Utiliza el inventario de activos en la nube

Acceso al inventario de recursos en el portal de Azure

En el portal de Azure, vaya a Microsoft Defender para la nube>Inventory.

La página Inventario proporciona información sobre:

• Recursos conectados. Vea rápidamente qué recursos están conectados a Defender for Cloud.
• Estado general de seguridad: obtenga un resumen claro sobre el estado de seguridad de los recursos conectados en Azure, AWS y GCP, incluidos los recursos totales conectados a Defender for Cloud, los recursos por entorno y un recuento de recursos en mal estado.
• Recomendaciones, alertas: explore en profundidad el estado de recursos específicos para ver las recomendaciones de seguridad activas y las alertas de seguridad de un recurso.
• Priorización de riesgos: las recomendaciones basadas en riesgos asignan niveles de riesgo a las recomendaciones, en función de factores como la confidencialidad de los datos, la exposición a Internet, el potencial de movimiento lateral y las posibles rutas de acceso a ataques.
• La priorización de riesgos está disponible cuando el plan de Defender CSPM está habilitado.
• Software. Puede revisar los recursos mediante aplicaciones instaladas. Para aprovechar el inventario de software, debe habilitarse el plan de administración de posturas de seguridad en la nube (CSPM) de Defender o un plan de Defender para servidores.

El inventario usa Azure Resource Graph (ARG) para consultar y recuperar datos a escala. Para obtener información detallada personalizada, puede usar KQL para consultar el inventario.

Revisión del inventario

1. En Defender for Cloud en el portal de Azure, seleccione Inventory. De forma predeterminada, los recursos se ordenan por el número de recomendaciones de seguridad activas.
2. Revise la configuración disponible:
   • En Buscar, puede usar una búsqueda de texto libre para buscar recursos.
   • Total resources muestra el número de recursos conectados a Defender for Cloud.
   • Recursos incorrectos muestra el número de recursos con recomendaciones y alertas de seguridad activas.
   • Recuento de recursos por entorno: Total de recursos de Azure, AWS y GCP.
3. Seleccione un recurso para explorar en profundidad para obtener más información.
4. En la página Resource Health del recurso, revise la información sobre el recurso.
   • En la pestaña Recomendaciones se muestran las recomendaciones de seguridad activas, por orden de riesgo. Puede profundizar en cada recomendación para obtener más detalles y opciones de corrección.
   • En la pestaña Alertas se muestran las alertas de seguridad pertinentes.
   • La pestaña Aplicaciones instaladas muestra el software detectado en el recurso, cuando hay inventario de software disponible.

Revisión del inventario de software

Utiliza el inventario de software para revisar las aplicaciones instaladas en tus recursos conectados e identificar máquinas que ejecutan software específico.

Para revisar los detalles del inventario de software:

1. Seleccione Aplicación instalada.
2. En Valor, seleccione las aplicaciones en las que filtrar.
   • Total resources: el número total de recursos conectados a Defender for Cloud.
   • Recursos incorrectos: recursos con recomendaciones de seguridad activas que puede implementar. Para obtener instrucciones de corrección, consulte Revisión de las recomendaciones de seguridad.
   • Recuento de recursos por entorno: el número de recursos de cada entorno.
   • Unregistered subscriptions: Cualquier suscripción del ámbito seleccionado que aún no se haya conectado a Microsoft Defender para la nube.
3. Se muestran los recursos conectados a Defender for Cloud que ejecutan esas aplicaciones. Las opciones en blanco muestran máquinas en las que Defender para servidores o Defender para punto de conexión no están disponibles.

Revisa las aplicaciones instaladas para obtener un recurso

En la página de Resource Health de un recurso soportado, selecciona Aplicaciones instaladas para revisar el software detectado en el activo.

La pestaña Aplicaciones instaladas proporciona la siguiente información:

Filtro del inventario

En cuanto aplicas los filtros, las métricas resumen (como recursos totales, recursos poco saludables y recuento de recursos por entorno) se actualizan para reflejar los resultados de la consulta.

Herramientas de exportación para inventario de activos

La página de Defender for Cloud Inventory ofrece las siguientes opciones de exportación:

Descargar informe CSV: exporte los resultados de las opciones de filtro seleccionadas a un archivo CSV.

