La nueva experiencia de seguridad de servidores de Defender

  • Se aplica a: Microsoft Defender for Endpoint Plan 2

La nueva experiencia de seguridad de servidores Defender reúne Defender para Endpoint y Defender para Servidores en el portal Microsoft Defender. Úsalo para gestionar la protección de servidores e investigar amenazas con la información de la nube y de los endpoints en un solo lugar.

Esta vista previa pública cubre entornos de Azure y servidores locales. Consulta las novedades para ver el resumen de la versión.

En esta página: Página de activos del servidor | Investigar un incidente | Búsqueda proactiva | RBAC y grupos de dispositivos.

Servidores que ya ejecutan Defender for Endpoint

Los servidores que ya ejecutan Defender para Endpoint continúan operando con su configuración actual. No es necesario incorporarlos, reinstalarlos ni migrarlos para mantener su protección actual. Revisa los requisitos de cada capacidad unificada antes de cambiar tu configuración.

Revisa la página de activos del servidor

La página de activos del servidor reúne la información disponible sobre los recursos en la nube y los dispositivos de punto de conexión correspondientes a un mismo servidor, en lugar de requerir páginas de investigación independientes.

  1. En Microsoft Defender, abre una alerta relacionada con el servidor y selecciona Abrir página de activo en el menú del servidor. Desde un grafo de incidentes, abre el menú del nodo servidor y selecciona Detalles del activo.
  2. Comprueba el ID del dispositivo final y, cuando esté disponible, el ID de recurso de Azure. No identifiques un servidor solo por su nombre.
  3. Revisa la identidad del servidor, el estado de incorporación y los detalles disponibles sobre los recursos y sistemas operativos.
  4. Selecciona Abrir cronología del dispositivo para inspeccionar la actividad del punto de conexión, o Buscar incidentes para investigar eventos relacionados.

Si los registros aparecen duplicados o emparejados incorrectamente, comprueba ambos identificadores antes de actuar. El contexto disponible depende de las fuentes de datos conectadas; la incorporación manual no crea un recurso de Azure.

Las acciones de respuesta dependen de tus permisos, la plataforma y el estado del servidor. Utiliza la guía de respuesta para dispositivos compatibles antes de realizar cualquier acción que pueda afectar a la carga de trabajo.

Investigación de alertas e incidentes

Para investigar un servidor, necesitas acceso a sus datos de investigación, y el servidor debe tener una alerta o incidente relacionado.

  1. Abre un incidente que involucre al servidor y revisa su grafo de ataque.
  2. Selecciona el nodo del servidor. En el caso de un servidor con registros correlacionados de la nube y de los puntos de conexión, el gráfico muestra una única identidad de servidor y un menú de investigación.
  3. Haz clic derecho en el nodo o abre su menú de tres puntos. Elige Detalles del activo para obtener contexto, Anclar alertas relacionadas para inspeccionar detecciones relacionadas o Ir a la búsqueda para investigar actividades.
  4. Abre una alerta relacionada y sigue su enlace del servidor. Comprueba que conduzca a la misma identidad de servidor antes de plantearte una acción de respuesta.

Las alertas de la nube y de endpoint pueden referirse al mismo servidor sin convertirse en una sola alerta. Una identidad compartida de activo no garantiza que todas las alertas se agrupen en un solo incidente.

Utiliza Go hunt

Necesitas acceso avanzado a la búsqueda activa a los datos que se están consultando. Poder abrir una página de assets no da acceso a todas las tablas de caza.

