Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
La cola de alertas muestra una lista de alertas marcadas desde dispositivos de su red. De forma predeterminada, la cola muestra las alertas vistas en los últimos siete días en una vista agrupada. Las alertas más recientes aparecen en la parte superior de la lista.
Nota
Las alertas se reducen significativamente con la investigación y remediación automatizadas. Esta práctica permite a los expertos en operaciones de seguridad centrarse en amenazas más sofisticadas y otras iniciativas de alto valor.
Cuando una alerta contiene una entidad soportada para la investigación automatizada, como un archivo, en un dispositivo que cuenta con un sistema operativo compatible para ella, se pueden iniciar la investigación y remediación automatizadas. Para obtener más información, consulte Descripción general de las investigaciones automatizadas.
Hay varias opciones entre las que puede elegir para personalizar la vista de alertas.
En la navegación superior, puede hacer lo siguiente:
- Personalizar columnas para agregar o quitar columnas
- Aplicar filtros
- Mostrar las alertas durante una duración determinada, como 1 día, 3 días, 1 semana, 30 días y 6 meses
- Exportar la lista de alertas a Excel
- Administrar alertas
Ordenar y filtrar alertas
Puede aplicar los siguientes filtros para limitar la lista de alertas y obtener una vista más centrada de las alertas.
Gravedad
| Gravedad de la alerta | Descripción |
|---|---|
| Alto (Rojo) |
Alertas que se suelen ver asociadas a amenazas persistentes avanzadas (APT). Estas alertas indican un alto riesgo debido a la gravedad de los daños que pueden infligir en los dispositivos. Algunos ejemplos son: actividades de herramientas de robo de credenciales, actividades de ransomware no asociadas a ningún grupo, manipulación de sensores de seguridad o cualquier actividad malintencionada indicativa de un adversario humano. |
| Medio (Naranja) |
Las alertas procedentes de la detección y respuesta en puntos de conexión sobre comportamientos posteriores a una brecha que podrían formar parte de una amenaza persistente avanzada (APT). Estos comportamientos incluyen comportamientos observados típicos de las etapas de ataque, cambios anómalos en el registro y ejecución de archivos sospechosos. Aunque algunos puedan formar parte de pruebas internas de seguridad, esta gravedad requiere investigación porque también podría formar parte de un ataque avanzado. |
| Bajo (Amarillo) |
Alertas sobre amenazas asociadas a malware prevalente. Por ejemplo, herramientas de piratería, herramientas de piratería que no son malware, como la ejecución de comandos de exploración y el borrado de registros, que a menudo no indican una amenaza avanzada dirigida a la organización. Este nivel también podría provenir de pruebas con una herramienta de seguridad aislada realizadas por un usuario de tu organización. |
| Informativo (Gris) |
Alertas que podrían no considerarse perjudiciales para la red, pero que pueden concienciar a la organización sobre posibles problemas de seguridad. |
Comprender la gravedad de la alerta
Los niveles de gravedad de las alertas de Microsoft Defender Antivirus y Defender for Endpoint son diferentes porque representan ámbitos distintos.
- La gravedad de la amenaza del antivirus Microsoft Defender representa la gravedad absoluta de la amenaza detectada (malware). Se asignan en función del riesgo potencial para el dispositivo concreto, en caso de infección.
- La severidad de alerta de Defender for Endpoint representa la gravedad del comportamiento detectado, que es el riesgo real para el dispositivo pero, más importante aún, el riesgo potencial para la organización.
Por ejemplo:
- La gravedad de una alerta de Defender for Endpoint sobre una amenaza detectada por Microsoft Defender Antivirus que fue prevenida y no infectó el dispositivo se clasifica como Informativa porque no hubo daños reales.
- El malware comercial detectado durante la ejecución pero bloqueado y remediado por Microsoft Defender Antivirus genera una alerta baja porque podría haber causado daños en el dispositivo individual, pero no supone una amenaza organizativa.
- El malware detectado mientras se ejecuta y que puede suponer una amenaza tanto para el dispositivo individual como para la organización puede clasificarse como Medio o Alto, independientemente de si finalmente es bloqueado.
- Las alertas de comportamiento sospechoso, que no fueron bloqueadas ni remediadas, se clasifican como Bajo, Medio o Alto siguiendo las mismas consideraciones organizativas de amenaza.
Estado
Puedes elegir filtrar la lista de alertas según su estado.
Nota
Si ves un estado de alerta Tipo de alerta no compatible, significa que las capacidades de investigación automatizada no pueden detectar esa alerta para ejecutar una investigación automatizada. Puedes investigar estas alertas manualmente.
Categorías
Microsoft ha redefinido las categorías de alertas para alinearlas con las tácticas de ataque empresarial de la matriz MITRE ATT&CK. Los nuevos nombres de categoría se aplican a todas las alertas nuevas. Las alertas existentes mantienen los nombres de categorías anteriores.
Orígenes del servicio
Puede filtrar las alertas en función de los siguientes orígenes de servicio:
- Microsoft Defender for Identity
- Microsoft Defender para aplicaciones en la nube
- Microsoft Defender para punto de conexión
- Microsoft Defender XDR
- Microsoft Defender para Office 365
- Gobernanza de aplicaciones
- Protección de Microsoft Entra ID
Los clientes de Microsoft Endpoint Notification ahora pueden filtrar y ver las detecciones del servicio filtrando por Microsoft Defender Experts, anidado bajo la fuente de servicio Microsoft Defender para punto de conexión.
Nota
El filtro Antivirus solo aparece si los dispositivos utilizan Microsoft Defender Antivirus como el producto antimalware de protección en tiempo real por defecto.
Etiquetas
Puede filtrar las alertas en función de las etiquetas asignadas a las alertas.
Política
Puede filtrar las alertas en función de las siguientes directivas:
| Origen de detección | valor de la API |
|---|---|
| Sensores de terceros | ThirdPartySensors |
| Antivirus | WindowsDefenderAv |
| Investigación automatizada | AutomatedInvestigation |
| Detección personalizada | CustomDetection |
| TI personalizado | CustomerTI |
| EDR | WindowsDefenderAtp |
| Microsoft Defender XDR | MTP |
| Microsoft Defender para Office 365 | OfficeATP |
| Expertos de Microsoft Defender | ThreatExperts |
| SmartScreen | WindowsDefenderSmartScreen |
Entidades
Puede filtrar las alertas en función del nombre o el identificador de entidad.
Estado de investigación automatizada
Puede elegir filtrar las alertas en función de su estado de investigación automatizado.
Contenido relacionado
- Administrar alertas de Microsoft Defender para Endpoint
- Investigar alertas de Microsoft Defender para punto de conexión
- Investigar un archivo asociado a una alerta de Microsoft Defender para punto de conexión
- Investigar dispositivos en la lista de dispositivos de Microsoft Defender para punto de conexión
- Investigación de una dirección IP asociada a una alerta de Microsoft Defender para punto de conexión
- Investigar un dominio asociado a una alerta de Microsoft Defender para punto de conexión
- Investigar una cuenta de usuario en Microsoft Defender para punto de conexión