SentinelOne Singularity es una plataforma de protección de endpoints que combina prevención (EPP) con detección, investigación y respuesta (EDR). Funciona con un agente instalado en ordenadores y servidores que analiza procesos, archivos y comportamientos para identificar actividad maliciosa, permite aislar de la red el equipo comprometido y aporta el contexto necesario para reconstruir qué ha ocurrido.
INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el año anterior, y el malware siguió siendo la categoría más frecuente con 55.411 casos, de los que 392 fueron ransomware. Detrás de casi todos ellos hay lo mismo: un PC, un móvil o un servidor. Lo que en nuestra jerga llamamos endpoint. Un correo de phishing, una credencial comprometida, una vulnerabilidad sin parchear o el uso malicioso de una herramienta legítima del sistema bastan para empezar un incidente que acabe afectando a toda la organización.
Trabajamos con SentinelOne como partner, así que lo que sigue no es una comparativa neutral: es el criterio por el que lo elegimos después de evaluar alternativas, y los casos en los que no es la pieza adecuada.
¿Qué es SentinelOne Singularity y en qué se diferencia de un antivirus?
El antivirus tradicional se centra en identificar archivos maliciosos ya conocidos. El problema es que buena parte de los ataques actuales no usan malware convencional: se apoyan en herramientas legítimas del sistema operativo —lo que se conoce como living off the land—, en credenciales válidas o en cambios de comportamiento progresivos diseñados para no levantar ninguna alarma por sí solos.
Una plataforma EDR trabaja sobre la actividad, no sobre el fichero. Eso le permite identificar patrones como la ejecución anómala de PowerShell o scripts, la modificación masiva de archivos, intentos de escalada de privilegios, creación de mecanismos de persistencia, accesos sospechosos a credenciales, comunicaciones con infraestructuras maliciosas o movimiento lateral entre sistemas.
Además de bloquear, SentinelOne permite investigar: qué procesos han intervenido, qué se ha ejecutado y sobre qué activos, y aplicar acciones de contención sobre el dispositivo afectado.
¿Con qué criterios lo elegimos?
No seleccionamos un fabricante por el número de funcionalidades de su catálogo. Evaluamos su eficacia operativa, su capacidad de integración y lo que aporta dentro de un servicio gestionado. Estos son los cinco criterios que aplicamos, y los mismos que aplicamos al resto de fabricantes con los que trabajamos.
Detección basada en comportamiento.
La plataforma relaciona procesos, usuarios, archivos y conexiones para identificar secuencias de actividad potencialmente maliciosas. Eso amplía la detección frente a ataques sin fichero, técnicas de evasión y amenazas que nadie ha catalogado todavía.
Capacidad de contención.
Cuando un equipo muestra indicios de compromiso, el tiempo es lo único que importa: cuanto más tarde se contenga, más probabilidad de que el atacante llegue a otros sistemas. La plataforma permite aislar de la red el equipo afectado sin perder la capacidad de gestionarlo desde la consola, lo que limita la propagación mientras se investiga.
Visibilidad para investigar.
Detectar no basta. Necesitamos saber cómo empezó, qué se ejecutó y qué activos han podido verse afectados. SentinelOne aporta el contexto de procesos, archivos, usuarios y conexiones asociados a una detección, y eso permite reconstruir la cadena del ataque y decidir la respuesta con precisión.
Cobertura de entornos distribuidos.
Los dispositivos corporativos ya no viven detrás del firewall de la oficina. La gente trabaja desde casa, viaja, usa redes ajenas y accede directamente a aplicaciones cloud; los servidores están repartidos entre centros de datos, sedes y proveedores de nube. El agente protege el dispositivo con independencia de dónde esté y de su conectividad, lo que permite mantener una política homogénea.
Integración con nuestro ecosistema.
Una alerta de endpoint no se analiza aislada: puede estar relacionada con un correo de phishing, una identidad comprometida, una conexión de red o una vulnerabilidad explotada. Buscamos siempre la causa raíz, y para eso necesitamos que la plataforma se integre con nuestros sistemas de monitorización, inteligencia y respuesta.
¿Qué no resuelve un EDR y cuándo no es la pieza adecuada?
