Integraciones de Automatización en Microsoft Sentinel

  • Se aplica a: Microsoft Sentinel in the Microsoft Defender portal

Las integraciones de automatización ofrecen un catálogo centralizado de integraciones predefinidas para aplicaciones de Microsoft y de terceros, para que puedas seleccionar un proveedor, configurarlo con una autenticación sencilla y usarlo en tus playbooks sin necesidad de una configuración personalizada.

Las integraciones de automatización reducen el trabajo de configuración manual para ingenieros de SOC, administradores de automatización y analistas de seguridad avanzados que crean o mantienen flujos de trabajo de respuesta automatizados.

Importante

Después del 31 de marzo de 2027, Microsoft Sentinel ya no se admitirá en el Azure Portal y solo estará disponible en el portal de Microsoft Defender. Todos los clientes que usen Microsoft Sentinel en el Azure Portal se redirigirán al portal de Defender y solo usarán Microsoft Sentinel en el portal de Defender.

Si sigue usando Microsoft Sentinel en el Azure Portal, le recomendamos que empiece a planear la transición al portal de Defender para garantizar una transición sin problemas y aprovechar al máximo la experiencia de operaciones de seguridad unificadas que ofrece Microsoft Defender.

Funcionamiento de las integraciones de automatización

Los playbooks de Microsoft Sentinel se basan en los flujos de trabajo creados en Azure Logic Apps. Un cuaderno de estrategias puede usar conectores e integraciones para interactuar con otros servicios durante un flujo de trabajo automatizado.

Las integraciones de automatización proporcionan una forma guiada de configurar los parámetros de conexión necesarios para los proveedores compatibles. Las entradas necesarias dependen del proveedor y del tipo de autenticación. Después de configurar una integración, úsela en escenarios de automatización o cuaderno de estrategias admitidos para conectar el flujo de trabajo al servicio de destino.

Las integraciones de Automatización pueden admitir:

  • Servicios propios, como los servicios de Microsoft utilizados por su SOC.
  • Servicios de terceros, como servicios de socios o proveedores utilizados para el enriquecimiento, la gestión de tickets, la comunicación o la respuesta.
  • Escenarios predefinidos, en los que Microsoft Sentinel ofrece la experiencia de automatización y le solicita los datos mínimos de conexión necesarios.

Importante

Los pasos de configuración específicos del proveedor, los valores, los permisos y la guía de solución de problemas son propiedad de cada proveedor. Use la documentación oficial del proveedor cuando necesite pasos de configuración detallados para un servicio específico.

Requisitos previos

Antes de configurar una integración de automatización, asegúrese de que tiene:

  • Los permisos necesarios para crear la integración en Microsoft Sentinel.
  • Los permisos necesarios en el servicio de proveedor para autenticar y realizar las acciones necesarias para el escenario de automatización.

Tipos de autenticación admitidos

Las opciones de autenticación disponibles para una integración dependen del proveedor seleccionado. Microsoft Sentinel le pide los campos requeridos por el tipo de autenticación seleccionado.

Los patrones de autenticación comunes incluyen:

Tipo de autenticación Usar cuando Entradas típicas
Clave de API El proveedor emite una clave o token que autoriza las solicitudes a su API. Clave de API o token y, a veces, una dirección URL o región del servicio.
OAuth 2.0 El proveedor admite la autorización delegada o basada en aplicaciones a través de un flujo de OAuth. Inicio de sesión, consentimiento, detalles del cliente, alcances o configuración de redireccionamiento, según el proveedor.

Almacene y rote las credenciales de acuerdo con los requisitos de seguridad de la organización y las instrucciones del proveedor. Use los permisos con privilegios mínimos necesarios para el escenario de automatización.

Configuración de integración

Use el siguiente flujo de trabajo de alto nivel para crear una integración de automatización:

  1. Vaya a la página de Automatización en Microsoft Sentinel>Configuración>Automatización.

    Experiencia de creación de integración de automatización en Microsoft Sentinel

  2. Seleccione + Crear.

    Botón para crear una automatización en Microsoft Sentinel

  3. En la lista Integraciones de proveedores predefinidos, seleccione el proveedor al que desea conectarse y, a continuación, seleccione Siguiente.

    Lista desplegable de selección de proveedores para integraciones de automatización en Microsoft Sentinel

  4. En la sección Nombre y autenticación , proporcione lo siguiente:

    • Nombre de integración (obligatorio): escriba un nombre para identificar la integración en el entorno.
    • Descripción (opcional): escriba una descripción para ayudar a su equipo a comprender el propósito de la integración.
    • Detalles de autenticación (obligatorio): escriba los campos específicos necesarios para el tipo de autenticación seleccionado.

    Las opciones de autenticación disponibles dependen del proveedor. Un proveedor podría admitir la autenticación de clave de API, la autenticación de OAuth 2.0 o ambas. Seleccione el vínculo Más información en la sección de detalles de autenticación para obtener un vínculo externo a la guía específica del proveedor.

  5. Seleccione Siguiente y revise la página de resumen. Si necesita realizar cambios, seleccione Atrás para editar los detalles. De lo contrario, seleccione Crear.

Consideraciones acerca de la seguridad

Antes de usar una integración de automatización en producción, revise las consideraciones siguientes:

  • Permisos: conceda solo los permisos necesarios para las acciones específicas del cuaderno de estrategias.
  • Almacenamiento de credenciales: almacene los secretos en ubicaciones seguras aprobadas. No codifique de forma rígida secretos en cuadernos de estrategias o documentación.
  • Rotación de credenciales: gire las claves de API, los secretos de cliente y los tokens de acuerdo con la directiva de su organización.
  • Auditabilidad: use cuentas de servicio con nombre o identidades de aplicación cuando sea posible para que el equipo pueda auditar las acciones automatizadas.
  • Ámbito: limite la integración a los inquilinos, áreas de trabajo, colas o recursos necesarios para el escenario de automatización.
  • Pruebas: pruebe las integraciones con incidentes de no producción o datos de ejemplo antes de usarlos en flujos de trabajo de respuesta activos.

Cuándo usar la documentación del proveedor

Use la documentación de Microsoft Sentinel para comprender la experiencia de integración de la automatización, los patrones de autenticación y el proceso general de configuración. Use la documentación del proveedor cuando necesite:

  • Pasos exactos de creación de claves de API.
  • Valores de registro de aplicaciones de OAuth.
  • Nombres de permisos específicos del proveedor.
  • Puntos de conexión específicos de la región.
  • Pasos de solución de problemas de errores del lado proveedor.

Contenido relacionado

  • Se actualizó por última vez el