Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Importante
Las detecciones personalizadas ahora son la mejor manera de crear nuevas reglas en Microsoft Sentinel Microsoft Defender XDR SIEM. Con las detecciones personalizadas, puede reducir los costes de ingesta, obtener detecciones ilimitadas en tiempo real y beneficiarse de una integración perfecta con los datos, las funciones y las acciones de corrección de Defender XDR, con asignación automática de entidades. Para obtener más información, lea este blog.
Microsoft Sentinel usa Fusion, un motor de correlación basado en algoritmos de aprendizaje automático escalables, para detectar automáticamente ataques de varias fases (también conocidos como amenazas persistentes avanzadas o APT) mediante la identificación de combinaciones de comportamientos anómalo y actividades sospechosas que se observan en varias fases de la cadena de eliminación. En función de estas detecciones, Microsoft Sentinel genera incidentes que, de lo contrario, serían difíciles de detectar. Estos incidentes constan de dos o más alertas o actividades. Por diseño, estos incidentes son de bajo volumen, alta fidelidad y alta gravedad.
Esta tecnología de detección, personalizada para su entorno, no solo reduce las tasas de falsos positivos , sino que también puede detectar ataques con información limitada o que falta.
Dado que Fusion correlaciona varias señales de diversos productos para detectar ataques avanzados de varias fases, las detecciones de Fusion correctas se presentan como incidentes de Fusion en la página incidentes de Microsoft Sentinel y no como alertas, y se almacenan en la tabla SecurityIncident de registros y no en la tabla SecurityAlert.
Configuración de Fusion
Fusion está habilitado de forma predeterminada en Microsoft Sentinel, como una regla de análisis denominada Advanced multistage attack detection (Detección avanzada de ataques de varias fases). Puede ver y cambiar el estado de la regla, configurar las señales de origen para que se incluyan en el modelo de Fusion ML o excluir patrones de detección específicos que pueden no ser aplicables a su entorno de la detección de Fusion. Obtenga información sobre cómo configurar la regla de Fusion.
Nota:
Microsoft Sentinel actualmente usa 30 días de datos históricos para entrenar los algoritmos de aprendizaje automático del motor de Fusion. Estos datos siempre se cifran mediante las claves de Microsoft a medida que pasan por la canalización de aprendizaje automático. Sin embargo, los datos de entrenamiento no se cifran mediante claves administradas por el cliente (CMK) si ha habilitado CMK en el área de trabajo de Microsoft Sentinel. Para excluirse de Fusion, vaya a Microsoft Sentinel>Configuración>Análisis > Reglas activas, haga clic con el botón derecho en la regla Detección avanzada de ataques de varias fases y seleccione Deshabilitar.
En las áreas de trabajo de Microsoft Sentinel que se han incorporado al portal de Microsoft Defender, Fusion está deshabilitado. Su funcionalidad se reemplaza por el motor de correlación de Microsoft Defender XDR.
Integración frente a amenazas emergentes
Importante
Las detecciones de Fusion indicadas están actualmente en versión preliminar. Consulte los Términos de uso complementarios para versiones preliminares de Microsoft Azure para conocer los términos legales adicionales que se aplican a las características de Azure que están en fase beta o de vista previa, o que aún no están disponibles de forma general.
Después del 31 de marzo de 2027, Microsoft Sentinel ya no se admitirá en el Azure Portal y solo estará disponible en el portal de Microsoft Defender. Todos los clientes que usen Microsoft Sentinel en el Azure Portal se redirigirán al portal de Defender y solo usarán Microsoft Sentinel en el portal de Defender. A partir de julio de 2025, muchos clientes nuevos son incorporados automáticamente y redirigidos al portal de Microsoft Defender.
Si sigue usando Microsoft Sentinel en el Azure Portal, le recomendamos que empiece a planear la transición al portal de Defender para garantizar una transición sin problemas y aprovechar al máximo la experiencia de operaciones de seguridad unificadas que ofrece Microsoft Defender. Para obtener más información, consulte Es hora de cambiar: retirada del portal de Azure de Microsoft Sentinel para una mayor seguridad.
Nota:
Para obtener información sobre la disponibilidad de características en las nubes del Gobierno de EE. UU., consulte las tablas de Microsoft Sentinel en disponibilidad de características en la nube para los clientes de US Government.
Configuración de Fusion
Fusion está habilitado de forma predeterminada en Microsoft Sentinel, como una regla de análisis denominada Advanced multistage attack detection (Detección avanzada de ataques de varias fases). Puede ver y cambiar el estado de la regla, configurar las señales de origen para que se incluyan en el modelo de Fusion ML o excluir patrones de detección específicos que podrían no ser aplicables a su entorno de la detección de Fusion. Obtenga información sobre cómo configurar la regla de Fusion.
