAP para paquetes de sesiones de interés. Plazos de retención no publicados. ↗
Acciones de respuesta Según licenciaBloquear IP es una acción del módulo de automatización (plan Enterprise), con aprobación humana por defecto. El mecanismo de bloqueo no está descrito. Requiere integraciónBloqueo de host por EDR y de cuenta en Entra ID; SOAR por API. La acción efectiva la ejecuta la herramienta de terceros. ↗ DisponibleRespuesta autónoma nativa: corta conexiones con TCP RST o limita conectividad; se amplía con firewalls y EDR. Los modelos pueden exigir confirmación humana. ↗ Requiere integraciónLa respuesta se apoya en integraciones, entre ellas CrowdStrike. Las páginas leídas no describen bloqueo nativo. ↗ Requiere otro productoLas políticas ANC de control de acceso a red se definen en SNA, pero las ejecuta Cisco ISE; sin ISE no hay esa acción. ↗ Requiere integraciónDesde el caso: aislar host con CrowdStrike, bloquear en Palo Alto Networks, cerrar sesión en Entra ID. Dependen de esos productos. ↗
Requisitos de despliegue DisponibleSensores software en contenedor, espejo de VM o VPC tap, sin appliances; un sensor por segmento con NDR activo y salida 443 hacia la plataforma. Según configuraciónExige al menos un Brain (físico o virtual) con sensores emparejados; en despliegues pequeños un único equipo en modo mixto. ↗ Según configuraciónAppliance físico, vSensor virtual u osSensor en hosts, con un Master. Mantener el espejo de tráfico completo es responsabilidad del cliente. ↗ Según configuraciónSaaS con plano de control en la nube y sensores tuyos, o edición local autoalojada. Los sensores son físicos o virtuales. ↗ Según configuraciónManager (hardware o VM) y Flow Collector con licencia de flujo; Flow Sensor, Data Store y Telemetry Broker son opcionales. ↗ Según configuraciónAppliances físicos, sensores virtuales, de nube y software, y sensores de flow logs. Investigator es SaaS. ↗
Cloud y Kubernetes DisponibleDaemonSet en Kubernetes, sidecar en ECS y VPC mirror tap en AWS, Azure y GCP, según la ficha. Sin validación independiente publicada. Según configuraciónEspejo nativo de tráfico en AWS, GCP y Azure. Kubernetes no aparece en las páginas leídas. ↗ DisponiblevSensor con autoescalado en nube, espejo de AWS y GCP, y osSensor en contenedor para Kubernetes y AWS Fargate. ↗ DisponibleEn 2026 suma visibilidad de Kubernetes, con descifrado de mTLS entre servicios; el espejo cloud sin agentes figura en su datasheet de 2022. ↗ Requiere otro productoTelemetry Broker lee flow logs de AWS VPC y Azure NSG; la nube pública completa va en Secure Cloud Analytics (SaaS). Kubernetes no figura. ↗ Según configuraciónSensores de nube para AWS, Azure y GCP. Kubernetes no se detalla en las páginas leídas. ↗
Relación con señales de endpoint DisponibleSeñales NDR y EDR de un mismo activo se agrupan en una incidencia. Hace falta tener también activo el módulo EDR para ver la parte de host. Requiere integraciónSe integra con CrowdStrike Falcon, Microsoft Defender y SentinelOne; no sustituye al EDR. ↗ Requiere integraciónRecomienda integrar EDR y firewalls de terceros para ampliar acciones; el osSensor reenvía tráfico del host, no es un EDR. ↗ Requiere integraciónDesde 2026 integra Microsoft Defender for XDR para cruzar señales; el sensor de red no hace de EDR. ↗ Requiere integraciónIngiere telemetría NVM de endpoints; desde 7.5.1 cuenta dentro de la tasa de flujos. No es un EDR. ↗ Requiere integraciónInteligencia de amenazas vía CrowdStrike y aislamiento de host con su EDR; no incluye agente propio en los hosts. ↗
Modelo de licencia Según licenciaNDR va en Team y Enterprise, no en Starter, y se activa por módulo. El precio sigue endpoints y buzones, no usuarios ni ingesta. No confirmadoLas páginas leídas no publican el modelo de licencia ni precios. Consultar con Vectra. Según licenciaSuscripción por bandas de métricas de uso fijadas en el pedido. Precio no publicado. ↗ Según licenciaMódulos NDR, NPM, IDS y Packet Forensics por separado en Enterprise y 360. Precio no publicado. ↗ Según licenciaLicencia Flow Rate por flujos por segundo, con suscripciones de uno, tres o cinco años. ↗ No confirmadoLas páginas leídas no publican licencia ni precios. Consultar con Corelight.

