Seguridad del navegador frente a seguridad de los puntos finales: el papel de cada una en las arquitecturas modernas

La seguridad del navegador y la seguridad de los terminales no son capas que compitan entre sí, sino controles complementarios que detectan diferentes amenazas en distintos puntos de la cadena de ataque. Un exploit de día cero difundido a través de un sitio web de noticias del sector que haya sido comprometido elude por completo el antivirus de los terminales basado en firmas, pero remote browser isolation (RBI) impide que el código malicioso llegue siquiera al sistema operativo. Por el contrario, si un empleado descarga un instalador infectado con un troyano a través de una memoria USB personal, la detección y respuesta en los terminales (EDR) es la capa que detecta la carga útil una vez que esta se ha instalado. Los arquitectos de seguridad que diseñan soluciones centradas únicamente en una de estas capas dejan brechas predecibles que los atacantes aprovechan de forma habitual.

Qué abarca realmente la seguridad del navegador

La seguridad del navegador abarca controles que operan dentro, alrededor o en las fases previas a la sesión del navegador web: remote browser isolation, pasarelas web seguras, DLP integrado, aplicación de políticas mediante proxy CASB, filtrado de URL y restricciones basadas en políticas sobre las funciones de copiar/pegar, subir archivos, descargar y imprimir dentro de las sesiones del navegador.

El modelo de amenaza en este caso es la propia sesión del navegador. Considere este escenario: un responsable de compras de una empresa manufacturera visita el portal de un proveedor de piezas que ha sido comprometido mediante una inyección de JavaScript —un clásico «watering hole»—. El sitio web utilizado por el atacante suele ser uno frecuentado por una comunidad específica, como un sector concreto, donde el objetivo es comprometer a los usuarios basándose en un interés común —un patrón que MITRE ATT&CK clasifica como «compromiso web estratégico» bajo el código T1189. El script inyectado analiza de forma silenciosa el navegador en busca de versiones vulnerables y, si las encuentra, ejecuta el código.

Con el RBI activado, toda esta secuencia se ejecuta dentro de un contenedor aislado en la nube. El código JavaScript malicioso se ejecuta, pero nunca en el equipo real del usuario, sino que se ejecuta de forma inofensiva en una sesión desechable. El terminal nunca ve la carga útil.

La seguridad del navegador también aborda la filtración de datos durante la sesión. Imagine a un colaborador externo que abre un panel de Salesforce a través de un navegador en un ordenador portátil personal no gestionado, selecciona una lista de clientes empresariales e intenta pegar los datos en un chatbot de IA en otra pestaña. El sistema DLP de la capa del navegador inspecciona esa acción del portapapeles en tiempo real y bloquea el pegado antes de que los datos salgan de la aplicación corporativa.

Este tipo de acceso inicial basado en el navegador resulta especialmente preocupante, ya que se ha observado que 41 grupos de amenazas y familias de malware conocidos utilizan el «drive-by compromise» (T1189) en entornos reales, lo que lo convierte en uno de los métodos de acceso inicial más frecuentes recogidos en el marco MITRE ATT&CK.

Qué abarca realmente la seguridad de los dispositivos finales

La seguridad de los terminales incluye EDR, antivirus de nueva generación (NGAV), cortafuegos basados en el host, evaluación del estado de los dispositivos, cifrado de disco, control de aplicaciones y detección de amenazas a nivel del sistema operativo. Estos controles se activan en el dispositivo una vez que el contenido ya ha llegado: inspeccionan los procesos, los archivos, los cambios en el registro, las operaciones de memoria y las conexiones de red que se originan en el terminal.

El marco MITRE ATT&CK recoge un amplio conjunto de técnicas aplicadas a los terminales tras la ejecución. La inyección de procesos (T1055) sigue siendo una de las técnicas más frecuentes observadas en el análisis de malware, junto con la evasión de defensas y la persistencia, que constituyen las tácticas predominantes. La técnica de «deterioro de las defensas» (T1562) —utilizada para desactivar los antivirus, borrar registros y eliminar agentes EDR— se sitúa de forma constante entre las técnicas más observadas en los últimos años.