Es posible que quiera no participar en Fusion si ha habilitado claves administradas por el cliente (CMK) en el área de trabajo. Microsoft Sentinel actualmente usa 30 días de datos históricos para entrenar los algoritmos de aprendizaje automático del motor de Fusion, y estos datos siempre se cifran mediante las claves de Microsoft a medida que pasan por la canalización de aprendizaje automático. Sin embargo, los datos de entrenamiento no se cifran mediante CMK. Para desactivar Fusion, deshabilite la regla de análisis Detección avanzada de ataques multietapa en Microsoft Sentinel. Para obtener más información, vea Configurar reglas de Fusion.
Fusion se deshabilita cuando Microsoft Sentinel se incorpora al portal de Defender. En su lugar, al trabajar en el portal de Defender, la funcionalidad proporcionada por Fusion se reemplaza por el motor de correlación de Microsoft Defender XDR.
Fusion para amenazas emergentes (versión preliminar)
El volumen de eventos de seguridad sigue creciendo y el ámbito y la sofisticación de los ataques aumentan cada vez más. Podemos definir los escenarios de ataque conocidos, pero ¿qué tal las amenazas emergentes y desconocidas en su entorno?
El motor Fusion de Microsoft Sentinel, basado en ML, puede ayudarle a encontrar las amenazas emergentes y desconocidas en su entorno al aplicar análisis ampliado de ML y al correlacionar un conjunto más amplio de señales anómalas, a la vez que mantiene baja la fatiga por alertas.
Los algoritmos de aprendizaje automático del motor de Fusion aprenden constantemente de los ataques existentes y aplican análisis basados en cómo piensan los analistas de seguridad. Por lo tanto, puede detectar amenazas no detectadas anteriormente de millones de comportamientos anómalos en toda la cadena de eliminación en todo el entorno, lo que le ayuda a mantenerse un paso por delante de los atacantes.
Fusion para amenazas emergentes admite la recopilación y el análisis de datos de los orígenes siguientes:
Alertas de servicios de Microsoft:
- Protección de Microsoft Entra ID
- Microsoft Defender para la nube
- Microsoft Defender para IoT
- Microsoft Defender XDR
- Microsoft Defender para aplicaciones en la nube
- Microsoft Defender para punto de conexión
- Microsoft Defender for Identity
- Microsoft Defender para Office 365
Alertas generadas por reglas de análisis programadas. Las reglas de análisis deben contener información sobre la cadena de eliminación (tácticas) y la asignación de entidades para que Fusion la use.
No es necesario que haya conectado todos los orígenes de datos enumerados anteriormente para que Fusion para las amenazas emergentes funcione. Sin embargo, cuantos más orígenes de datos haya conectado, más amplia será la cobertura y más amenazas encontrará Fusion.
Cuando las correlaciones del motor de Fusion dan lugar a la detección de una amenaza emergente, Microsoft Sentinel genera un incidente de gravedad alta titulado Posibles actividades de ataque de varias fases detectadas por Fusion.
Fusion para ransomware
el motor de Fusion de Microsoft Sentinel genera un incidente cuando detecta varias alertas de diferentes tipos de los siguientes orígenes de datos y determina que podrían estar relacionadas con la actividad de ransomware:
- Microsoft Defender for Cloud
- Microsoft Defender para el punto de conexión
- conector de Microsoft Defender for Identity
- Microsoft Defender para aplicaciones en la nube
- Reglas de análisis programadas de Microsoft Sentinel. Fusion solo considera las reglas de análisis programadas con información sobre tácticas y entidades mapeadas.
Estos incidentes de Fusion se denominan Varias alertas posiblemente relacionadas con la actividad ransomware detectada y se generan cuando se detectan alertas pertinentes durante un período de tiempo específico y se asocian con las fases de ejecución y evasión de defensa de un ataque.
Por ejemplo, Microsoft Sentinel generaría un incidente para posibles actividades de ransomware si se desencadenan las siguientes alertas en el mismo host dentro de un período de tiempo específico:
| Alerta | Origen | Severidad |
|---|---|---|
| Eventos de error y advertencia de Windows | Microsoft Sentinel: reglas de análisis programadas | informativo |
| Se evitó el ransomware 'GandCrab' | Microsoft Defender para la nube | medio |
| Se detectó malware 'Emotet' | Microsoft Defender para punto de conexión | informativo |
| Se detectó la puerta trasera "Tofsee" | Microsoft Defender para la nube | Bajo |
| Se detectó malware 'Parite' | Microsoft Defender para punto de conexión | informativo |
Detecciones de Fusion basadas en escenarios
En la sección siguiente se enumeran los tipos de ataques de varias fases basados en escenarios, agrupados por clasificación de amenazas, que Microsoft Sentinel detecta mediante el motor de correlación de Fusion.
Para habilitar estos escenarios de detección de ataques con tecnología de Fusion, sus orígenes de datos asociados se deben ingerir en el área de trabajo de Log Analytics. Seleccione los vínculos de la tabla siguiente para obtener información sobre cada escenario y sus orígenes de datos asociados.
Contenido relacionado
Para más información, vea: