Exención de recursos de las recomendaciones

Al investigar las recomendaciones de seguridad en Microsoft Defender para la nube, revise la lista de recursos afectados. En ocasiones, se encuentra un recurso que no debe estar en la lista o se encuentra una recomendación que aparece en un ámbito en el que no pertenece. Por ejemplo, es posible que Defender for Cloud no realice un seguimiento de un proceso de corrección o que una recomendación no se aplique a una suscripción específica. Su organización puede decidir aceptar los riesgos relacionados con el recurso o recomendación específicos.

En tales casos, cree una regla de exención para:

• Excluya un recurso para quitarlo de la lista de recursos no saludables y del impacto en el puntaje de seguridad. Defender for Cloud muestra el recurso como No aplicable y muestra el motivo como Exento con la justificación que seleccione.

• Excluya una suscripción o un grupo de administración para evitar que la recomendación afecte a su puntuación de seguridad o aparezca en ese ámbito. La exención se aplica a los recursos existentes y a los recursos que cree más adelante. Defender for Cloud marca la recomendación con la justificación que seleccione para ese ámbito.

Para cada ámbito, cree una regla de exención para:

• Marque una recomendación específica como Mitigado o Riesgo aceptado para una o varias suscripciones, o para un grupo de administración.

• Marque uno o varios recursos como Mitigado o Riesgo aceptado para una recomendación específica.

La exención de recursos se limita a 5000 recursos por suscripción. Si agrega más de 5000 exenciones por suscripción, puede experimentar problemas de carga en la página de exención.

Prerequisites

Las exenciones de Defender for Cloud se basan en la iniciativa Microsoft Cloud Security Benchmark (MCSB). MCSB debe estar asignado a la suscripción antes de crear exenciones.

Puede crear exenciones para recomendaciones que pertenezcan a la iniciativa MCSB predeterminada o a otros estándares normativos integrados. Algunas recomendaciones de MCSB no admiten exenciones. Puede encontrar una lista de estas recomendaciones en las preguntas más frecuentes sobre exenciones.

Permisos:

Para crear exenciones, necesita los siguientes permisos:

• Propietario o Administrador de seguridad en el ámbito en el que se crea la exención.
• Para crear una regla, necesita permisos para editar directivas en Azure Policy. Para obtener más información, consulte permisos de Azure RBAC en Azure Policy.
• Debe tener un permiso de exención en todas las asignaciones de iniciativas de seguridad en el ámbito de destino. Si varias iniciativas contienen una recomendación, debe crear la exención con permisos para todas ellas. Un permiso que falta incluso en una iniciativa puede hacer que falle la exención.

Necesita las siguientes acciones de control de acceso basado en rol (RBAC):

• Los permisos de nivel de suscripción no se heredan hacia los grupos de administración. Si la asignación de directivas se aplica en el nivel de grupo de administración, necesitará el rol asignado en ese ámbito.

• Para administrar exenciones para recursos específicos, necesita las acciones de RBAC necesarias en el nivel de recurso o grupo de recursos. Es posible que las asignaciones de roles con ámbito de suscripción no proporcionen acceso suficiente para crear o eliminar exenciones en recursos individuales. Compruebe que la asignación de roles cubre el ámbito del recurso que desea excluir.

• Al crear una exención en el nivel de grupo de administración, asegúrese de que el proveedor de recursos de seguridad Microsoft Azure tenga los permisos necesarios al asignarle el rol Reader en ese grupo de administración. Conceda este rol de la misma manera que conceda permisos de usuario.

Limitaciones:

• No crea exenciones para recomendaciones personalizadas.

• Es posible que las recomendaciones de versión preliminar no admitan exenciones. Compruebe si la recomendación muestra una etiqueta de vista previa .

• Si deshabilita una recomendación, también exime todas sus subbrecomendaciones.