Aquí es donde la seguridad de los puntos finales demuestra su utilidad: un analista financiero de un banco descarga lo que parece ser una plantilla de Excel desde el enlace para compartir archivos de un compañero. En realidad, el archivo contiene una macro que coloca un archivo DLL en el directorio temporal del usuario e intenta realizar una inyección de procesos. El navegador no tenía motivos para bloquear la descarga, ya que procedía de un dominio de almacenamiento en la nube autorizado. Sin embargo, el EDR detecta el proceso secundario sospechoso que se genera desde Excel, señala la DLL sin firmar y pone en cuarentena la carga útil antes de que pueda establecer persistencia.

La seguridad de los terminales también detecta el robo de credenciales tras un compromiso del sistema. Según la categoría «Credenciales de navegadores web» (T1555.003) del marco MITRE ATT&CK, los atacantes obtienen credenciales de los navegadores web leyendo archivos específicos de estos; los navegadores suelen guardar credenciales, como nombres de usuario y contraseñas, para que no sea necesario introducirlas manualmente. Una vez que el malware ha obtenido acceso al terminal, se dirige directamente a los almacenes de credenciales del navegador. El EDR es la capa que detecta que un proceso ajeno al navegador está leyendo la base de datos SQLite de «Datos de inicio de sesión» de Chrome a las 2 de la madrugada y activa la alerta.

Diferencias clave: seguridad del navegador frente a seguridad de los terminales

La distinción no radica en cuál es «mejor», sino en el punto de la cadena de ataque en el que cada capa intercepta las amenazas, qué datos de telemetría genera y qué técnicas del marco MITRE ATT&CK está preparada para mitigar.

Cuando la seguridad del navegador detecta lo que la seguridad de los terminales pasa por alto

El caso más evidente es el de las vulnerabilidades de día cero difundidas a través de un sitio web legítimo. El Grupo de Inteligencia sobre Amenazas de Google (GTIG) registró 75 vulnerabilidades de día cero explotadas en el mundo real en 2024, y las explotaciones basadas en navegadores se redujeron de 17 en 2023 a 11 en 2024 (GTIG, abril de 2025). La disminución de las vulnerabilidades de día cero en los navegadores no significa que el riesgo haya desaparecido, sino que los atacantes son más selectivos y reservan los exploits de los navegadores para objetivos de gran valor.

Imagine un bufete de servicios jurídicos cuyos abogados visitan habitualmente un sitio web especializado en la normativa de un sector concreto. Un adversario compromete dicho sitio e inyecta un exploit de día cero dirigido a una vulnerabilidad del motor de renderizado Chromium para la que aún no existe ningún parche. El antivirus de los terminales del bufete no dispone de la firma correspondiente. Es posible que su motor de análisis de comportamiento EDR detecte finalmente la actividad posterior a la explotación, pero solo después de que el exploit ya haya logrado ejecutar código y haya comenzado a establecer un punto de apoyo.

Gracias al aislamiento del navegador, el exploit se ejecuta en un contenedor efímero y el terminal nunca recibe el código malicioso. La página se muestra como un flujo de píxeles. Cuando el abogado cierra la pestaña, el contenedor se destruye junto con todo lo que el exploit haya intentado ejecutar. No se necesitó ninguna firma ni se invocó ninguna heurística de comportamiento: el ataque quedó neutralizado a nivel arquitectónico.

La seguridad del navegador también detecta situaciones de exposición de datos que los agentes de los terminales no pueden observar. Un miembro del equipo de marketing copia una hoja de cálculo de segmentación de clientes desde una aplicación de análisis interna y la pega en una herramienta de IA no autorizada que se ejecuta en una pestaña del navegador. El sistema DLP de los terminales no tiene visibilidad sobre los eventos del portapapeles entre las pestañas del navegador. Una secure web gateway DLP integrado inspecciona el contenido durante la sesión y bloquea la operación de pegar en función de la clasificación de los datos.

Cuando la seguridad de los dispositivos finales detecta lo que la seguridad del navegador pasa por alto

Los controles de seguridad del navegador se limitan a los canales de tráfico web. No tienen competencia alguna una vez que un archivo se ha guardado en el disco, se ha conectado una memoria USB o una aplicación ajena al navegador establece una conexión de red.

Imaginemos a un ingeniero de software que descarga una herramienta de desarrollo de un repositorio comunitario. La descarga supera el filtrado de URL de SWG, ya que el repositorio es legítimo y de uso generalizado. Una vez instalada, la herramienta instala de forma paralela un archivo DLL malicioso que utiliza la técnica de inyección de procesos T1055 para integrarse en un proceso del sistema de confianza. A continuación, ejecuta la técnica T1555.003 para sustraer las credenciales almacenadas en el perfil del navegador del ingeniero y las extrae a través de un canal C2 cifrado que imita el tráfico HTTPS legítimo.

