Administración de las alertas de seguridad y respuesta a ellas

Microsoft Defender para la nube recopila, analiza e integra datos de registro de tus recursos Azure, híbridos y multicloud, la red y soluciones de socios conectados, como cortafuegos y agentes de endpoint. Defender for Cloud usa los datos de registro para detectar amenazas reales y reducir los falsos positivos. Defender for Cloud muestra una lista de alertas de seguridad priorizadas junto con la información que necesitas para investigar rápidamente el problema y los pasos a seguir para remediar un ataque.

Ver, investigar y responder a alertas de seguridad en Defender for Cloud

En este artículo se muestra cómo ver y procesar las alertas de Defender for Cloud y cómo proteger los recursos.

Cuando tries las alertas de seguridad, prioriza las alertas según su gravedad. Primero aborda las alertas de mayor gravedad. Para saber más, consulta cómo se clasifican las alertas.

Prerequisites

Para conocer los requisitos previos y los requisitos, consulte Matrices de soporte técnico para Defender for Cloud.

Administración de las alertas de seguridad

Siga estos pasos:

1. Inicie sesión en Azure Portal.

2. Vaya a Microsoft Defender para la nube> Alertas de seguridad.

   

3. (Opcional) Filtre la lista de alertas con cualquiera de los filtros pertinentes. Añade filtros extra seleccionando Añadir filtro.

   

   Las alertas listan las actualizaciones según los filtros que selecciones. Por ejemplo, podrías querer abordar alertas de seguridad que hayan ocurrido en las últimas 24 horas para investigar una posible brecha en el sistema.

Investigación de una alerta de seguridad

Cada alerta contiene información que te ayuda a investigar la alerta.

Para investigar una alerta de seguridad:

1. Seleccione una alerta. Se abre un panel que muestra una descripción de la alerta y de todos los recursos afectados.

   

2. Revise la información de alto nivel sobre la alerta de seguridad.

   • Gravedad de la alerta, estado y tiempo de actividad
   • Descripción que explica la actividad precisa que se detectó
   • Recursos afectados
   • Intención de la cadena de ataque de la actividad en la matriz MITRE ATT&CK, si procede

3. Seleccione View full details (Ver detalles completos).

   El panel derecho incluye la pestaña de detalles de la alerta , que contiene más detalles para ayudarte a investigar la alerta, como direcciones IP, archivos y procesos.

   

   El panel derecho también incluye la pestaña Tomar acción . Utiliza esta pestaña para realizar acciones adicionales relacionadas con la alerta de seguridad, como:

   • Inspeccionar el contexto del recurso: Te lleva a los registros de actividad del recurso que soportan la alerta de seguridad.
   • Mitigar la amenaza: Proporciona pasos manuales de remediación para esta alerta de seguridad.
   • Prevenir futuros ataques: Proporciona recomendaciones de seguridad para ayudar a reducir la superficie de ataque, mejorar la postura de seguridad y, así, prevenir futuros atentados.
   • Activar respuesta automática: Proporciona la opción de activar una aplicación lógica como respuesta a esta alerta de seguridad.
   • Suprimir alertas similares: Ofrece la opción de suprimir futuras alertas con características similares si la alerta no es relevante para tu organización.

   

   Para obtener más información sobre la alerta, contacte con el propietario del recurso para verificar si la actividad detectada es un falso positivo. También puedes investigar los registros en bruto generados por el recurso atacado.

Cambiar el estado de varias alertas de seguridad a la vez

La lista de alertas incluye casillas para que pueda controlar varias alertas a la vez. Por ejemplo, con fines de evaluación de prioridades, puede decidir descartar todas las alertas informativas de un recurso específico.

1. Filtre según las alertas que quiera controlar de forma masiva.

   En este ejemplo, se seleccionan las alertas con gravedad de Informational para el recurso ASC-AKS-CLOUD-TALK.

   

2. Usa las casillas para seleccionar las alertas a procesar.

   En este ejemplo, seleccionas todas las alertas. El botón Cambiar estado ya está disponible.

   

3. Use las opciones Cambiar estado para establecer el estado deseado.

   

   Cambia el estado de las alertas mostradas en la página de alertas de seguridad al valor seleccionado.

Respuesta a una alerta de seguridad

Después de investigar una alerta de seguridad, puede responder a la alerta desde Microsoft Defender para la nube.

Para responder a una alerta de seguridad:

1. Abra la pestaña Realizar acción para ver las respuestas recomendadas.

   

2. Revise la sección Mitigación de la amenaza de los pasos de investigación manuales necesarios para mitigar el problema.

3. Para proteger los recursos y evitar ataques futuros de este tipo, corrija las recomendaciones de seguridad en la sección Prevención de futuros ataques .

4. Para desencadenar una aplicación lógica con pasos de respuesta automatizados, use la sección Desencadenar respuesta automatizada y seleccione Desencadenar aplicación lógica.

5. Si la actividad detectada no es maliciosa, puedes suprimir futuras alertas de este tipo usando la sección Suprimir alertas similares y seleccionando Crear regla de supresión.

6. Seleccione Configurar configuración de notificación de correo electrónico para ver quién recibe correos sobre alertas de seguridad en esta suscripción. Contacta con el propietario de la suscripción para configurar la configuración del correo electrónico.

7. Cuando completes la investigación sobre la alerta y respondas de la manera adecuada, cambia el estado a Desestimado.

   

   La alerta se quita de la lista de alertas principales. Puede usar el filtro de la página de lista de alertas para ver todas las alertas con el estado Descartado .

8. Le recomendamos que proporcione comentarios sobre la alerta a Microsoft:

   1. Para ¿Ha sido esto útil?, selecciona Sí o No.
   2. Seleccione un motivo y agregue un comentario.

   

Para aprender sobre los tipos de alertas, consulta Alertas de seguridad - una guía de referencia.

Para información sobre cómo Defender for Cloud detecta y responde a amenazas, consulta Cómo Microsoft Defender para la nube detecta y responde a las amenazas.

Revisión de los resultados del examen sin agente

Puedes ver los resultados tanto de los escáneres basados en agentes como de los sin agente en la página de alertas de seguridad .

Contenido relacionado

• Configuración de reglas de supresión de alertas
• Alertas de seguridad: una guía de referencia

Paso siguiente