Soluciones · Network Detection and Response
Gatewatcher NDR Platform
Plataforma NDR que analiza de forma pasiva el tráfico de tu red, en entornos IT, OT y nube, para detectar ataques desde sus primeras señales y convertir las alertas en decisiones priorizadas y trazables.
- Gartner Magic Quadrant para NDR 2026 Incluido en la edición de mayo de 2026; en la de 2025 fue el único fabricante reconocido como Visionary y el único totalmente europeo.
- teiss Awards 2025 Ganador en dos categorías: mejor solución de seguridad de red y mejor solución de seguridad con IA/ML.
- Calificación ANSSI Solución endurecida, calificada por la agencia nacional de ciberseguridad de Francia; certificación reconocida desde 2017.
- Entornos
- IT, OT, IoT y nube
- Despliegue
- On-premise, SaaS o híbrido, sin agentes
- Fabricante
- Europeo (Francia), desde 2015
La solución
¿Qué es Gatewatcher?
Cuando un atacante logra entrar, no se queda quieto: explora la red, se mueve lateralmente hacia otros sistemas e intenta sacar datos. El EDR protege los servidores y estaciones donde se puede instalar un agente, pero muchos activos no lo admiten, como controladores industriales, equipos IoT o sistemas heredados, y ahí el tráfico de red suele ser la única evidencia disponible.
Gatewatcher NDR Platform observa ese tráfico de forma pasiva y sin agentes. Sus sondas capturan las comunicaciones de tus entornos IT, OT y nube, y varios motores de detección complementarios (firmas, análisis de comportamiento, análisis de contenido e inteligencia de amenazas) las examinan a lo largo de toda la cadena de ataque. Así detecta amenazas conocidas y desconocidas, incluso en tráfico cifrado, y mantiene un inventario vivo de activos, usuarios y aplicaciones.
Sobre esa base, el Decision Center reúne las señales de la red y de tus otras herramientas (EDR, SIEM, identidad y nube), descarta duplicados y falsos positivos y entrega, por cada activo, un veredicto explicable con un plan de acción priorizado. Tu equipo decide con evidencia y puede automatizar la respuesta de forma gradual, sin perder el control ni la trazabilidad de cada acción.
Capacidades
Cinco capacidades en una sola plataforma
De la captura del tráfico a la respuesta: cada capacidad cubre una etapa de la defensa de tu red.
-
Visibilidad completa de la red
Las sondas capturan el tráfico de forma pasiva, sin agentes y sin impacto en la operación, y mantienen un inventario dinámico de activos (IP, MAC, nombre de equipo y sistema operativo), usuarios y aplicaciones. Ves quién se comunica con quién, también en segmentos OT y nube donde no es posible instalar un agente.
-
Detección multimotor
Combina motores complementarios (firmas, comportamiento, contenido e inteligencia de amenazas) con machine learning para detectar amenazas conocidas, desconocidas (zero-day) y ocultas en tráfico cifrado. Detecta desde que se conecta, sin un periodo de aprendizaje previo, y permite buscar hacia atrás amenazas que ya pasaron por la red (retro-hunt).
-
Del ruido a la decisión
El Decision Center reúne las alertas de la red y de tus otras herramientas (EDR, SIEM, identidad y nube), elimina duplicados y falsos positivos y abre un solo caso por activo. Cada caso trae un veredicto explicable, un puntaje de confianza y un plan de acción priorizado según el impacto en tu negocio.
-
Respuesta orquestada bajo tu control
Con REFLEX, la plataforma ejecuta playbooks predefinidos o personalizados sobre tus herramientas existentes. Avanzas por etapas: solo detección, decisiones guiadas que valida un analista o remediación automática en entornos maduros, y cada acción queda registrada. Entre las acciones disponibles:
- Aislar un equipo o cortar sus sesiones de comunicación.
- Bloquear direcciones IP, puertos y flujos maliciosos en el firewall.
- Desactivar cuentas de usuario comprometidas.
-
Investigación con toda la evidencia
La consola COCKPIT consolida las alertas en incidentes con un puntaje de riesgo y vistas adaptadas a cada equipo, por ejemplo IT y OT por separado. Tus analistas acceden a todos los metadatos de las comunicaciones para reconstruir el ataque, identificar el paciente cero y buscar intrusiones de forma proactiva, con referencia a MITRE ATT&CK.
