Uso de la API de streaming con Microsoft Defender para Empresas

Si tu organización dispone de un Centro de Operaciones de Seguridad (SOC), puedes usar la API de streaming de Microsoft Defender para punto de conexión con Defender para Empresas y Microsoft 365 Empresa Premium. La API de streaming de Microsoft Defender para punto de conexión permite transmitir datos, como el archivo de dispositivo, el registro, la red, los eventos de inicio de sesión y muchos más a uno de los siguientes servicios:

• Microsoft Sentinel: una solución escalable y nativa de la nube que proporciona información de seguridad y administración de eventos (SIEM) y capacidades de orquestación, automatización y respuesta de seguridad (SOAR).
• Azure Event Hubs: una plataforma de streaming de macrodatos y un servicio de ingesta de eventos modernos que se pueden integrar sin problemas con otros servicios Azure y Microsoft. Por ejemplo, Azure Stream Analytics, Power BI y Azure Event Grid, junto con servicios externos como Apache Spark.
• Azure Storage: solución de almacenamiento en la nube de Microsoft para escenarios de almacenamiento de datos modernos, con almacenamiento altamente disponible, escalable masivamente, duradero y seguro para una variedad de objetos de datos en la nube.

Al utilizar la API de streaming de Defender for Endpoint, puedes utilizar búsqueda avanzada y detección de ataques con Defender para Empresas y Microsoft 365 Empresa Premium. La API de streaming permite que los centros de operaciones de seguridad vean más datos sobre los dispositivos, comprendan mejor cómo se produjo un ataque y tomen medidas para mejorar la seguridad del dispositivo.

Uso de la API de streaming con Microsoft Sentinel

Para transmitir Defender para Empresas datos a Microsoft Sentinel, complete los pasos siguientes.

1. Asegúrate de instalar y configurar Defender para Empresas, y de incorporar los dispositivos. Consulte Configuración y configuración de Microsoft Defender para Empresas.

2. Cree un área de trabajo de Log Analytics para usarla con Microsoft Sentinel. Consulte Creación de un área de trabajo de Log Analytics.

3. Introducción a Microsoft Sentinel. Consulte Inicio rápido: Incorporación de Microsoft Sentinel.

4. Habilite el conector de Microsoft Defender. Consulte Conexión de datos de Microsoft Defender a Microsoft Sentinel.

Uso de la API de streaming con Event Hubs

Para usar Azure Event Hubs, necesitas una suscripción a Azure. Antes de empezar, asegúrate de crear un Event Hub en tu organización. A continuación, inicie sesión en el portal de Azure, vaya a Suscripciones>Su suscripción>Proveedores de recursos>Registrar Microsoft.insights.

Para configurar el streaming en Azure Event Hubs, complete los pasos siguientes.

1. Vaya al portal de Microsoft Defender e inicie sesión.

2. Vaya a la página Configuración de exportación de datos.

3. Seleccione Agregar configuración de exportación de datos.

4. Elija un nombre para la nueva configuración.

5. Elija Reenviar eventos para Azure Event Hubs.

6. Introduce el nombre de tu Event Hubs y tu ID de Event Hubs.

   Nota:

   Si dejas vacío el campo de nombre de Event Hubs, el sistema creará un centro de eventos para cada categoría en el espacio de nombres seleccionado. Si no utiliza un clúster dedicado de Event Hubs —que es una implementación de un solo inquilino con capacidad dedicada—, recuerde que hay un límite de 10 espacios de nombres de Event Hubs.

   Para obtener tu ID de Event Hubs, ve a la página de tu espacio de nombres de Event Hubs en el portal de Azure. En la pestaña Propiedades , copie el texto en Id.

7. Elija los eventos que desea transmitir y, a continuación, seleccione Guardar.

Visualización del esquema de eventos en Azure Event Hubs

El siguiente ejemplo de JSON muestra el formato de cada mensaje del hub de eventos que recibe Event Hubs cuando se habilita el reenvío de eventos. Cada mensaje contiene una records matriz con una o varias entradas de evento:

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the organization that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

Cada mensaje del centro de eventos de Azure Event Hubs contiene una lista de registros. Cada registro contiene el nombre del evento, la hora en que Defender para Empresas recibió el evento, la organización a la que pertenece (solo recibes eventos de tu organización) y el evento en formato JSON en una propiedad llamada properties. Para obtener más información sobre el esquema de eventos de búsqueda avanzada transmitidos a Azure Event Hubs, consulte Búsqueda proactiva de amenazas con búsqueda avanzada en Microsoft Defender.

Uso de la API de streaming con Azure Storage

Para configurar el streaming en Azure Storage, complete los pasos siguientes.

Habilitación del streaming de datos sin procesar

El streaming de datos sin procesar reenvía los datos de eventos de seguridad de Defender para Empresas directamente a la cuenta de Azure Storage, donde puede conservarlos y analizarlos. Para habilitar el streaming de datos sin procesar en Azure Storage, complete los pasos siguientes.

1. Vaya al portal de Microsoft Defender e inicie sesión.

2. Vaya a la página Configuración de exportación de datos en Microsoft Defender XDR.

3. Seleccione Agregar configuración de exportación de datos.

4. Elija un nombre para la nueva configuración.

5. Elija Reenviar eventos a Azure Storage.

6. Escriba el identificador de recurso de la cuenta de almacenamiento. Para obtener el ID. de recurso de la cuenta de almacenamiento, ve a la página de tu cuenta de almacenamiento en el portal de Azure. A continuación, en la pestaña Propiedades , copie el texto en Id. de recurso de la cuenta de almacenamiento.

7. Elija los eventos que desea transmitir y, a continuación, seleccione Guardar.

Visualización del esquema de eventos en Azure Storage

Se crea un contenedor de blobs para cada tipo de evento. En el ejemplo JSON siguiente se muestra el esquema de una sola fila de eventos escrita en Azure Storage. Cada fila incluye la marca de tiempo del evento, el identificador de inquilino, la categoría Búsqueda avanzada y los datos del evento en formato JSON:

{
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

Cada blob contiene varias filas. Cada fila contiene el nombre del evento, la hora a la que Defender para Empresas recibió el evento, la organización a la que pertenece el evento (solo verá eventos de su organización) y las propiedades del evento en formato JSON. Para obtener más información sobre los datos avanzados de eventos de búsqueda transmitidos a Azure Storage, consulte Búsqueda proactiva de amenazas con búsqueda avanzada en Microsoft Defender.

Contenido relacionado

• API de streaming de datos sin procesar en Defender para punto de conexión
• Introducción a la administración y las API