Open query : exporte la propia consulta a Azure Resource Graph (ARG) para refinar, guardar o modificar aún más la consulta del lenguaje de consulta Kusto (KQL).

¿Cómo funciona el inventario de recursos?

Además de los filtros predefinidos, puede explorar los datos de inventario de software desde Resource Graph Explorer.

ARG está diseñado para proporcionar una exploración de recursos eficaz con la posibilidad de realizar consultas a escala.

Puede usar Kusto Query Language (KQL) en el inventario de activos para generar rápidamente perspectivas profundas al cruzar datos de Defender for Cloud con otras propiedades de recursos.

Uso del inventario de recursos

Para trabajar con filtros y opciones de consulta en el inventario de recursos:

1. En la barra lateral de Defender for Cloud, seleccione Inventory.

2. Use la casilla Filtrar por nombre para mostrar un recurso concreto, o utilice los filtros para centrarse en recursos específicos.

   De forma predeterminada, los recursos se ordenan por el número de recomendaciones de seguridad activas.

   Importante

   Las opciones de cada filtro son específicas de los recursos de las suscripciones seleccionadas actualmente y de las selecciones de los otros filtros.

   Por ejemplo, si ha seleccionado solo una suscripción y esta no tiene ningún recurso con recomendaciones de seguridad pendientes de corregir (0 recursos incorrectos), el filtro Recomendaciones no tendrán ninguna opción.

3. Para usar el filtro Conclusiones de seguridad, escriba texto libre para el identificador, la comprobación de seguridad o el nombre de CVE de una conclusión de vulnerabilidad para filtrar los recursos afectados:

   

   Tip

   Los filtros Conclusiones de seguridad y Etiquetas solo aceptan un único valor. Para filtrar por más de uno, use Agregar filtros.

4. Para ver las opciones de filtro seleccionadas actualmente en forma de consulta en Resource Graph Explorer, seleccione Abrir consulta.

   

5. Si ha definido algunos filtros y ha dejado abierta la página, Defender for Cloud no actualiza los resultados automáticamente. Cualquier cambio en los recursos no afectará a los resultados mostrados a menos que se vuelva a cargar manualmente la página o se seleccione Actualizar.

Exportación del inventario

Para exportar datos de inventario filtrados:

1. Para guardar el inventario filtrado en formato CSV, seleccione Descargar informe CSV.

2. Para guardar una consulta en el Explorador de Resource Graph, seleccione Abrir una consulta. Cuando esté listo para guardar una consulta, seleccione Guardar como. En Guardar consulta, especifique un nombre de consulta, una descripción y si la consulta es privada o compartida.

   

Los cambios que haga en los recursos no afectarán a los resultados mostrados a menos que se vuelva a cargar manualmente la página o se seleccione Actualizar.

Acceso a un inventario de software

Para acceder al inventario de software, necesita uno de los siguientes planes:

• Escaneo de máquinas sin agente de Defender Cloud Security Posture Management (CSPM).
• Escaneo de máquinas sin agente de Defender para servidores P2.
• Microsoft Defender para punto de conexión integration de Defender for Servers.

Ejemplos de uso de Azure Resource Graph Explorer para acceder a los datos de inventario de software y explorarlos

Para consultar datos de inventario de software en Azure Resource Graph Explorer:

1. Abra Azure Resource Graph Explorer.

   

2. Seleccione el siguiente ámbito de suscripción: securityresources/softwareinventories

3. Escriba cualquiera de las siguientes consultas (o personalícelas o escriba las suyas propias) y seleccione Ejecutar consulta.

Ejemplos de consulta de inventario de software para Azure Resource Graph

Utiliza las siguientes consultas del Lenguaje de Consultas Kusto (KQL) en Azure Resource Graph Explorer para explorar los datos de inventario del software Defender for Cloud.

La siguiente consulta enumera todos los registros de inventario de software descubiertos de la securityresources tabla, devolviendo el proveedor, nombre del software y versión de cada activo:

securityresources
| where type == "microsoft.security/softwareinventories"
| project id, Vendor=properties.vendor, Software=properties.softwareName, Version=properties.version

Utiliza la siguiente consulta para recuperar los registros de inventario del software y filtra por número de versión. Este ejemplo muestra máquinas con Windows Server 2019 ejecutando una versión igual o inferior a una versión específica:

securityresources
| where type == "microsoft.security/softwareinventories"
| project id, Vendor=properties.vendor, Software=properties.softwareName, Version=tostring(properties.    version)
| where Software=="windows_server_2019" and parse_version(Version)<=parse_version("10.0.17763.1999")

Utilice la siguiente consulta para identificar las máquinas virtuales de Azure que tengan instalado más de un producto de software específico. La consulta correlaciona las entradas de inventario del software con identificadores de VM de Azure y solo devuelve máquinas con múltiples coincidencias:

securityresources
| where type == "microsoft.security/softwareinventories"
| extend vmId = properties.azureVmId
| where properties.softwareName == "apache_http_server" or properties.softwareName == "mysql"
| summarize count() by tostring(vmId)
| where count_ > 1

Utiliza la siguiente consulta para combinar datos de inventario de software con evaluaciones de seguridad y encontrar máquinas que tengan instalado un producto de software específico junto con una recomendación de seguridad poco saludable. Este ejemplo localiza máquinas que tienen MySQL instalado y los puertos de gestión expuestos normalizando los IDs de VM de Azure a minúsculas para obtener uniones precisas:

securityresources
| where type == "microsoft.security/softwareinventories"
| extend vmId = tolower(properties.azureVmId)
| where properties.softwareName == "mysql"
| join (
    securityresources
| where type == "microsoft.security/assessments"
| where properties.displayName == "Management ports should be closed on your virtual machines" and properties.status.code == "Unhealthy"
| extend vmId = tolower(properties.resourceDetails.Id)
) on vmId

Pasos siguientes

• Revisión de las recomendaciones de seguridad
• Administración de las alertas de seguridad y respuesta a ellas
• Exportación continua : exportación de datos de seguridad a SIEM, SOAR u otras herramientas
• Crear paneles de seguridad personalizados con Azure Workbooks
• Habilitación de los planes de Defender for Cloud
• Conexión de cuentas de AWS
• Conexión de proyectos de GCP

En este artículo se describe cómo usar el inventario unificado de recursos en la nube en Microsoft Defender para la nube dentro del portal de Microsoft Defender XDR para administrar y supervisar la infraestructura multinube.

Visión general

El inventario de recursos en la nube ofrece una vista de la infraestructura en la nube en Azure, Amazon Web Services (AWS) y Google Cloud Platform (GCP). Agrupa los recursos por carga de trabajo, importancia y estado de cobertura. También combina datos de mantenimiento, acciones de dispositivo y señales de riesgo en una interfaz.

Principales funcionalidades

El inventario unificado de activos en la nube proporciona las siguientes capacidades básicas para gestionar y monitorizar tu infraestructura multicloud.

Visibilidad unificada de varias nubes

El inventario de activos en la nube te ayuda a monitorizar y gestionar activos de forma consistente entre proveedores de nube.

• Cobertura completa: Ver recursos en Azure, AWS, GCP y otras plataformas compatibles.
• Interfaz coherente: use una interfaz para administrar recursos multinube.
• Sincronización en tiempo real: consulte los datos de recursos actuales desde entornos de nube conectados.
• Relaciones multiplataforma: revise las dependencias entre proveedores de nube.

Análisis específicos del rendimiento de trabajo

El inventario se organiza mediante tipos de carga de trabajo, cada uno de los cuales proporciona visibilidad y datos personalizados:

• Máquinas virtuales: instancias de computación en proveedores de nube con datos de postura de seguridad y vulnerabilidad
• Recursos de datos: bases de datos, cuentas de almacenamiento y servicios de datos con información de cumplimiento y exposición
• Contenedores: clústeres de Kubernetes, instancias de contenedor y registros de contenedor con resultados de examen de seguridad
• Servicios de inteligencia artificial y aprendizaje automático: recursos de inteligencia artificial (IA) y aprendizaje automático (ML) con el contexto de gobernanza y seguridad.
• API: interfaces de programación de aplicaciones (REST) de transferencia de estado representacional (API), funciones sin servidor y servicios de integración con análisis de exposición.
• Recursos de DevOps: canalizaciones de integración continua e implementación continua (CI/CD), repositorios y herramientas de desarrollo con información de seguridad.
• Recursos de identidad: cuentas de servicio, identidades administradas y componentes de control de acceso
• Sin servidor: funciones, aplicaciones lógicas y recursos de proceso controlados por eventos

