¿Qué es Cloud Security Posture Management (CSPM)

Cloud Security Posture Management (CSPM) es una característica principal de Microsoft Defender para la nube. CSPM ofrece visibilidad continua sobre el estado de seguridad de tus activos y cargas de trabajo en la nube, ofreciendo orientación práctica para mejorar tu postura de seguridad en Azure, AWS y GCP.

Defender for Cloud evalúa continuamente tu infraestructura cloud según los estándares de seguridad definidos para tus suscripciones de Azure, cuentas de Amazon Web Services (AWS) y proyectos de Google Cloud Platform (GCP). Defender for Cloud emite recomendaciones de seguridad para ayudarle a identificar y reducir errores de configuración y riesgos de seguridad en la nube.

Para Azure Database for PostgreSQL flexible server, Defender CSPM evalúa continuamente las configuraciones a nivel de servidor y base de datos según las mejores prácticas de seguridad de PostgreSQL. Las evaluaciones identifican problemas de seguridad de red, auditoría y resiliencia operativa. Si Defender CSPM ya está habilitado, las evaluaciones proporcionan recomendaciones priorizadas por riesgo sin requerir otra configuración.

Cuando Foundational CSPM está habilitado, el estándar Microsoft Cloud Security Benchmark (MCSB) ofrece recomendaciones para ayudar a proteger tu entorno multicloud. La puntuación segura basada en algunas de las recomendaciones de MCSB le ayuda a supervisar el cumplimiento de la nube. Una puntuación más alta indica un nivel de riesgo identificado menor.

Planes de CSPM

Defender for Cloud ofrece dos planes CSPM:

  • CSPM Fundamental (gratuito): Disponible sin coste adicional.
  • Defender CSPM (de pago): Ofrece capacidades adicionales más allá del plan Foundational CSPM, incluyendo herramientas avanzadas de CSPM para visibilidad en la nube y monitorización de cumplimiento. Este plan ofrece funciones avanzadas de postura de seguridad como la postura de seguridad de IA, análisis de rutas de ataque y priorización de riesgos.

Disponibilidad del plan

Defender CSPM soporta múltiples modelos de despliegue y entornos en la nube:

  • Nubes comerciales: Disponibles en todas las regiones comerciales de Azure.
  • Nubes gubernamentales: disponibles en Azure Government y Azure Government Secret.
  • Multi-nube: Soporte para entornos Azure, AWS y GCP.
  • Híbrido: Recursos locales conectados a través de Azure Arc.
  • DevOps: integración de GitHub, Azure DevOps y GitLab.
  • Registros externos: Los conectores Docker Hub y JFrog Artifactory soportan capacidades seleccionadas de Foundational CSPM y Defender CSPM. Defender for Containers también soporta capacidades seleccionadas de imágenes de contenedores. Para conocer la disponibilidad según el plan, consulte las funcionalidades de los registros externos y los patrones de acceso a las funcionalidades de Defender for Containers.

Para obtener información específica sobre la disponibilidad regional y la compatibilidad con la nube gubernamental, consulte la matriz de compatibilidad para entornos en la nube.

Precios del plan

La facturación de Defender CSPM se basa en recursos específicos habilitados en tus suscripciones o conectores.

  • Consulte Precios de Defender for Cloud y use la calculadora de costos para calcular los costos.
  • Las funciones avanzadas de la postura de seguridad de DevOps (anotaciones en solicitudes de incorporación de cambios, mapeo del código a la nube, análisis de rutas de ataque y explorador de seguridad) requieren el plan de pago Defender CSPM. El plan gratuito proporciona recomendaciones básicas de Azure DevOps. Para más detalles, véase Características de seguridad de DevOps.
  • Las tablas de recursos facturables de Azure y AWS de este artículo enumeran los tipos de recursos cubiertos, los requisitos de activación y las fechas de entrada en vigor de la facturación para la protección Serverless y los contenedores Serverless.

Administración de la postura de seguridad en la nube de Azure

Defender CSPM proporciona gestión de postura de seguridad en la nube para infraestructura, cómputo, datos y cargas de trabajo de aplicaciones de Azure. Aprende cómo habilitar Defender CSPM en tu suscripción a Azure.

Recursos facturables de Azure

Defender CSPM protege todas las cargas de trabajo de Azure, pero la facturación solo se aplica a recursos específicos listados en la siguiente tabla:

Servicio Tipos de recursos Exclusiones
Compute Máquinas virtuales, conjuntos de escalado de máquinas virtuales, máquinas virtuales clásicas Máquinas virtuales desasignadas, máquinas virtuales de Databricks
Storage cuentas de almacenamiento Cuentas sin contenedores de blobs o comparticiones de archivos
Databases servidores SQL, servidores flexibles de Azure Database for PostgreSQL, servidores flexibles de Azure Database for MySQL, áreas de trabajo de Synapse -
Protección sin servidor 1 Aplicaciones funcionales, Web Apps -
Contenedores sin servidor 2 Azure Container Apps (ACA), Azure Container Instances (ACI) -

1 Para proteger las Aplicaciones Funcionales y Web Apps y comenzar la facturación de esta capacidad, activar la protección sin servidor en Defender CSPM. La facturación entró en vigor el 1 de abril de 2026.