Cómo funciona
Plataforma y productos complementarios
Tres capas forman la plataforma NDR (captura, detección y decisión); los TAP, Deep Visibility y el sistema calificado la completan para redes exigentes.
Sensor
La capa de captura: sondas físicas o virtuales que recogen el tráfico de forma pasiva, lo inspeccionan en profundidad (DPI) y normalizan los flujos para que cada detección parta de datos confiables.
Detection Center
El núcleo de detección: analiza la actividad con varios motores a lo largo de la cadena de ataque, mantiene el inventario de activos y califica cada amenaza según su riesgo y la criticidad del activo.
Decision Center
La capa de decisión: consolida y enriquece con IA agéntica las señales de la red y de otras fuentes, y entrega veredictos explicables y planes de acción priorizados que validan tus analistas.
TAP
TAP ópticos y de cobre que duplican el tráfico sin pérdida de paquetes ni cortes del enlace, con función diodo que aísla la sonda. Los ópticos son pasivos y no requieren energía.
Deep Visibility
Monitoreo detallado del tráfico en tiempo real e histórico: reconoce más de 3.000 aplicaciones y protocolos, mide la latencia entre puntos de captura y almacena hasta 16 TB.
Sistema de detección calificado
Trackwatch®, la versión endurecida y calificada por la ANSSI para redes restringidas: opera conectada o totalmente aislada (air-gap) y analiza archivos con varios motores antivirus.
Despliegue e integraciones:
En la práctica
De la señal a la decisión
Un recorrido típico, desde el tráfico capturado hasta la respuesta.
-
Captura del tráfico
Un TAP o una sonda virtual entrega a Gatewatcher una copia del tráfico de cada segmento, sin intervenir en la red ni instalar agentes en los equipos.
-
Detección con evidencia
Los motores analizan flujos y archivos en tránsito y generan alertas con contexto: el activo involucrado, la técnica de MITRE ATT&CK y la etapa del ataque.
-
Consolidación
El Decision Center suma las alertas de tu EDR, SIEM o nube, elimina duplicados y reúne todo en un solo caso por activo.
-
Veredicto
Cada caso recibe un veredicto explicable, un puntaje de confianza y un plan de acción priorizado según la criticidad del activo y la inteligencia de amenazas.
-
Respuesta
Tu analista valida la acción o un playbook la ejecuta: aislar el equipo, bloquear la IP en el firewall o desactivar la cuenta, con registro de cada paso.
Casos de uso
Para quién es
Sus casos de estudio publicados abarcan salud, gobierno local, banca, energía, retail e industria de defensa.
Industria y OT
Visibilidad sobre sistemas industriales donde no se puede instalar un agente.
- Protocolos industriales como Modbus, DNP3 y OPC UA
- Movimientos laterales entre IT y OT
- Inventario de activos OT en tiempo real
- Captura pasiva con TAP, sin detener la producción
SOC y MSSP
Menos ruido y más contexto para equipos con alto volumen de alertas.
- Alertas consolidadas en un caso por activo
- Vistas y permisos por equipo o cliente
- Playbooks de respuesta automatizada
- Integración con SIEM, EDR y firewalls
Sectores regulados y críticos
Control total de tus datos en banca, salud, energía, defensa y sector público.
- Despliegue on-premise o en redes aisladas
- Solución calificada por la ANSSI
- Apoyo al cumplimiento de NIS2 y DORA
- Evidencia trazable para auditorías
Resultados
Lo que han logrado sus clientes
De la instalación a la visibilidad
Una vez definidas ubicaciones e interconexiones, Lynred (tecnología infrarroja para defensa y espacio) tuvo sus sondas instaladas y los flujos visibles en menos de dos días, con detecciones relevantes desde la primera semana.
Para contener un ataque
Lynred identificó un ataque, bloqueó sus fuentes e inició las actualizaciones necesarias en tres horas, con el apoyo de su SOC gestionado.
Menos tiempo calificando incidentes
Una institución de educación superior estima ese ahorro de tiempo en la calificación de incidentes, porque sus analistas acceden de inmediato a la información clave.
