Página de entidad de dispositivo en Microsoft Defender
La página de entidad de dispositivo del portal de Microsoft Defender le ayuda a investigar las entidades de dispositivo. La página contiene toda la información importante sobre una entidad de dispositivo determinada. Si una alerta o incidente indica que un dispositivo se comporta de forma sospechosa o podría estar en peligro, investigue los detalles del dispositivo para identificar otros comportamientos o eventos que puedan estar relacionados con la alerta o el incidente y descubra el posible ámbito de la infracción. También puede usar la página de entidades de dispositivo para realizar algunas tareas de seguridad comunes, así como algunas acciones de respuesta para mitigar o corregir amenazas de seguridad.
Importante
El conjunto de contenido que se muestra en la página de entidades del dispositivo puede diferir ligeramente, en función de la inscripción del dispositivo en Microsoft Defender para punto de conexión y Microsoft Defender for Identity.
Si su organización incorporó Microsoft Sentinel al portal de Defender, aparecerá información adicional.
En Microsoft Sentinel, las entidades de dispositivo también se conocen como entidades host . Más información.
Microsoft Sentinel ya está disponible con carácter general en la plataforma de operaciones de seguridad unificadas de Microsoft en el portal de Microsoft Defender. Para obtener más información, consulte Microsoft Sentinel en el portal de Microsoft Defender.
Las entidades de dispositivo se pueden encontrar en las siguientes áreas:
- Lista de dispositivos, en Activos
- Cola de alertas
- Cualquier alerta o incidente individual
- Cualquier página de entidad de usuario individual
- Cualquier vista de detalles de archivo individual
- Cualquier dirección IP o vista de detalles de dominio
- Registro de actividad
- Consultas de búsqueda avanzadas
- Centro de actividades
Puede seleccionar dispositivos cada vez que los vea en el portal para abrir la página de entidades del dispositivo, que muestra más detalles sobre el dispositivo. Por ejemplo, puede ver los detalles de los dispositivos enumerados en las alertas de un incidente en el portal de Microsoft Defender en Incidentes & alertas >> Incidentes incidentes> Activos > Dispositivos.
La página de entidades de dispositivo presenta su información en formato con pestañas. En este artículo se establecen los tipos de información disponibles en cada pestaña y también las acciones que puede realizar en un dispositivo determinado.
Las pestañas siguientes se muestran en la página de entidad de dispositivo:
- Información general
- Incidentes y alertas
- Timeline
- Recomendaciones de seguridad
- Inventarios
- Vulnerabilidades detectadas
- KB que faltan
- Líneas base de seguridad
- Directivas de seguridad
- Eventos de Sentinel
Encabezado de página de entidad
La sección superior de la página de entidad incluye los detalles siguientes:
- Nombre de entidad
- Indicadores de gravedad de riesgo, importancia crítica e valor del dispositivo
- Etiquetas por las que se puede clasificar el dispositivo. Defender para punto de conexión, Defender for Identity o los usuarios pueden agregarlo. Las etiquetas de Microsoft Defender for Identity no se pueden editar.
- Las acciones de respuesta también se encuentran aquí. Obtenga más información sobre ellos a continuación.
Pestaña Información general
La pestaña predeterminada es Información general. Proporciona un vistazo rápido a los hechos de seguridad más importantes sobre el dispositivo. La pestaña Información general contiene la barra lateral de detalles del dispositivo y un panel con algunas tarjetas que muestran información de alto nivel.
Detalles del dispositivo
La barra lateral muestra el nombre completo del dispositivo y el nivel de exposición. También proporciona información básica importante en subsecciones pequeñas, que se pueden expandir o contraer, como:
| Sección | Información incluida |
|---|---|
| Detalles de la máquina virtual | Nombres de máquina y dominio e identificadores, estado de mantenimiento e incorporación, marcas de tiempo para la primera y última vista, direcciones IP, etc. |
| Detalles de sincronización de directivas DLP | Si procede |
| Estado de configuración | Detalles sobre la configuración de Microsoft Defender para punto de conexión |
| Detalles de recursos en la nube | Plataforma en la nube, identificador de recurso, información de suscripción, etc. |
| Hardware y firmware | Información sobre máquinas virtuales, procesadores y BIOS, etc. |
| Administración de dispositivos | Información de administración y estado de inscripción de Microsoft Defender para punto de conexión |
| Datos del directorio | Marcas de UAC , SPN y pertenencias a grupos. |
Panel
La parte principal de la pestaña Información general muestra varias tarjetas de presentación de tipo panel:
- Alertas activas y nivel de riesgo que implican al dispositivo en los últimos seis meses, agrupados por gravedad
- Evaluaciones de seguridad y nivel de exposición del dispositivo
- Usuarios que han iniciado sesión en el dispositivo en los últimos 30 días
- Estado de mantenimiento del dispositivo y otra información sobre los exámenes más recientes del dispositivo.