• Las recomendaciones basadas en Kusto Query Language (KQL) usan asignaciones estándar y no utilizan los eventos de exención de Azure Policy en los registros de actividad. Para determinar si una recomendación está basada en KQL o basada en directivas, abra la recomendación en el portal y compruebe el campo Clave de evaluación. Las recomendaciones basadas en KQL muestran un formato de clave de evaluación estándar y no tienen un vínculo de definición de Azure Policy asociado. Las recomendaciones basadas en directivas muestran un vínculo directo a la definición de directiva subyacente.

• Al crear una exención desde el portal de Defender for Cloud, Defender for Cloud identifica todas las iniciativas que contienen la recomendación y crea la exención en todos ellos automáticamente. Si crea la exención a través de la API de Azure Policy en su lugar, debe crear una exención independiente para cada iniciativa manualmente. Para más información, consulte las Preguntas frecuentes sobre Exenciones.

• Al asignar una nueva iniciativa que contenga una recomendación con una exención existente, la exención no se transfiere a la nueva iniciativa. Cree una nueva exención para la recomendación bajo la nueva iniciativa asignada.

Definición de una exención

Se recomienda crear exenciones en el portal de Defender for Cloud. Es posible que las exenciones creadas a través de la API de Azure Policy no se integren completamente con Defender for Cloud. Pueden provocar resultados inesperados, como exenciones que no se propagan en todas las iniciativas pertinentes. Si necesita usar la API, consulte la estructura de exenciones de Azure Policy.

Para crear una regla de exención:

1. Inicie sesión en Azure Portal.

2. Vaya aRecomendaciones de >.

3. Seleccione una recomendación.

4. Seleccione Exento.

   

5. Seleccione el ámbito de la exención.

   • Si selecciona un grupo de administración, Defender for Cloud excluye la recomendación de todas las suscripciones dentro de ese grupo.
   • Si crea esta regla para excluir uno o varios recursos de la recomendación, elija Recursos seleccionados y seleccione los recursos pertinentes de la lista.

6. Escriba un nombre.

7. (Opcional) Establezca una fecha de expiración.

8. Seleccione la categoría de la exención:

   • Resuelto a través de un servicio de terceros (mitigado), si utiliza un servicio ajeno a Microsoft para la corrección que Defender for Cloud no rastrea.

   Note

   Al eximir un recurso como mitigado, cuenta como correcto. No se obtienen puntos por la corrección, pero Defender for Cloud no deduce puntos por dejarlo incorrecto, por lo que los recursos exentos no reducen la puntuación.

   • Riesgo aceptado (exención): si decide aceptar el riesgo de no mitigar esta recomendación.

9. Escriba una descripción.

10. Selecciona Crear.

    

Después de crear la exención

Una exención puede tardar hasta 24 horas en surtir efecto. Defender for Cloud evalúa los recursos cada 12 a 24 horas. Una vez que la exención surte efecto:

• La recomendación o los recursos no afectan al índice de seguridad.

• Si excluye recursos específicos, Defender for Cloud los enumera en la pestaña No aplicable de la página de detalles de recomendación.

• Si excluye una recomendación, Defender for Cloud la oculta de forma predeterminada en la página Recomendaciones . Esto sucede porque el filtro de estado de recomendación predeterminado excluye Las recomendaciones no aplicables . El mismo comportamiento se produce si excluye todas las recomendaciones de un control de seguridad.

Comprender cómo afecta el tipo de exención al estado de la recomendación

El tipo de exención que seleccione determina cómo afecta la exención a la recomendación y la puntuación segura:

• Exenciones mitigadas: Los recursos exentos se consideran saludables. Aumenta la puntuación de seguridad.
• Exenciones de exclusión: los recursos exentos se excluyen del cálculo de la puntuación de seguridad. Los recursos no cuentan para la puntuación de seguridad, pero pueden aparecer en las recomendaciones.

Comprobación de que la exención funciona

Si la recomendación sigue mostrando los recursos como no saludables después de 24 horas, consulte Resolución de una exención que no actualiza el estado de la recomendación para obtener los pasos detallados.