Filtrado avanzado y delimitación

Las funciones de filtrado y alcance te ayudan a reducir las vistas de inventario a los activos que más importan.

• Ámbito persistente: use ámbitos de nube para un filtrado coherente entre experiencias.
• Filtrado multidimensional: filtrado por entorno, carga de trabajo, nivel de riesgo y estado de cumplimiento.
• Funcionalidades de búsqueda: busque recursos rápidamente con la búsqueda integrada.
• Vistas guardadas: guarde las vistas filtradas para las tareas operativas repetidas.

Categorización de recursos y metadatos

El inventario de activos enriquece cada recurso con metadatos de clasificación y cobertura para ayudarte a priorizar los esfuerzos de seguridad.

Clasificación de importancia de recursos

Los recursos se clasifican automáticamente en función de:

• Impacto empresarial: determinado por el tipo de recurso, las dependencias y la importancia de la organización
• Posición de seguridad: en función de la configuración, las vulnerabilidades y el estado de cumplimiento
• Factores de riesgo: incluir la exposición a Internet, la confidencialidad de los datos y los patrones de acceso
• Clasificaciones personalizadas: reglas de importancia crítica definidas por el usuario e invalidaciones manuales

Indicadores de estado de cobertura

Cada recurso muestra información de cobertura:

• Protected: Habilitada la protección completa de Defender for Cloud.
• Parcial: algunas características de seguridad habilitadas, otras disponibles para la actualización
• Unprotected: No tiene la protección de Defender for Cloud y requiere activación
• Excluido: excluido explícitamente de la supervisión o protección

Señales de estado y riesgo

Los indicadores de riesgo integrados proporcionan un contexto completo de activos:

• Alertas de seguridad: incidentes de seguridad activos y detecciones de amenazas
• Vulnerabilidades: puntos débiles de seguridad conocidos y revisiones necesarias
• Estado de cumplimiento: evaluación de cumplimiento normativo y de directivas
• Métricas de exposición: accesibilidad a Internet, acceso con privilegios y datos de superficie expuesta a ataques

Navegación y filtrado

Utiliza las siguientes funciones de navegación y filtrado para encontrar y analizar los activos en la nube en el portal de Defender.

Acceso al inventario en la nube

Para abrir el inventario en la nube en el portal de Microsoft Defender:

1. Vaya al portal de Microsoft Defender.
2. Seleccione Assets>Cloud en la navegación principal.
3. Utiliza pestañas dedicadas a la carga de trabajo para obtener vistas centradas.
   • Todos los recursos: vista completa de todos los tipos de carga de trabajo
   • Máquinas virtuales: inventario y conclusiones específicos de la máquina virtual
   • Datos: recursos de datos, incluidas bases de datos y almacenamiento
   • Contenedores: recursos de Contenedores y Kubernetes
   • IA: inteligencia artificial y servicios de aprendizaje automático
   • API: API y servicios de integración
   • DevOps: recursos de flujo de trabajo de desarrollo e implementación
   • Identidad: componentes de administración de identidades y acceso
   • Sin servidor: recursos de proceso basados en eventos y funciones

Uso de filtros de forma eficaz

Utiliza filtros para reducir el inventario a los activos y riesgos que quieres investigar.

• Filtrado de entornos: seleccione proveedores de nube específicos o vea todos los entornos.
• Filtrado de ámbitos: aplique ámbitos de nube para que coincidan con los límites de la organización.
• Filtrado basado en riesgos: céntrese en recursos de alto riesgo o expuestos.
• Filtrado de cargas de trabajo: restrinja los resultados a tipos de recursos en la nube específicos.
• Filtrado de estado: filtre por estado de protección, estado de cumplimiento o indicadores de estado.