Sugerencia
El nivel de exposición está relacionado con cuánto el dispositivo cumple con las recomendaciones de seguridad, mientras que el nivel de riesgo se calcula en función de una serie de factores, incluidos los tipos y la gravedad de las alertas activas.
Pestaña Incidentes y alertas
La pestaña Incidentes y alertas contiene una lista de incidentes que contienen alertas que se han generado en el dispositivo, desde cualquiera de varios orígenes de detección de Microsoft Defender, incluido, si se incorpora, Microsoft Sentinel. Esta lista es una versión filtrada de la cola de incidentes y muestra una breve descripción del incidente o alerta, su gravedad (alta, media, baja, informativa), su estado en la cola (nuevo, en curso, resuelto), su clasificación (no establecida, alerta falsa, alerta verdadera), estado de investigación, categoría, quién está asignado para abordarlo y última actividad observada.
Puede personalizar qué columnas se muestran para cada elemento. También puede filtrar las alertas por gravedad, estado o cualquier otra columna de la pantalla.
La columna de entidades afectadas hace referencia a todas las entidades de dispositivo y usuario a las que se hace referencia en el incidente o la alerta.
Cuando se selecciona un incidente o una alerta, aparece un control flotante. En este panel puede administrar el incidente o la alerta y ver más detalles, como el número de incidente o alerta y los dispositivos relacionados. Se pueden seleccionar varias alertas a la vez.
Para ver una vista de página completa de un incidente o alerta, seleccione su título.
Pestaña Escala de tiempo
La pestaña Escala de tiempo muestra una vista cronológica de todos los eventos que se han observado en el dispositivo. Esto puede ayudarle a correlacionar eventos, archivos y direcciones IP en relación con el dispositivo.
La elección de las columnas que se muestran en la lista se puede personalizar. Las columnas predeterminadas muestran la hora del evento, el usuario activo, el tipo de acción, las entidades asociadas (procesos, archivos, direcciones IP) e información adicional sobre el evento.
Puede controlar el período de tiempo para el que se muestran los eventos deslizando los bordes del período de tiempo a lo largo del gráfico de escala de tiempo general en la parte superior de la página. También puede seleccionar un período de tiempo en la lista desplegable de la parte superior de la lista (el valor predeterminado es 30 días). Para controlar aún más la vista, puede filtrar por grupos de eventos o personalizar las columnas.
Puede exportar hasta siete días de eventos a un archivo CSV para su descarga.
Explore en profundidad los detalles de eventos individuales seleccionando y viendo sus detalles en el panel flotante resultante. Consulte Detalles del evento a continuación.
Nota:
Para que se muestren los eventos de firewall, deberá habilitar la directiva de auditoría; consulte Conexión de la plataforma de filtrado de auditoría.
El firewall cubre los siguientes eventos:
Detalles del evento
Seleccione un evento para ver los detalles pertinentes sobre ese evento. Se muestra un panel flotante para mostrar mucha más información sobre el evento. Los tipos de información que se muestran dependen del tipo de evento. Cuando sea aplicable y los datos estén disponibles, es posible que vea un gráfico que muestra las entidades relacionadas y sus relaciones, como una cadena de archivos o procesos. También puede ver una descripción resumida de las tácticas y técnicas de MITRE ATT&CK aplicables al evento.
Para inspeccionar aún más el evento y los eventos relacionados, puede ejecutar rápidamente una consulta de búsqueda avanzada seleccionando Buscar eventos relacionados. La consulta devuelve el evento seleccionado y la lista de otros eventos que se produjeron aproximadamente al mismo tiempo en el mismo punto de conexión.
Pestaña Recomendaciones de seguridad
En la pestaña Recomendaciones de seguridad se enumeran las acciones que puede realizar para proteger el dispositivo. Al seleccionar un elemento de esta lista, se abre un control flotante en el que puede obtener instrucciones sobre cómo aplicar la recomendación.
Al igual que con las pestañas anteriores, se puede personalizar la elección de las columnas mostradas.
La vista predeterminada incluye columnas que detallan los puntos débiles de seguridad abordados, la amenaza asociada, el componente o el software relacionados afectados por la amenaza, etc. Los elementos se pueden filtrar por el estado de la recomendación.