Paso siguiente

Contenido relacionado

• Administrar las recomendaciones de seguridad con falsos positivos para Defender para el almacenamiento

Las exenciones ayudan a los equipos de seguridad a centrarse en los riesgos que requieren acción, manteniendo al mismo tiempo un registro regulado de los hallazgos que no requieren remediación. Utilice una exención cuando un hallazgo haya sido revisado y se determine que es un falso positivo, cubierto por otro control, temporalmente aplazado o aceptado como riesgo. Cada exención registra su alcance, condiciones de coincidencia, justificación y periodo de revisión, ayudando a tu organización a reducir el ruido operativo sin perder visibilidad ni rendición de cuentas.

¿Por qué usar exenciones?

Las exenciones ofrecen una alternativa estructurada a suprimir informalmente un hallazgo de seguridad. Ayudan a las organizaciones:

• Centra los recursos de remediación en los hallazgos de seguridad que requieran acción.
• Aplicar una decisión de riesgo documentada de forma coherente en todo el ámbito relevante.
• Reduce el trabajo repetitivo gestionando las excepciones mediante reglas centralizadas.
• Registrar la justificación y el contexto de apoyo necesarios para la gobernanza, auditoría y cumplimiento.
• Reevaluar los riesgos aceptados mediante las fechas de caducidad y la revisión del ciclo de vida.
• Preservar el contexto de seguridad de los hallazgos exentos en las experiencias de investigación y rutas de ataque.

Casos de uso

Crea una exención después de que se haya generado y revisado un hallazgo, y tu organización determine que actualmente no es necesaria la remediación. Entre los escenarios habituales se incluyen los siguientes:

• El resultado es un falso positivo.
• La organización revisó y aceptó el riesgo.
• Un control de terceros aborda el riesgo.
• Ya existe otra medida de mitigación implantada.
• La remediación se aplaza por una razón empresarial o técnica documentada.

¿Eliminar una regla o crear una exención?

Tanto las políticas de recomendación como las exenciones permiten controlar el comportamiento de recomendación, pero cumplen funciones de gobernanza diferentes. Utiliza un cambio de política cuando una recomendación no debe evaluarse en un ámbito específico. Utiliza una exención cuando la recomendación siga siendo válida, pero la remediación no sea necesaria temporalmente y deba hacerse un seguimiento de ello para fines de gobernanza, auditoría o cumplimiento.

Antes de empezar

Verifica que un entorno esté gestionado en Defender

Las exenciones creadas en Defender solo se aplican a activos que pertenezcan a entornos gestionados en Defender. Puede comprobar la ubicación de administración de cualquiera de las siguientes formas:

• En la experiencia de Recomendaciones, revisa la propiedad Administrado en y confirma que el valor es Defender.

• En la administración del entorno de nube, abra la página Administración del entorno de la nube y confirme que el entorno correspondiente se administra en Defender.

Si un hallazgo afecta a los activos gestionados en Azure, tienes dos opciones:

• Conecta el entorno con Defender y sigue gestionando las exenciones a través de Defender.
• Crea la exención en Azure.

Permissions

El control unificado de acceso basado en roles (RBAC) de Microsoft Defender controla el acceso a las exenciones:

Para delegar la administración de exenciones, vaya a Sistema>Permisos>Microsoft Defender XDR>Roles en el portal de Microsoft Defender y cree o actualice un rol con el permiso y el ámbito necesarios.

Crear una exención

Ve a Gestión de exposiciones>>Exención y luego selecciona Crear exención. El proceso de creación incluye cuatro decisiones:

Una vez presentada la exención, Microsoft Defender procesa la exención y actualiza los hallazgos coincidentes. Los cambios en el estado de hallazgo, los cálculos de exposición y las métricas de postura relacionadas pueden no reflejarse de inmediato.

Crear una excepción a una recomendación

También puedes crear una exención directamente desde una recomendación. Cuando se lanza a partir de una recomendación, Defender precompleta automáticamente las condiciones de exención basándose en la recomendación seleccionada para reducir el esfuerzo de configuración y asegurar que la exención se dirige al hallazgo previsto:

¿Qué se rellena previamente?

