Administración de la detección de dispositivos en Microsoft Defender para punto de conexión

  • Se aplica a: Microsoft Defender for Endpoint Plan 2

La detección de dispositivos le permite mejorar la visibilidad de los dispositivos no administrados, evaluar su posición de seguridad y realizar las acciones adecuadas para protegerlos.

En este artículo se describe cómo configurar y configurar la detección de dispositivos en Microsoft Defender para punto de conexión.

Obtenga información sobre los sistemas operativos admitidos para la detección de dispositivos.

Configura la detección de dispositivos

Para configurar la detección de dispositivos:

  1. En el portal de Microsoft Defender, vaya a Configuración>Detección de dispositivos.

  2. Si ha seleccionado usar la detección estándar, seleccione qué dispositivos usar para el examen activo:

    • Seleccione todos los dispositivos (recomendados) para examinar todos los dispositivos.
    • Seleccione Seleccionar etiquetas para examinar por etiquetas de dispositivo y, en la página Etiquetas , seleccione las etiquetas. Esta opción es útil para examinar dispositivos en una subred específica.

    Sugerencia

    Aunque estándar es el modo recomendado, puede cambiar al modo básico si es necesario. Para obtener más información, consulte Modos de descubrimiento y análisis.

  3. Haga clic en Guardar.

Controlar qué dispositivos realizan la detección estándar

Puede personalizar la lista de dispositivos usados para realizar la detección estándar de cualquiera de estas maneras:

  • Habilite la detección estándar en todos los dispositivos incorporados que admiten la detección de dispositivos.
  • Seleccione un subconjunto o subconjuntos de sus dispositivos usando etiquetas de dispositivo (consulte Configurar la detección de dispositivos). Al seleccionar subconjuntos de dispositivos que usan etiquetas de dispositivo, todos los demás dispositivos solo ejecutan la detección básica.

Excluir dispositivos de la detección estándar

Es posible que quiera excluir determinados dispositivos de la red de los exámenes activos, por ejemplo, los dispositivos que se usan como honeypots para otra herramienta de seguridad.

Es posible que los dispositivos excluidos aun así se detecten mediante la detección básica o por intentos de detección por multidifusión. Defender for Endpoint detecta pasivamente estos dispositivos, pero no los examina activamente.

Para excluir un dispositivo:

  1. En la configuración de detección de dispositivos, seleccione Exclusiones.
  2. Seleccione Agregar exclusión y, en la página Agregar exclusión , agregue direcciones IP o subredes para excluir de los exámenes estándar.
  3. Agregue una descripción para la exclusión.
  4. Haga clic en Guardar.

La exclusión está visible en la lista Exclusiones . Puede seleccionar una exclusión en la lista para ver los detalles de exclusión, editar o eliminar la exclusión.

Nota:

  • Es posible que los dispositivos excluidos sigan respondiendo a los intentos de descubrimiento por multidifusión en la red. Estos dispositivos se detectan, pero no se examinan activamente.
  • Dado que la detección de dispositivos usa métodos pasivos para detectar dispositivos en la red, cualquier dispositivo que se comunique con los dispositivos incorporados en la red corporativa se puede detectar y enumerar en el inventario. Solo puedes excluir dispositivos del descubrimiento activo.

Visualización y administración de redes supervisadas

La página Redes supervisadas muestra una lista de redes en las que está activa la detección de dispositivos.

De forma predeterminada, Defender para punto de conexión supervisa automáticamente las redes que se identifican como redes corporativas e ignora las redes no corporativas.

La lista ordena las redes en función del número total de dispositivos vistos en la red en los últimos siete días. Si se identifican menos de 50 redes como redes corporativas, la lista Redes supervisadas muestra hasta 50 redes con los dispositivos más incorporados.

Administración de redes supervisadas

Es posible que quiera supervisar una red, por ejemplo, si tiene una nueva oficina corporativa o un sitio remoto que desea incluir en la detección de dispositivos. Para obtener más información, consulte Redes supervisadas.

Para administrar redes supervisadas, en la configuración de detección de dispositivos, seleccione Redes supervisadas, seleccione los tres puntos junto a un nombre de una red y seleccione una de las siguientes opciones.

Opción Descripción Notas
Supervisión de esta red Supervisa una red que Defender para punto de conexión no supervisa de forma predeterminada. La supervisión de una red no identificada como corporativa puede desencadenar la detección de dispositivos fuera de la red corporativa, incluidos los dispositivos domésticos u otros dispositivos no corporativos. Asegúrese de que tiene permiso antes de supervisar redes no corporativas.
Ignorar esta red de la supervisión Detiene la supervisión y el descubrimiento de dispositivos en la red. Los dispositivos detectados permanecen en el inventario, pero ya no se actualizan. Los detalles se conservan hasta que expire el período de retención de datos de Defender para Endpoint.
Supervisión automática Supervisa automáticamente una red que se identifica como corporativa.

Importante

  • Optar por supervisar una red que Microsoft Defender para punto de conexión no identificó como red corporativa puede hacer que se detecten dispositivos fuera de su red corporativa y, por lo tanto, dispositivos domésticos u otros dispositivos no corporativos.
  • Al elegir omitir una red, se detiene la supervisión y la detección de dispositivos en esa red. Los dispositivos que ya se detectaron no se quitarán del inventario, pero ya no se actualizarán, y los detalles se conservarán hasta que expire el período de retención de datos de Defender para punto de conexión.
  • Antes de elegir supervisar redes no corporativas, debe asegurarse de que tiene permiso para hacerlo.

Filtrar lista de redes

Para filtrar la lista de red, seleccione Filtrar, seleccione el filtro Estado del monitor de red y seleccione Aplicar. En la lista de red, seleccione el filtro Estado del monitor de red y seleccione un estado:

  • Supervisado: redes en las que está activa la detección de dispositivos.
  • Omitido: redes en las que la detección de dispositivos no está activa.
  • Todo: muestra las redes supervisadas e ignoradas.

Revisión y evaluación de dispositivos

Para revisar y evaluar dispositivos no incorporados y buscar otros detalles del dispositivo, consulte Revisión y evaluación de dispositivos.

Deshabilitación de la detección de dispositivos

Puede deshabilitar la detección de dispositivos en la página Características avanzadas . Al deshabilitar la detección de dispositivos, Defender para punto de conexión no detecta dispositivos en la red, pero SenseNDR.exe (el proceso del sensor de detección y respuesta de red) todavía se ejecuta en los dispositivos incorporados.

Solucionar problemas

Si tiene problemas con la detección de dispositivos o los exámenes de red autenticados, consulte Solución de problemas de detección de dispositivos y exámenes de red autenticados.

Explorar dispositivos en la red

Puede usar la siguiente consulta de búsqueda avanzada para obtener más contexto sobre cada nombre de red que se muestra en la lista Redes supervisadas . La consulta enumera todos los dispositivos incorporados que se conectaron a una red determinada en los últimos siete días.

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

Obtener información sobre un dispositivo

Puede usar la siguiente consulta de búsqueda avanzada para obtener la información completa más reciente en un dispositivo específico. La consulta resuelve el nombre de un dispositivo a su DeviceId más reciente y a los detalles de la plataforma, que puede utilizar en consultas de búsqueda posteriores.

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

Vea también

  • Last updated on