2 Para proteger Azure Container Apps y Azure Container Instances y comenzar a facturar esta capacidad, active el componente Serverless Containers en Defender CSPM. Habilitar el acceso al Registro para cubrir completamente los Contenedores Serverless. La facturación entró en vigor el 1 de julio de 2026.

Características y capacidades de Azure

La siguiente tabla resume las características de Azure disponibles en Foundational CSPM y Defender CSPM:

Feature CSPM básica CSPM de Defender
Inventario de recursos
Exportación de datos
Visualización de datos e informes con Libros de Azure
Microsoft Cloud Security Benchmark
Puntuación de seguridad
Recomendaciones de seguridad
Herramientas para corrección
Automatización de flujos de trabajo
Evaluación de vulnerabilidades de contenedores de código a nube sin agente -
Detección sin agente para Kubernetes -
Análisis de secretos de máquina virtual sin agente -
Examen de vulnerabilidades de máquina virtual sin agente -
Administración de la posición de seguridad de IA -
Administración de la posición de seguridad de API -
Análisis de ruta de ataque -
Panel de seguridad de Azure Kubernetes Service (versión preliminar) -
Protección de recursos críticos -
Recomendaciones personalizadas -
Administración de la posición de seguridad de datos (DSPM), examen de datos confidenciales -
Descubrimiento y estado de seguridad para cargas de trabajo de contenedores sin servidor -
Gobernanza para impulsar la corrección a escala -
Análisis de exposición a Internet -
Administración de la superficie expuesta a ataques externos -
Evaluación del cumplimiento normativo -
Búsqueda de riesgos con el explorador de seguridad -
Priorización de riesgos -
Protección sin servidor -

Gestión de la Postura de Seguridad en la Nube de AWS

Defender CSPM se conecta a cuentas de Amazon Web Services (AWS) para proporcionar gestión de postura de seguridad en la nube, evaluaciones de seguridad, análisis de vulnerabilidades y contexto de riesgos para recursos de AWS. Aprende cómo conectar tus cuentas AWS a Defender for Cloud y revisa los requisitos previos de AWS.

Recursos facturables de AWS

La siguiente tabla enumera los recursos facturables y las exclusiones cuando activas Defender CSPM en los conectores AWS:

Servicio Tipos de recursos Exclusiones
Compute Instancias de EC2 Máquinas virtuales desasignadas
Storage Cubos de S3 –
Databases Instancias de RDS –
Protección sin servidor 3 Funciones de AWS Lambda –
Contenedores sin servidor 4 Amazon ECS en AWS Fargate –

3 Para proteger las funciones AWS Lambda y comenzar a facturar esta capacidad, activar la protección Serverless en Defender CSPM. La facturación entró en vigor el 1 de abril de 2026. Un recurso facturable representa ocho funciones AWS Lambda.

4 Para proteger las cargas de trabajo de Amazon ECS en AWS Fargate y empezar a facturar esta funcionalidad, habilite el componente Contenedores sin servidor en Defender CSPM. Habilitar el acceso al Registro para cubrir completamente los Contenedores Serverless. La facturación entró en vigor el 1 de julio de 2026. Un recurso facturable representa dos cargas de trabajo de Amazon ECS que se ejecutan en AWS Fargate.

Características y capacidades de AWS

La siguiente tabla resume las capacidades de AWS disponibles en Foundational CSPM y Defender CSPM:

Feature CSPM básica CSPM de Defender
Inventario de recursos
Exportación de datos
Visualización de datos e informes con Libros de Azure
Microsoft Cloud Security Benchmark
Puntuación de seguridad
Recomendaciones de seguridad
Herramientas para corrección
Automatización de flujos de trabajo
Evaluación de vulnerabilidades de contenedores de código a nube sin agente -
Detección sin agente para Kubernetes -
Análisis de secretos de máquina virtual sin agente -
Examen de vulnerabilidades de máquina virtual sin agente -
Administración de la posición de seguridad de IA -
Análisis de ruta de ataque -
Ingesta de AWS CloudTrail (versión preliminar) -
Protección de recursos críticos -
Recomendaciones personalizadas -
Administración de la posición de seguridad de datos (DSPM), examen de datos confidenciales -
Descubrimiento y estado de seguridad para cargas de trabajo de contenedores sin servidor -
Gobernanza para impulsar la corrección a escala -
Análisis de exposición a Internet -
Administración de la superficie expuesta a ataques externos -
Evaluación del cumplimiento normativo -
Búsqueda de riesgos con el explorador de seguridad -
Priorización de riesgos -
Protección sin servidor -

