Trabajar con incidentes en muchas áreas de trabajo a la vez

Para aprovechar al máximo las funcionalidades de Microsoft Sentinel, Microsoft recomienda usar un entorno de área de trabajo única. Sin embargo, hay algunos casos de uso que requieren disponer de varias áreas de trabajo, en algunos casos —por ejemplo, el de un proveedor de servicios de seguridad administrada (MSSP) y sus clientes— repartidos entre varios tenants. La vista de varias áreas de trabajo le permite ver y trabajar con incidentes de seguridad en varias áreas de trabajo al mismo tiempo, incluso entre inquilinos, lo que le permite mantener una visibilidad y un control totales de la capacidad de respuesta de seguridad de su organización.

Si integra Microsoft Sentinel en el portal de Microsoft Defender, consulte lo siguiente:

• Varias áreas de trabajo de Microsoft Sentinel en el portal de Defender
• Administración multiinquilino de Microsoft Defender

Acceda a la vista de varios área de trabajo

Al abrir Microsoft Sentinel, se le presenta una lista de todas las áreas de trabajo a las que tiene derechos de acceso, en todos los inquilinos y suscripciones seleccionados. Al seleccionar el nombre de un área de trabajo, accederá a esa área de trabajo. Para elegir varias áreas de trabajo, seleccione todas las casillas correspondientes y, a continuación, seleccione el botón Ver incidentes en la parte superior de la página.

En la lista de áreas de trabajo, puede ver el directorio, la suscripción, la ubicación y el grupo de recursos asociados a cada área de trabajo. El directorio corresponde al inquilino.

Trabajar con incidentes entre espacios de trabajo

Por el momento, la vista de múltiples áreas de trabajo solo está disponible para los incidentes. La página de incidentes de la vista de múltiples espacios de trabajo se parece y funciona en gran medida como la página Incidents normal, con las siguientes diferencias importantes:

• Los contadores de la parte superior de la página ( Incidentes abiertos, Nuevos incidentes, Incidentes activos, etc.) muestran los números de todas las áreas de trabajo seleccionadas colectivamente.

• Verá incidentes de todas las áreas de trabajo y directorios seleccionados (inquilinos) en una sola lista unificada. Puede filtrar la lista por área de trabajo y directorio, además de los filtros de la pantalla Incidentes normales .

• Debe tener permisos de lectura y escritura en todas las áreas de trabajo desde las que ha seleccionado incidentes. Si solo tiene permisos de lectura en algunas áreas de trabajo, verá mensajes de advertencia si selecciona incidentes en esas áreas de trabajo. No puede modificar esos incidentes ni otros que haya seleccionado junto con ellos (incluso si tiene permisos para los demás).

• Si eliges un único incidente y seleccionas Ver detalles completos o Acciones>Investigar, a partir de entonces estarás en el contexto de datos del espacio de trabajo del incidente seleccionado y en ningún otro.

Contenido relacionado

• Obtener visibilidad de los datos y posibles amenazas
• Detección de amenazas con Microsoft Sentinel