Cada paso posterior a la descarga pasa desapercibido para los sistemas de seguridad del navegador. El EDR es el mecanismo de control que detecta la carga de una DLL sin firmar, la escritura anómala en la memoria de un proceso del sistema y la conexión saliente inusual desde un proceso que, normalmente, no presenta actividad de red.

Según el informe «M Trends 2025» de Mandiant, los exploits fueron el vector de infección inicial más común, representando el 33 % de las intrusiones en 2024, mientras que el robo de credenciales ascendió al 16 %, situándose como el segundo vector más frecuente. Dichas credenciales robadas suelen proceder de malware de robo de información que se ejecuta en el terminal —un tipo de malware que recopila bases de datos de credenciales del navegador, cookies de sesión y datos de autocompletado—. La seguridad de los terminales constituye la primera línea de defensa frente a los «infostealers», ya que el robo de credenciales se produce a nivel del sistema operativo o del sistema de archivos, y no en la sesión del navegador.

Los controles de los terminales también garantizan el estado de seguridad de los dispositivos. Antes de que se permita a un ordenador portátil conectarse a los recursos de la empresa, el agente EDR comprueba que el sistema operativo esté actualizado, que el cortafuegos esté activado y que no se esté ejecutando ningún software con vulnerabilidades conocidas. La seguridad del navegador no permite determinar si el sistema operativo subyacente se ha visto comprometido por un rootkit.

Por qué la mayoría de las empresas necesitan ambas cosas — y cómo relacionarlas con el NIST CSF 2.0

El NIST CSF 2.0 se estructura en torno a seis funciones —Gobernanza, Identificación, Protección, Detección, Respuesta y Recuperación— que, en conjunto, ofrecen una visión integral de la gestión del riesgo de ciberseguridad. Solo la función de Protección contiene 22 subcategorías que abarcan la gestión de identidades, la autenticación, el control de acceso, la seguridad de los datos, la seguridad de las plataformas y la resiliencia de la infraestructura tecnológica.

No existe una única categoría de productos que abarque las 22 subcategorías. La seguridad del navegador aborda los resultados de protección relacionados con la seguridad de los datos en tránsito (PR.DS), la gestión del acceso para aplicaciones SaaS y web (PR.AA) y la seguridad de la plataforma para el trabajo basado en el navegador (PR.PS). La seguridad de los terminales abarca la seguridad de la plataforma para el sistema operativo, la tecnología de protección para la detección basada en el host y la gestión de identidades para los almacenes de credenciales locales.

En la práctica, el responsable de seguridad de la información (CISO) de una empresa farmacéutica que alinee sus controles con el NIST CSF 2.0 asignaría el aislamiento del navegador y el SWG a subcategorías relacionadas con el filtrado de contenidos web y la protección de datos en tránsito, mientras que asignaría el EDR a subcategorías relacionadas con la detección de amenazas en los puntos finales y la prevención de malware. La función «Proteger» consiste en implementar medidas para salvaguardar los activos críticos, minimizar el riesgo y prepararse para posibles incidentes de ciberseguridad, lo que requiere el uso de ambas capas para evitar puntos ciegos sistemáticos.

El coste medio mundial de una filtración de datos alcanzó los 4,88 millones de dólares en 2024, según el Informe de IBM sobre el coste de las filtraciones de datos de 2024. Por otra parte, las filtraciones relacionadas con credenciales robadas o comprometidas fueron las que más tiempo tardaron en identificarse y contenerse: 292 días, según el mismo informe. Una arquitectura por capas que combina la prevención de pérdida de datos (DLP) en la sesión del navegador (que impide pegar credenciales en páginas de phishing) con la detección y respuesta en endpoints (EDR) (que detecta el acceso de programas de robo de información a las bases de datos de credenciales del navegador) aborda directamente este principal vector de ataque desde dos frentes.