Búsqueda y detección

Las herramientas de búsqueda y descubrimiento te ayudan a localizar rápidamente activos relevantes en entornos grandes.

• Búsqueda de texto: busque recursos por nombre, identificador de recurso o metadatos.
• Búsqueda basada en etiquetas: Localice recursos por etiquetas y rótulos del proveedor de nube.
• Consultas avanzadas: combine filtros para la detección precisa de recursos.
• Funcionalidades de exportación: exporte los resultados filtrados para la generación de informes y el análisis.

Detalles y perspectivas del activo

Seleccionar un activo en el inventario revela información detallada sobre configuración, seguridad y relación.

Información completa de los recursos

Cada recurso proporciona información detallada, entre las que se incluyen:

• Metadatos básicos: nombres de recursos, identificadores, ubicaciones y tiempos de creación.
• Detalles de configuración: configuración actual, directivas y configuraciones aplicadas.
• Posición de seguridad: estado de cumplimiento, evaluaciones de vulnerabilidades y recomendaciones de seguridad.
• Evaluación de riesgos: análisis de exposición, inteligencia sobre amenazas y puntuaciones de riesgo.
• Relaciones: dependencias, conexiones y recursos relacionados.

Integración de recomendaciones de seguridad

Los recursos se vinculan directamente a las recomendaciones de seguridad pertinentes:

• Mejoras de configuración: corregir errores de configuración y reforzar la seguridad.
• Corrección de vulnerabilidades: priorice la aplicación de revisiones y las actualizaciones de seguridad.
• Control de acceso: mejore la configuración de identidades y permisos.
• Seguridad de red: mejore las reglas de firewall, la segmentación y los controles de exposición.

Flujos de trabajo de respuesta a incidentes

El inventario admite operaciones de seguridad mediante:

• Correlación de alertas: vincule alertas a recursos específicos para una investigación más rápida.
• Acciones de respuesta: abra flujos de trabajo de corrección directamente desde el contexto del recurso.
• Compatibilidad con análisis forense: use contexto detallado de recursos durante el análisis de incidentes.
• Integración de automatización: utilice el acceso a la API para la orquestación y la respuesta automática.

Integración con la administración de exposiciones

Visualización de la ruta de acceso de ataque

Los recursos del inventario se integran con el análisis de rutas de acceso de ataque:

• Participación en rutas de ataque: Vea en qué rutas de ataque se incluyen activos específicos.
• Identificación de punto de ahogo: resalte los recursos que son puntos clave de convergencia.
• Clasificación de destino: identifique los destinos de ataque comunes.
• Análisis de punto de entrada: identifique los recursos que pueden proporcionar rutas de acceso iniciales.

Administración de recursos críticos

El inventario admite flujos de trabajo de activos críticos:

• Clasificación automática: las reglas predefinidas pueden marcar los recursos como críticos.
• Designación manual: los equipos de seguridad pueden marcar manualmente los recursos como críticos.
• Herencia de criticidad: Las relaciones entre activos pueden afectar la clasificación de criticidad.
• Priorización de protección: los recursos críticos obtienen una supervisión y protección mejoradas.

Integración de la administración de vulnerabilidades

Los recursos en la nube se conectan sin problemas con la administración de vulnerabilidades:

• Vista de vulnerabilidad unificada: consulte vulnerabilidades de la nube y del punto de conexión en un panel.
• Priorización basada en riesgos: priorice vulnerabilidades por contexto de recursos e impacto empresarial.
• Seguimiento de la corrección: realice un seguimiento del progreso de la corrección en los entornos de nube.
• Informes de cumplimiento: genere informes que incluyan datos de la nube y del punto de conexión.

Informes y análisis

Informes integrados

• Informes de cobertura: Evalúe la implementación de Defender for Cloud en todo su entorno en la nube.
• Evaluaciones de riesgos: revise el riesgo en entornos multinube.
• Paneles de cumplimiento: realice un seguimiento del estado de cumplimiento normativo en los recursos en la nube.
• Análisis de tendencias: supervise los cambios en la posición de seguridad a lo largo del tiempo.