• La condición de exención se establece automáticamente como Por recomendación y se basa en la recomendación a partir de la cual se creó la exención. Esta condición no puede cambiarse durante el flujo de creación.
• El alcance se rellena automáticamente con los activos seleccionados cuando se creó la exención. Puedes refinar, reducir o ampliar el alcance según sea necesario antes de presentar la exención.

Si la selección incluye activos gestionados por Defender y gestionados por Azure, la exención de Defender solo se aplica a los activos gestionados por Defender soportados. Gestiona los activos restantes en Azure o traslada el entorno relevante a la administración de Defender.

Gestionar el ciclo de vida de las exenciones

Utiliza la página de normas de exención para revisar las decisiones de exención de la organización y gestionar su ciclo de vida.

• Edita una regla cuando cambie su alcance, condiciones de coincidencia, justificación, propietario o periodo de revisión.
• Elimina una regla cuando la excepción ya no sea válida y los hallazgos coincidentes deban volver al seguimiento activo de remediación.
• Revisa las reglas que están por vencer antes de que termine el periodo de riesgo aprobado.
• Revisa las normas caducadas como prueba histórica de decisiones previas y determina si es necesaria una nueva evaluación.

Cuando una exención es eliminada o llega a su fecha de caducidad, Microsoft Defender reevalúa automáticamente los hallazgos afectados. Cualquier hallazgo que aún requiera remediación vuelve a un estado activo y vuelve a contribuir a los cálculos de postura y riesgo. Los hallazgos que ya no son aplicables permanecen sin verse afectados.

Entiende el efecto de una exención

Cuando una exención está activa, los hallazgos coincidentes se marcan como Exentos. La exención cambia la forma en que se trata el hallazgo, pero no elimina el hallazgo, ni su evidencia que lo respalda, ni su relación con otras señales de seguridad.

Los hallazgos exentos siguen disponibles en todas las experiencias de investigación y exploración en profundidad de Microsoft Defender. Dependiendo de los filtros actuales, los hallazgos exentos pueden estar ocultos por defecto. Para revisarlos, actualiza el filtro de estado para incluir hallazgos Exentos .

Impacto de la puntuación

Los hallazgos exentos quedan excluidos de los cálculos aplicables de puntuación de seguridad mientras la exención siga activa. El impacto en la puntuación depende del alcance de la exención y de la experiencia del producto.

Rutas de ataque

Excluir una recomendación no la elimina de las rutas de ataque asociadas. Microsoft Defender sigue incluyendo la recomendación en el análisis de rutas de ataque y la identifica claramente como Exempted. Esto ayuda a los equipos de seguridad a comprender el impacto potencial del riesgo aceptado, mantener la visibilidad sobre cómo la recomendación contribuye a la exposición global y reevaluar la exención si cambian la postura de seguridad o los requisitos empresariales.

Exenciones existentes de Azure y la transición a Defender

Esta sección es principalmente relevante para organizaciones que históricamente gestionaban recomendaciones y exenciones en Azure y que ahora están haciendo la transición de sus entornos para que estén Managed in Defender. Durante esta transición, Microsoft preserva las configuraciones existentes de exenciones de Azure mientras establece Defender como la ubicación central para gestionar nuevas decisiones de exención.

Funcionamiento de la propiedad de las exenciones

Microsoft Defender y Azure pueden coexistir durante el periodo de transición. Aunque las reglas de exención siguen perteneciendo al portal en el que se crearon originalmente, el estado de las recomendaciones se mantiene coherente en todas las experiencias.

• Las reglas de exención creadas en Azure continúan gestionándose en Azure.
• Las normas de exención creadas en Defender se gestionan desde la página Normas de exención en Defender.
• Las definiciones de las reglas de exención no se sincronizan ni copian entre Azure y Defender.
• Tanto las exenciones de Azure como de Defender afectan a las recomendaciones correspondientes.
• El estado de recomendación y el estado de exención permanecen consistentes independientemente de qué portal posea la regla de exención.