Marco de decisión: distribución de la inversión entre las distintas capas

No todas las organizaciones necesitan el mismo nivel de profundidad en ambas capas. A continuación se presenta un marco práctico para los arquitectos de seguridad:

Priorice la inversión en seguridad del navegador cuando:

Una parte significativa de la plantilla trabaja a distancia, como contratistas o mediante dispositivos no gestionados —en los que no es posible instalar ningún agente de punto final—. RBI y el proxy inverso garantizan la seguridad sin necesidad de controlar los dispositivos.

Las aplicaciones SaaS constituyen el principal espacio de trabajo, y el principal riesgo de fuga de datos es el uso de las funciones de copiar y pegar, la descarga o la realización de capturas de pantalla desde aplicaciones basadas en navegador.

La organización debe permitir el acceso de terceros a aplicaciones sensibles. Un sistema sanitario que permite a los socios externos de facturación acceder a los historiales de los pacientes a través de una sesión de navegador utiliza RBI para garantizar que los datos nunca pasen por el terminal del socio.

El modelo de amenazas da prioridad a los ataques de «día cero» y de suplantación de identidad (phishing) procedentes de la web. Gartner prevé que, para 2028, una de cada cuatro organizaciones implementará al menos una tecnología de navegador empresarial seguro para subsanar deficiencias específicas en el acceso remoto y la defensa de los terminales (Gartner, abril de 2025).

Priorice la inversión en seguridad de los terminales cuando:

La plantilla utiliza principalmente dispositivos gestionados y propiedad de la empresa, sobre los que el administrador tiene plena visibilidad.

El análisis de amenazas pone de manifiesto un alto riesgo derivado de los canales de distribución de malware ajenos al navegador: dispositivos USB, archivos adjuntos de clientes de correo electrónico e instaladores de software de la cadena de suministro.

Los requisitos de cumplimiento exigen el cifrado en el dispositivo, la aplicación de un cortafuegos en el servidor y la evaluación del estado de seguridad de los dispositivos (algo habitual en entornos que cumplen con las normas PCI DSS e HIPAA).

El SOC necesita datos de telemetría forense detallados —árboles de procesos, artefactos de memoria, modificaciones del registro— para la investigación de incidentes y la detección proactiva de amenazas.

Invierta en integración cuando:

Ambas capas existen, pero funcionan de forma aislada. Una plataforma SSE que unifica SWG, RBI, CASB y DLP con telemetría de terminales crea un único motor de políticas. Cuando el SWG detecta que un usuario visita un dominio recién registrado, puede activar simultáneamente el RBI para esa sesión e indicar al agente del terminal que intensifique la supervisión del comportamiento del dispositivo de dicho usuario.

En 2024, el 44 % de los exploits de día cero se dirigieron contra productos empresariales (GTIG, abril de 2025), y los atacantes encadenan cada vez más el acceso inicial a través del navegador con la explotación posterior a nivel de terminal. La detección de un ataque encadenado requiere que la telemetría de ambas capas se correlacione en una única consola.

Cómo funcionan conjuntamente la telemetría de la capa del navegador y la de la capa de los terminales

Los ataques más peligrosos abarcan ambas capas. Las directrices de detección de MITRE ATT&CK para el «Drive-by Compromise» ilustran este requisito de integración: exigen pruebas correlacionadas de un comportamiento anómalo del navegador y de la red —como recuperaciones sospechosas de recursos externos y patrones de inyección de scripts—, seguidas de procesos secundarios atípicos, modificación de la memoria o inyección de procesos, y la aparición inesperada de archivos en el terminal.

Esta cadena de detección no puede funcionar si la telemetría del navegador y la telemetría del terminal se encuentran en paneles de control separados sin correlación alguna. Una secure web gateway de última generación secure web gateway la primera señal: la sesión del navegador de un usuario ha recuperado un recurso JavaScript ofuscado de un dominio recién registrado. El agente del terminal genera la segunda señal: unos minutos más tarde, el proceso del navegador generó un proceso secundario inesperado que escribió un archivo en el directorio temporal. Al correlacionarlas, estas señales confirman que se está produciendo un ataque «drive-by». Por separado, cualquiera de las dos señales podría descartarse como ruido.

Precisamente por eso el sector está evolucionando hacia arquitecturas SSE unificadas que integran políticas para la web, la nube y los terminales. Cuando un arquitecto de seguridad puede redactar una única política de DLP que se aplique de forma coherente a lo largo de una sesión de navegador, una conexión a una API de SaaS y una transferencia de archivos en un terminal gestionado, las lagunas de cobertura se reducen drásticamente.