Qué significa cada estado

Disponible
Función propia del producto o plan comparado.
Requiere integración
Funciona mediante un conector o un producto de terceros.
Según configuración
Existe, pero su alcance depende de cómo se despliegue o configure.
Según licencia
Solo en un plan superior o como complemento de pago.
Requiere otro producto
Lo cubre otro producto del mismo fabricante.
En desarrollo
Anunciado o en construcción; no está disponible con carácter general.
No confirmado
No hay evidencia suficiente. No equivale a «no».

Cinco comparaciones

Una por producto, con el plan que se ha comparado.

Vectra AI Platform, ámbito NDR (Detect for Network)

Plan o edición: Detección y respuesta de red con sensores de red y Brain; los módulos de identidad, nube y SaaS no se comparan; las condiciones de licencia no son públicas

Vectra AI Platform, en su alcance NDR, parte de una arquitectura de sensores y Brain pensada para reducir ruido: el triaje aprende qué comportamiento es autorizado y la consola ordena entidades por prioridad. También lee identidad desde Kerberos, LDAP y NTLM. Protoxol NDR no describe priorización de ese tipo; su diferencia es que el beacon y el proceso del host salen en el mismo timeline y que las reglas de inspección se editan y versionan. Encaja Vectra si tu SOC ya recibe mucho volumen de red y quiere ordenarlo; encaja Protoxol si buscas NDR junto a EDR. Límite: el Brain es obligatorio, así que dimensiónalo en el diseño.

Fuente oficial ↗

Darktrace / NETWORK (figura en el sitio del proveedor como / HYBRID NETWORK)

Plan o edición: Real-Time Detection más Autonomous Response, vendido por bandas de métrica de uso en el formulario de pedido; Darktrace / EMAIL no incluido

Darktrace construye un patrón de vida por dispositivo y por grupo de pares, y esa base es lo que activa las alertas y, si lo configuras, la respuesta autónoma que corta conexiones. La respuesta en red viene dentro del propio producto. Protoxol NDR no ofrece contención autónoma; el bloqueo pasa por el módulo de automatización con aprobación humana por defecto. Para quién: si quieres que la red se contenga sola y aceptas afinar políticas, Darktrace. Si prefieres detecciones trazables a una regla y un analista que aprueba, Protoxol. Condición: Darktrace exige un espejo de tráfico completo y bidireccional; cualquier hueco empeora el análisis, según su propia especificación.

Fuente oficial ↗

ExtraHop RevealX 360 (módulo NDR)

Plan o edición: RevealX 360 (SaaS) con el módulo NDR; RevealX Enterprise es la edición autoalojada y NPM, IDS y Packet Forensics son módulos aparte

ExtraHop RevealX 360 pone el peso en el paquete: el sensor descifra TLS a velocidad de línea, extrae registros y los manda a un record store en la nube donde investigas. Si tu equipo quiere ver el contenido de sesiones cifradas, es una ventaja clara sobre Protoxol, que analiza JA3/JA4, certificados y SNI sin descifrar. La contrapartida es que la respuesta depende de integraciones y que la retención de registros se amplía comprando capacidad. Encaja ExtraHop en entornos con mucho tráfico interno cifrado y equipo de red y seguridad compartido. Encaja Protoxol si el objetivo es que NDR, EDR y SIEM compartan consola. Condición: la edición 360 envía registros al servicio en la nube de ExtraHop.