Obtenga más información sobre las recomendaciones de seguridad.
Pestaña Inventarios
En esta pestaña se muestran inventarios de cuatro tipos de componentes: software, componentes vulnerables, extensiones de explorador y certificados.
Inventario de software
Esta tarjeta muestra el software instalado en el dispositivo.
La vista predeterminada muestra el proveedor de software, el número de versión instalado, el número de puntos débiles de software conocidos, la información sobre amenazas, el código de producto y las etiquetas. El número de elementos mostrados y las columnas que se muestran se pueden personalizar.
Al seleccionar un elemento de esta lista, se abre un control flotante que contiene más detalles sobre el software seleccionado y la ruta de acceso y la marca de tiempo de la última vez que se encontró el software.
Esta lista se puede filtrar por código de producto, puntos débiles y la presencia de amenazas.
Componentes vulnerables
En esta tarjeta se enumeran los componentes de software que contienen vulnerabilidades.
Las opciones predeterminadas de visualización y filtrado son las mismas que para el software.
Seleccione un elemento para mostrar más información en un control flotante.
Extensiones del explorador
Esta tarjeta muestra las extensiones del explorador instaladas en el dispositivo. Los campos predeterminados que se muestran son el nombre de la extensión, el explorador para el que está instalado, la versión, el riesgo de permiso (en función del tipo de acceso a dispositivos o sitios solicitados por la extensión) y el estado. Opcionalmente, también se puede mostrar el proveedor.
Seleccione un elemento para mostrar más información en un control flotante.
Certificados
Esta tarjeta muestra todos los certificados instalados en el dispositivo.
Los campos que se muestran de forma predeterminada son el nombre del certificado, la fecha de emisión, la fecha de expiración, el tamaño de la clave, el emisor, el algoritmo de firma, el uso de claves y el número de instancias.
La lista se puede filtrar por estado, autofirmado o no, tamaño de clave, hash de firma y uso de clave.
Seleccione un certificado para mostrar más información en un control flotante.
Pestaña Vulnerabilidades detectadas
En esta pestaña se enumeran las vulnerabilidades comunes y vulnerabilidades de seguridad (CVE) que pueden afectar al dispositivo.
La vista predeterminada enumera la gravedad del CVE, la puntuación de vulnerabilidad común (CVSS), el software relacionado con el CVE, cuando se publicó el CVE, la primera vez que se detectó y actualizó por última vez el CVE, y las amenazas asociadas al CVE.
Al igual que con las pestañas anteriores, se puede personalizar la elección de las columnas que se van a mostrar. La lista se puede filtrar por gravedad, estado de amenaza, exposición del dispositivo y etiquetas.
Al seleccionar un elemento de esta lista, se abre un control flotante que describe el CVE.
Pestaña KBs que faltan
En la pestaña Missing KBs (Faltan KBs ) se enumeran las actualizaciones de Microsoft que aún no se han aplicado al dispositivo. Los "KB" en cuestión son artículos de Knowledge Base, que describen estas actualizaciones; por ejemplo, KB4551762.
En la vista predeterminada se muestra el boletín que contiene las actualizaciones, la versión del sistema operativo, el número de identificador de KB, los productos afectados, los CVE direccionados y las etiquetas.
Se puede personalizar la elección de las columnas que se van a mostrar.
Al seleccionar un elemento, se abre un control flotante que vincula a la actualización.
Pestaña Eventos de Sentinel
Si su organización incorporó Microsoft Sentinel al portal de Defender, esta pestaña adicional se encuentra en la página de entidad del dispositivo. Esta pestaña importa la página De entidad host de Microsoft Sentinel.
Escala de tiempo de Sentinel
Esta escala de tiempo muestra las alertas asociadas a la entidad de dispositivo, conocidas en Microsoft Sentinel como entidad host . Estas alertas incluyen las que se ven en la pestaña Incidentes y alertas y las creadas por Microsoft Sentinel desde orígenes de datos de terceros que no son de Microsoft.
Esta escala de tiempo también muestra búsquedas marcadas de otras investigaciones que hacen referencia a esta entidad de usuario, eventos de actividad de usuario de orígenes de datos externos y comportamientos inusuales detectados por las reglas de anomalías de Microsoft Sentinel.
Insights
Entity Insights son consultas definidas por investigadores de seguridad de Microsoft para ayudarle a investigar de forma más eficaz y eficaz. Estas conclusiones formulan automáticamente las grandes preguntas sobre la entidad del dispositivo, lo que proporciona información de seguridad valiosa en forma de gráficos y datos tabulares. La información incluye datos sobre inicios de sesión, adiciones de grupos, ejecuciones de procesos, eventos anómalos, etc., e incluyen algoritmos avanzados de aprendizaje automático para detectar comportamientos anómalos.