Gestión de la Postura de Seguridad en la Nube de GCP

Defender CSPM se conecta con proyectos de Google Cloud Platform (GCP) para proporcionar gestión de postura de seguridad en la nube y evaluación de vulnerabilidades para entornos GCP. Aprende cómo conectar tus proyectos GCP a Defender for Cloud y revisa los requisitos previos de GCP.

Recursos facturables de GCP

La siguiente tabla enumera los recursos facturables y las exclusiones cuando activas Defender CSPM en proyectos GCP:

Servicio Tipos de recursos Exclusiones
Compute Instancias de cómputo, Grupos de instancias Instancias que no están en ejecución
Storage Cubos de almacenamiento Clases "nearline", "coldline" y "archive", regiones no compatibles
Databases Instancias de SQL en la nube –

Características y capacidades de GCP

La siguiente tabla resume las capacidades de GCP disponibles en Foundational CSPM y Defender CSPM:

Feature CSPM básica CSPM de Defender
Inventario de recursos
Exportación de datos
Visualización de datos e informes con Libros de Azure
Microsoft Cloud Security Benchmark
Puntuación de seguridad
Recomendaciones de seguridad
Herramientas para corrección
Automatización de flujos de trabajo
Evaluación de vulnerabilidades de contenedores de código a nube sin agente -
Detección sin agente para Kubernetes -
Análisis de secretos de máquina virtual sin agente -
Examen de vulnerabilidades de máquina virtual sin agente -
Administración de la posición de seguridad de IA -
Análisis de ruta de ataque -
Protección de recursos críticos -
Recomendaciones personalizadas -
Administración de la posición de seguridad de datos (DSPM), examen de datos confidenciales - 5
Administración de la superficie expuesta a ataques externos -
Gobernanza para impulsar la corrección a escala -
Análisis de exposición a Internet -
Evaluación del cumplimiento normativo -
Búsqueda de riesgos con el explorador de seguridad -
Priorización de riesgos -

5 La detección de datos sensibles de GCP solo admite Cloud Storage.

Administración de la postura de seguridad en la nube de Azure Arc

Defender for Cloud amplía la gestión de postura de seguridad en la nube a recursos on-premises e híbridos conectados a través de Azure Arc. Aprende cómo conectar máquinas on-premises a Azure Arc y revisa los requisitos previos para la incorporación híbrida. Utiliza Foundational CSPM para ver recursos habilitados con Arc en el inventario de activos, evaluar su configuración de seguridad y revisar recomendaciones de seguridad y puntuación de seguridad.

Las siguientes capacidades Fundamentales de CSPM soportan recursos habilitados para Arc:

Feature CSPM básica CSPM de Defender
Inventario de recursos
Exportación de datos
Visualización de datos e informes con Libros de Azure
Puntuación de seguridad
Recomendaciones de seguridad
Herramientas para corrección
Automatización de flujos de trabajo
Evaluación de vulnerabilidades del registro de contenedores para clústeres conectados a Arc -

La evaluación de vulnerabilidades del registro de contenedores requiere acceso al registro y también está disponible a través de Defender for Containers.

Defender CSPM añade capacidades avanzadas de gestión de postura para recursos compatibles con Arc. La disponibilidad depende del tipo de recurso y del entorno conectado. Para escenarios Arc compatibles y disponibilidad en la nube, consulta la matriz de soporte para entornos en la nube.

Gestión de la postura de seguridad en la nube en DevOps

Las capacidades de gestión de la postura de seguridad en la nube para DevOps proporcionan contextualización del código a la nube, anotaciones en las solicitudes de extracción, detección de riesgos con el Explorador de seguridad y análisis de rutas de ataque para entornos DevOps.

Para disponibilidad de funcionalidades, prerrequisitos, la matriz completa de funcionalidades y requisitos de permisos, consulte Soporte y prerrequisitos para la seguridad DevOps. También puedes ir directamente a Azure DevOps o a requisitos de registros externos.

Integraciones y postura externa

Defender for Cloud se integra con sistemas asociados y plataformas externas de seguridad para una postura de seguridad unificada y la respuesta a incidentes.

Soporte técnico de la nube de Azure

Para obtener cobertura de la nube comercial y nacional, consulte la Matriz de compatibilidad del entorno de la nube de Azure.

Pasos siguientes

  • Se actualizó por última vez el