Exenciones existentes de Azure

Cuando un entorno pasa a estar Administrado en Defender, Microsoft sigue respetando las reglas de exención que antes se creaban en Azure.

• Las exenciones existentes de Azure continúan influyendo en los cálculos del estado de la recomendación y la postura.
• Los equipos de seguridad pueden seguir editando o eliminando estas exenciones en Azure.
• Estas exenciones creadas por Azure no aparecen como reglas de exención administrables en Defender.

Este enfoque permite a las organizaciones migrar a Defender sin interrumpir las decisiones existentes de aceptación de riesgos ni requerir la migración inmediata de las normas históricas de exención.

Crear nuevas exenciones

Después de que un entorno pase a estar Administrado en Defender, las nuevas exenciones para ese ámbito deben crearse en Defender. No se pueden crear nuevas exenciones de Azure para esos ámbitos a través de la experiencia del portal soportado.

Este modelo de propiedad otorga a los equipos de seguridad un control centralizado sobre nuevas decisiones de exención, preservando al mismo tiempo las configuraciones existentes de Azure. También impide que los equipos creen nuevas reglas competidoras para el mismo alcance gestionado por Defender en diferentes portales.

Limitaciones

Las siguientes limitaciones se aplican a la gestión de exenciones en el portal Microsoft Defender:

• Las exenciones existentes de Azure siguen siendo respetadas después de que un entorno se gestiona en Defender, pero no se migran automáticamente al portal de Defender.
• El procesamiento, las actualizaciones de estado, el recálculo de puntuaciones y la propagación del estado entre portales no son inmediatos y requieren tiempo adicional de procesamiento.

¿Por qué usar la gestión de exenciones en Microsoft Defender?

Las organizaciones que decidan gestionar su postura en la nube con Microsoft Defender pueden beneficiarse de una experiencia centralizada de gestión de exenciones integrada directamente en todo el flujo de trabajo de gestión de exposiciones. Azure sigue apoyando la gestión de exenciones, mientras que Defender ofrece una experiencia unificada para organizaciones que buscan gestionar la postura de seguridad en todas las cargas de trabajo y decisiones relacionadas desde una única ubicación.

• Ámbitos flexibles: Defender permite a las organizaciones crear exenciones en entornos y activos soportados, proporcionando más flexibilidad en la selección de ámbitos que el alcance tradicional basado en jerarquías de Azure.
• Reducción de la carga administrativa: Las normas centralizadas y reutilizables de exenciones ayudan a reducir el número de exenciones que deben crearse y mantenerse en múltiples suscripciones, grupos de gestión y ámbitos de Azure.
• Permisos de seguridad detallados: Microsoft Defender XDR unificado RBAC permite a las organizaciones separar permisos de lectura y gestión y delegar la gestión de exenciones a equipos de seguridad específicos sin depender únicamente de los roles administrativos de Azure.
• Gobernanza del ciclo de vida por diseño: Aunque Azure también soporta la gestión de exenciones, Defender ofrece una experiencia de gobernanza más centrada en la seguridad. Las exenciones incluyen periodos de revisión y fechas de expiración obligatorias, facilitando el seguimiento, revisión y validación de decisiones temporales de aceptación de riesgos durante auditorías y evaluaciones de cumplimiento. Los equipos de seguridad pueden identificar fácilmente las exenciones que están cerca de caducidad, revisar las exenciones caducadas y reevaluar periódicamente los riesgos aceptados.
• Procesamiento de exenciones más rápido: Las exenciones creadas en Defender suelen reflejarse en el estado de recomendación, cálculos de puntuaciones y experiencias relacionadas más rápido que las exenciones equivalentes en Azure. Microsoft sigue mejorando la eficiencia del procesamiento para reducir aún más el tiempo necesario para que los cambios en las exenciones entren en vigor.

Contenido relacionado

• control de acceso unificado basado en roles (RBAC) de Microsoft Defender
• Administración de directivas de postura