  1. Desde el grafo de incidentes, abre el menú del nodo del servidor y selecciona Go hunt. También puedes utilizar la acción desde el contexto de la alerta o del activo del servidor, cuando esté disponible.
  2. Elige Toda actividad, Alertas relacionadas o Ver todas las consultas disponibles, y luego selecciona la consulta que necesites.
  3. Inspecciona la consulta generada y sus resultados en la búsqueda avanzada. Go Hunt puede ejecutar la consulta generada automáticamente en lugar de mostrarla solo para su revisión.
  4. Comprueba que la consulta esté dirigida al servidor previsto. Cuando ambas identidades estén disponibles, revisa los identificadores de su dispositivo de punto de conexión y del recurso en la nube, las tablas seleccionadas y el rango de tiempo.
  5. Para investigar otra ventana temporal, ajusta el filtro de marca de tiempo de la consulta y ejecuta de nuevo. Usa UTC en las expresiones de consulta.
  6. Abre los resultados relevantes, compara sus marcas de tiempo con la alerta y vuelve al incidente para continuar la investigación.

Para un evento específico en el endpoint, abre la línea de tiempo del dispositivo, selecciona el evento y usa Buscar eventos relacionados cuando esté disponible. Esto busca alrededor de ese evento en lugar de partir del servidor completo.

Toda la actividad no garantiza que todas las fuentes de datos estén incluidas. Si los resultados están vacíos o incompletos, revisa los filtros de consulta, las tablas disponibles, la retención, los informes de endpoint y tus permisos de datos. Un resultado de consulta vacío no establece que el servidor no se haya visto afectado. Consulta Go hunt query behavior para orientaciones de ajuste de consultas.

Verificar RBAC y el acceso al servidor

Los roles definen lo que una persona puede hacer; los ámbitos definen a qué datos puede acceder.

Control Purpose
Grupo de usuarios de Microsoft Entra Identifica a las personas que reciben acceso, como un equipo de operaciones de servidores.
Rol RBAC de Defender Otorga los permisos seleccionados de lectura, investigación, respuesta o administración.
Grupo de dispositivos Agrupa los puntos finales y controla el acceso a sus datos a través de los grupos de usuarios asignados de Entra. También puede establecer el comportamiento de remediación automatizada.
Ámbito de la nube Agrupa los entornos en la nube seleccionados, como las suscripciones de Azure, para el acceso a datos en la nube. Es independiente de Azure RBAC.

Para un servidor representado tanto en datos de nube como de endpoint, configura el alcance de nube pertinente y el grupo de dispositivos relevante. Vincular un grupo de dispositivos a un ámbito de nube alinea la pertenencia de los servidores; no reemplaza asignaciones de roles ni concede acceso a los usuarios por sí solo. Los despliegues existentes solo en endpoint no necesitan una conexión a la nube solo para seguir funcionando.

Asignar los permisos del equipo

Utiliza el modelo de permisos activo en tu tenant. No actives otro modelo solo para seguir esta guía.

Para los inquilinos que utilicen RBAC unificado de Microsoft Defender, un administrador de seguridad o un administrador con los permisos de autorización delegados necesarios puede:

  1. Abre Permissions>Microsoft Defender XDR>Roles y crea o edita el rol correspondiente.
  2. Selecciona los permisos que el equipo necesita. Mantén el acceso a la investigación separado de los permisos de respuesta y administración.
  3. Añade una asignación para el grupo de seguridad Microsoft Entra del equipo y las fuentes de datos necesarias. El acceso a los datos de Defender for Endpoint por sí solo no otorga acceso a los datos de Defender for Cloud.
  4. Para los datos de la nube, selecciona los ámbitos de nube deseados. Revisa y envía la tarea.

Siga Crear roles personalizados para acceder al asistente completo. Los inquilinos que sigan utilizando el modelo de punto de conexión anterior deben utilizar RBAC de Defender para puntos de conexión; los roles existentes no se sustituyen por esta experiencia.

Defina un grupo de dispositivos servidor

Crea un grupo de dispositivos para gestionar el acceso a servidores utilizando las condiciones del dispositivo o los ámbitos existentes en la nube. Antes de comenzar, asegúrate de que los grupos de usuarios de Microsoft Entra que deseas asignar tengan los roles adecuados de control de acceso basado en roles (RBAC).