Un EDR protege lo que puede llevar agente. No cubre lo que no lo admite: dispositivos IoT, equipamiento industrial, impresoras de red, electrónica de red o sistemas antiguos sin soporte. Si el riesgo principal de una organización está ahí, la conversación no empieza por el endpoint.
Tampoco sustituye a otras capas. No es una copia de seguridad, no protege el correo electrónico ni la identidad por sí solo, y no gestiona vulnerabilidades. Y, sobre todo, no decide por nadie: una plataforma EDR genera alertas que requieren criterio para interpretarse. Sin alguien que las revise y actúe, el resultado habitual es una consola llena de detecciones que nadie mira y configuraciones que nadie revisa.
Hay además un caso de encaje puramente económico. Una organización que ya paga licencias Microsoft 365 con Defender para Endpoint incluido tiene que justificar el coste marginal de un tercer fabricante, y esa justificación no siempre existe. No hay una respuesta universal: depende del stack, del licenciamiento y de quién vaya a operar la herramienta.
Reglas de detección propias.
Mantenemos reglas desarrolladas por nuestro equipo y adaptadas al contexto de cada cliente: su sector, sus aplicaciones, los perfiles de sus usuarios, sus sistemas críticos, las herramientas administrativas autorizadas y los TTP que vemos en campañas activas. Una actividad puede ser perfectamente normal en el equipo de un administrador de sistemas y muy sospechosa en el de un usuario del departamento administrativo. Ajustar las detecciones al contexto mejora la precisión y reduce el ruido.
Playbooks de respuesta.
Una alerta tiene que desembocar en un procedimiento claro: cómo se valida, cómo se investiga, cuándo se contiene y cómo se escala. Y no se aplican igual en todas partes. Aislar automáticamente el portátil de un usuario es una medida asumible; hacer lo mismo con un servidor de producción puede requerir validación previa por su impacto en el negocio. Esos niveles de autorización se acuerdan con cada cliente antes, no durante el incidente.
Inteligencia de amenazas centrada en España.
Integramos de forma automatizada nuestro motor GrayHats Threat Intelligence Fabric, con atención específica a campañas e infraestructuras que afectan a organizaciones españolas: dominios e IP usadas en campañas locales, infraestructura de mando y control, distribución de malware, actividad de grupos de ransomware y credenciales expuestas. Una conexión a una IP determinada puede no significar nada por sí sola. Saber que esa misma infraestructura ha participado esta semana en una campaña contra empresas españolas cambia por completo la prioridad de la alerta.
¿Para qué organizaciones lo recomendamos?
SentinelOne encaja especialmente bien en empresas que quieren sustituir un antivirus tradicional, necesitan proteger equipos y servidores desde una plataforma común, tienen plantilla distribuida o en teletrabajo, manejan información sensible, no cuentan con un SOC interno o están sujetas a marcos como ENS, NIS2, DORA o ISO 27001.
Dicho eso, no recomendamos herramientas de forma automática. Primero analizamos el entorno, los riesgos, los sistemas operativos, las aplicaciones y las necesidades de integración; después elegimos.
En GrayHats la tecnología se integra dentro de GH Ciberprotección o GH Ciberseguridad según el tamaño, la complejidad y los riesgos de la organización, porque una licencia sin modelo operativo detrás no protege a nadie.
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog
¿Quieres mejorar la protección de tus equipos y servidores?
Analizamos tu inventario real de equipos y servidores y te decimos si SentinelOne encaja en tu caso, con qué políticas y qué queda fuera de su alcance.
Preguntas Frecuentes
La decisión depende de tres cosas: el licenciamiento que ya tiene la empresa —Defender para Endpoint Plan 2 viene incluido en Microsoft 365 E5, lo que cambia la ecuación de coste—, la cobertura del stack real (sistemas operativos, servidores, cloud) y quién va a operar la plataforma y con qué tiempos de respuesta.
Ese tercer punto es el que más se pasa por alto y el que más determina el resultado.
La tecnología, tal y como lo planteamos en GrayHats, va integrada en GH Ciberprotección o GH Ciberseguridad, porque la eficacia depende de cómo se configure, de quién revise las alertas y de qué ocurra cuando salta una detección.
Aun así, si quieres hacer la contratación de la herramienta y gestionarla con tu equipo interno, contacta con nosotros.