Menos falsos positivos
Un operador de energía estima una reducción de más de 30 % de los falsos positivos en algunas categorías, gracias a la priorización inteligente de alertas.
Fuente: casos de estudio publicados por Gatewatcher.
Implementación con SCU
Cómo lo implementamos
Un proceso en cuatro fases para que Gatewatcher rinda desde el primer día.
-
Levantamiento
Entendemos tu red y qué flujos necesitas observar.
- Segmentos, sitios y flujos norte-sur y este-oeste
- Activos críticos, entornos OT y nube
- Herramientas de seguridad con que integrar
-
Diseño de la captura
Definimos dónde y cómo observar el tráfico.
- Ubicación de sondas físicas y virtuales
- TAP adecuados a cada tipo de enlace
- Modelo on-premise, SaaS o híbrido
-
Despliegue e integración
Instalamos la plataforma y la conectamos a tu operación.
- Sondas, consola y gestión centralizada
- Integración con tu SIEM, EDR y firewalls
- Playbooks de respuesta acordados con tu equipo
-
Afinamiento y operación
Ajustamos la detección a tu realidad y la mantenemos vigente.
- Reglas y umbrales para reducir falsos positivos
- Automatización gradual de la respuesta
- Soporte en español con SLA definidos en conjunto
Preguntas frecuentes
Resolvemos tus dudas
Un NDR (Network Detection and Response) detecta amenazas analizando el tráfico de la red, mientras que un EDR lo hace con agentes instalados en cada equipo. Son complementarios: el NDR cubre lo que el EDR no alcanza, como equipos OT, IoT o sin agente, y detecta movimientos laterales y extracción de datos entre sistemas. Gatewatcher se integra con EDR como SentinelOne, CrowdStrike o HarfangLab.
Sí. Cuando el contenido no es visible, la plataforma se apoya en los metadatos de cada flujo (marcas de tiempo, origen y destino, protocolo, SNI y huellas como JA3) y en modelos de machine learning para detectar comportamientos anómalos, también en comunicaciones cifradas.
No. La captura es pasiva, a partir de una copia del tráfico que entregan TAP o sondas virtuales, y no requiere agentes en los equipos. Los TAP de Gatewatcher mantienen el enlace aunque pierdan energía, y su función diodo impide que se inyecte señal en la red desde los puertos de monitoreo.
On-premise, en modo SaaS o de forma híbrida, con sondas físicas o virtuales. Puede monitorear cargas en nubes públicas como Azure, AWS y GCP, y también operar en redes totalmente aisladas (air-gap). Cubre entornos IT, OT e IoT.
Sí. Es una plataforma abierta, con API y conectores para SIEM, EDR, XDR, SOAR y firewalls de nueva generación. Entre sus alianzas tecnológicas publicadas están Splunk, IBM QRadar, Fortinet, Palo Alto Networks, SentinelOne y Sekoia. Además, el Decision Center puede consolidar las alertas de esas fuentes junto con las de la red.
Solo si tú lo decides. Puedes operar en modo solo detección, con decisiones guiadas que un analista valida antes de ejecutarlas o con remediación automática para escenarios definidos. Cada acción queda registrada y es auditable, y los playbooks pueden ser los predefinidos por Gatewatcher o los que configure tu equipo.
¿Tienes otra pregunta? Escríbenos y te respondemos.
Sigue explorando
Complementa Gatewatcher con nuestros servicios
Plataforma MDR con Underdefense
Un SOC humano 24/7 que detecta y responde a las amenazas sobre las herramientas de seguridad que ya tienes: detección y respuesta gestionada (MDR) en alianza con Underdefense.
Ver servicioInfraestructura y Seguridad de Redes
Reducimos lo que un atacante puede alcanzar si logra entrar a tu red: hardening de sistemas, segmentación por zonas y tiering de identidades en entornos on-premise o híbridos.
Ver servicioSeguridad OT/IoT
Identificamos los riesgos de tus sistemas industriales (ICS/SCADA) y dispositivos conectados sin poner en riesgo la continuidad de tu proceso productivo.
Ver servicio¿Te mostramos Gatewatcher en acción?
Agenda una demo de 30 minutos: te mostramos la plataforma funcionando y cómo se adaptaría a tu infraestructura.
Solicitar una demo