  1. En el portal de Microsoft Defender, vaya a Configuración>Puntos de conexión>Permisos>Grupos de dispositivos.

  2. Seleccione Añadir grupo de dispositivos o editar un grupo existente. Introduce un nombre descriptivo y revisa el nivel de remediación automatizada.

  3. En la página de Dispositivos , elige cómo poblar el grupo:

    Option Description
    Definir mediante condiciones Empareja servidores usando atributos de dispositivo compatibles, como nombre del dispositivo, dominio, etiquetas o plataforma del sistema operativo.
    Seleccione ámbitos de la nube para rellenar este grupo Seleccione uno o varios ámbitos de la nube existentes. Se incluyen dispositivos de todos los ámbitos seleccionados. (versión preliminar)

  4. Selecciona Siguiente y revisa los dispositivos correspondientes en la página Vista previa de dispositivos antes de continuar.

  5. En la página Acceso de usuario, selecciona los grupos de usuarios de Microsoft Entra que deberían tener acceso y luego selecciona Enviar.

  6. Revisa la pertenencia al grupo y las asignaciones de acceso. Para grupos basados en condiciones, revisa la clasificación de grupos: un dispositivo que coincide con varios grupos basados en condiciones pertenece al grupo con mejor ranking.

Nota

La membresía en Cloud-scope incluye todos los dispositivos de los ámbitos seleccionados. Revisa los ámbitos seleccionados para asegurarte de que el grupo incluye solo los dispositivos previstos.

Alinear un ámbito de nube y un grupo de dispositivos

  1. Si es necesario, crea el ámbito de Azure en Sistema>Permisos>Microsoft Defender XDR>Ámbitos>Agregar ámbito de nube. Selecciona las suscripciones de Azure conectadas que quieras usar.
  2. Asigna los permisos de datos en la nube del equipo a ese ámbito y, a continuación, selecciónalo en el paso Dispositivos del grupo de dispositivos.
  3. Mantenga la asignación de la función de punto de conexión del equipo y del grupo de dispositivos en Acceso de usuario. Verifica el acceso a ambas fuentes de datos.

Siga Gestionar ámbitos de nube si es necesaria la activación del ámbito. La activación es un cambio de configuración irreversible: revisa las asignaciones existentes y el asistente de activación antes de continuar.

El enlace Cloud-scope actualiza la pertenencia de los dispositivos a medida que cambia el contenido del ámbito seleccionado. Los entornos recién conectados no se añaden automáticamente al ámbito de la nube. Revisa la pertenencia al ámbito al añadir un entorno Azure.

Comprueba el acceso efectivo

Prueba con cuentas de analistas ordinarias, no solo con una cuenta de Administrador de Seguridad; el acceso amplio de administrador puede ocultar errores de alcance. Un filtro de visualización reduce la vista, pero no sustituye a los permisos.

Check Resultado requerido
Abrir un servidor dentro del acceso asignado al usuario El servidor previsto y los datos permitidos están disponibles.
Navegar desde una alerta o un incidente hasta el activo y la búsqueda La identidad del servidor sigue siendo correcta y el acceso es apropiado.
Intentar abrir un servidor fuera del ámbito Los datos y acciones restringidos siguen siendo inaccesibles.
Comprobar una respuesta o acción de configuración La acción solo está disponible para un usuario autorizado; no ejecutes acciones disruptivas solo para probar el acceso.

Si falta el acceso esperado, comprueba permisos de rol, asignaciones de fuentes de datos, pertenencia a grupos de Entra, el grupo efectivo del dispositivo y su alcance en la nube. Si un analista observa datos de un servidor no previstos, revise otras asignaciones de roles y el acceso amplio antes de ampliar la implementación.

Eliminar la protección del servidor

Consulte Desactivación de dispositivos para conocer la desactivación automática en Azure y otros métodos de desactivación compatibles.

Contenido relacionado

  • Se actualizó por última vez el