Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Sugerencia
¿Sabía que puede probar las características de Microsoft Defender para Office 365 Plan 2 de forma gratuita? Use la prueba de 90 días de Defender para Office 365 en el Centro de pruebas del portal de Microsoft Defender. Obtenga información sobre quién puede registrarse y probar los términos en Probar Microsoft Defender para Office 365.
La investigación y respuesta automatizadas (AIR) en Microsoft Defender para Office 365 Plan 2 incluye funcionalidades eficaces para detectar e investigar amenazas. Para obtener más información, consulte Investigación y respuesta automatizadas.
Pero, ¿qué ocurre si AIR identifica incorrectamente un mensaje de correo electrónico, un archivo adjunto o una dirección URL como una amenaza (un falso positivo) o se ha perdido un elemento que resultó ser una amenaza (un falso negativo)? En este artículo se explican las opciones disponibles para el personal de operaciones de seguridad (SecOps) para abordar los falsos positivos y los falsos negativos generados por AIR.
Enviar falsos positivos o falsos negativos a Microsoft
Puede enviar o volver a enviar elementos falsos positivos y falsos negativos a Microsoft. Estos elementos incluyen mensajes de correo electrónico, datos adjuntos de correo electrónico y direcciones URL. Para obtener instrucciones, consulte Usar la página Envíos para enviar a Microsoft correo no deseado sospechoso, mensajes de suplantación de identidad, direcciones URL, correos electrónicos legítimos bloqueados y archivos adjuntos de correo electrónico.
Ajuste de alertas para evitar que los falsos positivos se repitan
Las instrucciones dependen de las suscripciones disponibles en su organización:
- Microsoft Defender XDR: Ajuste de una alerta
- Defender for Endpoint: Cree acciones de Permitir para archivos, direcciones IP, URL o dominios que se hayan identificado erróneamente como malware en dispositivos. Para obtener instrucciones, consulte Creación de indicadores.
Prerequisites
Antes de deshacer las acciones de corrección, compruebe que tiene los permisos necesarios y las licencias. Para obtener más información, consulte Permisos necesarios y licencias para AIR.
Deshacer acciones de corrección
El personal de SecOps a menudo puede usar 
Tomar medidas para deshacer la acción de corrección que AIR aplicó al elemento. Por ejemplo:
- Desde el Explorador (Threat Explorer). Para obtener más información, consulte Corrección del correo electrónico.
- Desde la página de la entidad Correo electrónico. Para obtener más información, consulta Acciones en la página de la entidad Correo electrónico.
- Desde el menú desplegable de detalles de las entradas de la pestaña Historial del Centro de acciones en https://security.microsoft.com/action-center/history.
Para obtener más información sobre las acciones disponibles en Realizar acción, consulte el Asistente para realizar acciones.
- Para realizar una acción en los mensajes que se han movido a la carpeta de Email no deseado del buzón, use Realizar acción>Mover a la carpeta de buzón y, a continuación, seleccione uno de los siguientes destinos:
- Bandeja de entrada para falsos positivos.
- Elementos eliminados, Elementos eliminados temporalmente o Elementos eliminados definitivamente para falsos negativos.
- Para realizar acciones en los mensajes que se han puesto en cuarentena, realice uno de los pasos siguientes:
- Para liberar el mensaje, use Realizar una acción>Mover a la carpeta del buzón>Bandeja de entrada y, a continuación, seleccione Liberar a uno o varios de los destinatarios originales del correo electrónico o Liberar a todos los destinatarios. O bien, puede liberar el mensaje directamente desde la cuarentena.
- Elimine el mensaje directamente de la cuarentena si el usuario tiene acceso al mensaje en cuarentena.
- Si el usuario no tiene acceso al mensaje en cuarentena, no es necesario hacer nada (el mensaje expira en función del período de retención de cuarentena ).
- Para realizar acciones en los archivos que se han puesto en cuarentena, realice uno de los pasos siguientes:
- Saque el archivo de la cuarentena.
- Elimine el archivo en cuarentena de la cuarentena si el usuario tiene acceso al archivo en cuarentena.
- Si el usuario no tiene acceso al archivo en cuarentena, no es necesario hacer nada (el archivo expira en función del período de retención de cuarentena ).