Análisis personalizados

• Búsqueda avanzada: consulta de datos de recursos en la nube mediante el lenguaje de consulta Kusto (KQL).
• Acceso a la API: acceda a los datos de inventario mediante programación para informes e integraciones personalizados.
• Funcionalidades de exportación: exporte datos de recursos en varios formatos para el análisis externo.
• Integración del panel: cree paneles personalizados mediante datos de inventario de recursos en la nube.

Limitaciones y consideraciones

Limitaciones actuales

• Actualizaciones en tiempo real: algunos cambios de recursos pueden tardar tiempo en aparecer en el inventario.
• Datos históricos: los datos históricos de recursos se pueden limitar durante la implementación temprana.

Consideraciones sobre el rendimiento

• Entornos grandes: El filtrado y la delimitación mejoran el rendimiento en entornos con muchos activos.
• Frecuencias de actualización: los datos de recursos se actualizan periódicamente. Para las comprobaciones en tiempo real, use la consola del proveedor de nube.
• Dependencias de red: las características de inventario requieren conectividad confiable con interfaces de programación de aplicaciones (API) del proveedor de nube.

Limitaciones de ámbito

Algunos activos pueden aparecer fuera de los ámbitos de la nube configurados en Defender for Cloud:

• Dependencias entre ámbitos: recursos con relaciones que abarcan varios ámbitos.
• Activos flotantes: Algunos tipos de activos no admiten una delimitación de alcance detallada.
• Permisos heredados: recursos que heredan permisos de los recursos primarios fuera del ámbito.

procedimientos recomendados

Gestión de inventario

• Revisiones periódicas: revise el inventario periódicamente para obtener precisión e integridad.
• Estrategia de etiquetado: use etiquetas coherentes en entornos de nube para mejorar la organización.
• Configuración del ámbito: configure ámbitos de nube para que coincidan con su organización.
• Optimización de filtros: guarde combinaciones de filtros útiles para tareas diarias.

Operaciones de seguridad

• Enfoque crítico de los recursos: priorice la supervisión y la protección de los recursos críticos para la empresa.
• Enfoque basado en riesgos: use indicadores de riesgo para guiar el enfoque de seguridad y la asignación de recursos.
• Flujos de trabajo de integración: use datos de inventario en flujos de trabajo de respuesta a incidentes y vulnerabilidades.
• Oportunidades de automatización: identifique tareas repetitivas para automatizar mediante las API de inventario.

Revisión del inventario

1. En el portal de Microsoft Defender, vaya a Assets>Cloud.

2. Revise la visión general de los activos de nube unificados:

   • Total de recursos en todos los entornos de nube conectados
   • Resumen de la postura de seguridad que muestra recursos saludables frente a no saludables
   • Métricas de cobertura que indican el estado de protección de Defender for Cloud
   • Distribución de riesgos que muestra los recursos por nivel de riesgo

3. Use pestañas específicas de la carga de trabajo para centrarse en determinados tipos de recursos:

   • Seleccione máquinas virtuales e instancias de cómputo
   • Seleccionar Datos para recursos de bases de datos y almacenamiento
   • Seleccione Contenedores para Kubernetes y recursos relacionados con contenedores
   • Seleccionar IA para las cargas de trabajo de aprendizaje automático e IA
   • Seleccione API para la gestión de API y puntos de conexión
   • Seleccione DevOps para los recursos del pipeline de desarrollo
   • Seleccione Identidad para los recursos de administración de identidades y acceso.
   • Seleccione Serverless (Sin servidor) para funciones y proceso sin servidor.

4. Aplicar el filtro de ámbito global para centrarse en ámbitos de nube específicos o límites de la organización

5. Seleccione un recurso para ver información detallada:

   • Recomendaciones de seguridad prioritarias por nivel de riesgo
   • Alertas de seguridad con información de detección de amenazas
   • Participación en la ruta de ataque, mostrando involucramiento en posibles escenarios de ataque.
   • Estado de cumplimiento con los estándares de seguridad
   • Factores de riesgo , como la exposición a Internet y el potencial de movimiento lateral

Pasos siguientes

• Panel de información general de la nube
• Administración de recomendaciones de seguridad