Fuente oficial ↗

Cisco Secure Network Analytics (antes Stealthwatch)

Plan o edición: Manager local más Flow Collector con licencia Flow Rate; Secure Cloud Analytics (SaaS) y Cisco XDR son productos aparte; versión actual 7.6.1

Cisco Secure Network Analytics trabaja sobre flujos, no sobre paquetes: reutiliza el NetFlow que ya emiten tus routers y switches y lo convierte en alarmas de movimiento lateral y exfiltración. Su punto fuerte frente a Protoxol es la madurez y la retención larga de flujos en el Data Store. El precio de eso es una arquitectura más pesada (Manager, Flow Collector, licencia por flujos por segundo) y respuesta que pasa por ISE o XDR. Para quién: redes Cisco grandes con inventario de flujos ya desplegado. Protoxol encaja mejor si no tienes ese parque y quieres sensores software y NDR junto a EDR. Condición: la cobertura de nube pública completa exige Secure Cloud Analytics, que es otro producto.

Fuente oficial ↗

Corelight Open NDR Platform con Investigator

Plan o edición: Sensores Corelight (appliance, virtual, nube, software) más Investigator (SaaS); las condiciones comerciales no son públicas

Corelight es el camino natural si tu equipo ya piensa en Zeek: cada sensor genera metadatos Zeek, alertas Suricata y paquetes de sesiones relevantes, y Investigator los ordena en casos con acciones de respuesta. Protoxol describe análisis por protocolo y reglas abiertas, pero no publica una gama de appliances de alta capacidad como la de Corelight. Si buscas evidencia de red exportable a un SIEM que ya tienes, Corelight encaja. Si prefieres NDR y EDR en una sola consola, Protoxol. Condición: las acciones de aislamiento y bloqueo de Corelight requieren CrowdStrike, Palo Alto Networks o Entra ID; sin ellos, la respuesta se hace a mano.

Fuente oficial ↗

Cuándo elegir Protoxol

  • Quieres ver en un mismo timeline el proceso del host y la conexión saliente, porque ya usas o vas a usar Protoxol EDR.
  • Necesitas sensores software en contenedor, VM o VPC tap y no quieres comprar appliances.
  • Prefieres reglas de inspección que tu equipo pueda leer, editar y versionar en Git.

Cuándo considerar otra solución

  • Necesitas ver el contenido de sesiones TLS: ExtraHop descifra en el sensor y Protoxol no lo describe.
  • Quieres contención automática en la red sin pasar por otro módulo: Darktrace la incluye en su producto de red.
  • Tienes un parque Cisco con NetFlow desplegado y necesitas retención larga de flujos: Cisco Secure Network Analytics.
  • Tu equipo ya opera Zeek y Suricata o necesita captura de paquetes de alta capacidad: Corelight.

Ver el módulo en una demo

Preguntas sobre esta comparación

01¿Protoxol NDR descifra tráfico TLS?

La ficha del módulo describe análisis sin descifrar: huellas JA3/JA4, metadatos de certificado y SNI. El descifrado para inspeccionar contenido no figura como función; si lo necesitas, pregunta antes de contratar.

02¿Puedo usar NDR sin el EDR?

La ficha no lo excluye, pero la correlación de host y red que describe Protoxol exige tener los dos módulos activos. Sin EDR, las alertas de red no se cruzan con procesos del host.

03¿Qué necesito instalar?

Un sensor software en los segmentos donde quieras NDR, con salida 443 hacia la plataforma. Los sensores se despliegan como contenedor, espejo de VM o VPC tap; no hay appliance.

04¿Puede NDR bloquear una IP por sí solo?

No. El bloqueo de IP es una acción del módulo de automatización de respuesta, incluido en el plan Enterprise, y por defecto un analista la aprueba antes de ejecutarla.

05¿Cuánto tiempo guarda los datos de red?

Depende del plan: Team y Enterprise tienen retención distinta. Los plazos concretos de flujos y paquetes de la ficha están pendientes de validar, así que confírmalos con un contacto comercial.

Fuentes y fecha de revisión

Revisado el 2 de octubre de 2026. Revisado por Equipo de Protoxol.

Las capacidades de Protoxol se basan en la documentación comercial vigente de esta web y no se han validado técnicamente en esta revisión; lo no documentado figura como «No confirmado». Los datos de cada fabricante proceden de su documentación pública en la fecha indicada y pueden haber cambiado.

Selección

Ve NDR contra tus datos.

Treinta minutos. Tu entorno. Los módulos que encajan. Sin diapositivas.

Pedir demo Ver precios