A continuación se muestran algunas de las conclusiones:
- Captura de pantalla realizada en el host.
- Procesos no firmados por Microsoft detectados.
- Información de ejecución de procesos de Windows.
- Actividad de inicio de sesión de Windows.
- Acciones en cuentas.
- Registros de eventos borrados en el host.
- Adiciones de grupo.
- Enumeración de hosts, usuarios y grupos en el host.
- Control de aplicaciones de Microsoft Defender.
- Procesar la rareza mediante el cálculo de la entropía.
- Número anómalomente alto de un evento de seguridad.
- Información de la lista de reproducción (versión preliminar).
- Eventos del Antivirus de Windows Defender.
La información se basa en los siguientes orígenes de datos:
- Syslog (Linux)
- SecurityEvent (Windows)
- AuditLogs (Id. de Microsoft Entra)
- SigninLogs (Id. de Microsoft Entra)
- OfficeActivity (Office 365)
- BehaviorAnalytics (UEBA de Microsoft Sentinel)
- Latido (agente de Azure Monitor)
- CommonSecurityLog (Microsoft Sentinel)
Si desea explorar aún más cualquiera de las conclusiones de este panel, seleccione el vínculo que acompaña a la información. El vínculo le lleva a la página Búsqueda avanzada , donde muestra la consulta subyacente a la información, junto con sus resultados sin procesar. Puede modificar la consulta o explorar en profundidad los resultados para expandir la investigación o simplemente satisfacer su curiosidad.
Acciones de respuesta
Las acciones de respuesta ofrecen accesos directos para analizar, investigar y defenderse contra amenazas.
Importante
- Las acciones de respuesta solo están disponibles si el dispositivo está inscrito en Microsoft Defender para punto de conexión.
- Los dispositivos inscritos en Microsoft Defender para punto de conexión pueden mostrar diferentes números de acciones de respuesta, en función del sistema operativo y el número de versión del dispositivo.
Las acciones de respuesta se ejecutan en la parte superior de una página de dispositivo específica e incluyen:
| Acción | Descripción |
|---|---|
| Valor del dispositivo | |
| Establecimiento de la importancia crítica | |
| Administrar etiquetas | Actualiza las etiquetas personalizadas que ha aplicado a este dispositivo. |
| Notificar imprecisión del dispositivo | |
| Ejecución del examen antivirus | Actualiza las definiciones del Antivirus de Microsoft Defender y ejecuta inmediatamente un examen antivirus. Elija entre Examen rápido o Examen completo. |
| Recopilar paquete de investigación | Recopila información sobre el dispositivo. Una vez completada la investigación, puede descargarla. |
| Restringir ejecución de aplicación | Impide que se ejecuten aplicaciones que no están firmadas por Microsoft. |
| Inicio de una investigación automatizada | Investiga y corrige automáticamente las amenazas. Aunque puede desencadenar manualmente investigaciones automatizadas para que se ejecuten desde esta página, ciertas directivas de alerta desencadenan investigaciones automáticas por sí solas. |
| Iniciar sesión de respuesta dinámica | Carga un shell remoto en el dispositivo para realizar investigaciones de seguridad detalladas. |
| Aislar el dispositivo | Aísla el dispositivo de la red de la organización mientras lo mantiene conectado a Microsoft Defender. Puede optar por permitir que Outlook, Teams y Skype para empresas se ejecuten mientras el dispositivo está aislado, con fines de comunicación. |
| Preguntar a Expertos de Defender | |
| Centro de actividades | Muestra información sobre las acciones de respuesta que se están ejecutando actualmente. Solo está disponible si ya se ha seleccionado otra acción. |
| Descarga de la versión de fuerza desde el script de aislamiento | |
| Exclude | |
| Ir a la caza | |
| Activar el modo de solución de problemas | |
| Sincronización de directivas |
Temas relacionados
- Introducción a XDR de Microsoft Defender
- Activar XDR de Microsoft Defender
- Página de entidad de usuario en Microsoft Defender
- Página de entidad de dirección IP en Microsoft Defender
- Integración de XDR de Microsoft Defender con Microsoft Sentinel
- Conectar Microsoft Sentinel a Microsoft Defender XDR
Sugerencia
¿Desea obtener más información? Participe con la comunidad de Seguridad de Microsoft en nuestra Tech Community: Tech Community de Microsoft Defender XDR.