Configuración de la detección de dispositivos en Microsoft Defender para punto de conexión

  • Se aplica a: Microsoft Defender for Endpoint Plan 2

Puedes configurar el descubrimiento de dispositivos para identificar dispositivos no gestionados en las redes de tu organización, evaluar su postura de seguridad y determinar qué dispositivos necesitan protección. Elige detección básica o estándar, selecciona los dispositivos integrados que realizan escaneos activos, excluye objetivos sensibles y gestiona redes monitorizadas.

Antes de empezar, revisa los sistemas operativos compatibles y los permisos requeridos en Prerrequisitos.

Prerequisites

Asegúrate de que tu entorno cumpla con los siguientes requisitos:

  • Una suscripción a Microsoft Defender para punto de conexión Plan 2.
  • Dispositivos de escaneo incorporados que ejecutan un sistema operativo compatible.
  • Una cuenta con permiso para gestionar Defender para la configuración de seguridad de Endpoint. Para más información, consulta las opciones de permisos.
  • Etiquetas de dispositivo asignadas a los dispositivos escáner si planeas limitar el descubrimiento estándar a dispositivos etiquetados.

Configura la detección de dispositivos

En la página de descubrimiento de dispositivos en el portal de Microsoft Defender en https://security.microsoft.com/settings/device-discovery, configura el modo de descubrimiento:

  1. En modo Descubrimiento, selecciona una de las siguientes opciones:

    • Descubrimiento estándar (recomendado): Utiliza observación pasiva, protocolos comunes de descubrimiento, consultas multicast y escaneo activo para proporcionar un inventario más completo del dispositivo.
    • Básico: Observa pasivamente el tráfico de red sin sondear activamente los dispositivos. Utiliza este modo para redes sensibles o heredadas donde el escaneo activo no sea apropiado.

  2. Si seleccionas detección estándar, elige qué dispositivos a bordo realizan escaneos activos:

    • Todos los dispositivos (recomendados): Utiliza todos los dispositivos integrados que soporten el descubrimiento de dispositivos.
    • Seleccionar etiquetas: Usa solo dispositivos con las etiquetas seleccionadas. Esta opción es útil cuando quieres dispositivos escáner en segmentos de red específicos.

  3. Haga clic en Guardar.

Sugerencia

El modo de descubrimiento estándar es el predeterminado y recomendado porque proporciona detalles más ricos del dispositivo. Puedes cambiar al descubrimiento básico cuando el sondeo activo no sea apropiado. Para obtener más información, consulte Modos de descubrimiento y análisis.

Controlar qué dispositivos realizan la detección estándar

Los dispositivos seleccionados en Configurar el descubrimiento de dispositivos actúan como escáneres para el descubrimiento estándar:

  • Selecciona Todos los dispositivos (recomendado) para usar todos los dispositivos integrados que permitan el descubrimiento de dispositivos.
  • Selecciona Seleccionar etiquetas para usar solo dispositivos a bordo con las etiquetas especificadas. Los dispositivos incorporados fuera de las etiquetas seleccionadas continúan realizando el descubrimiento básico.

Excluir dispositivos de la detección estándar

Excluye direcciones IP o subredes cuando el escaneo activo pueda interferir con dispositivos sensibles, señuelos de red u otras herramientas de seguridad. Las exclusiones detienen los escaneos activos, pero no impiden el descubrimiento pasivo ni el de multidifusión.

Para excluir un dispositivo:

  1. En la página de descubrimiento de dispositivos en el portal de Microsoft Defender, https://security.microsoft.com/settings/device-discoveryselecciona Exclusiones.
  2. Seleccione Agregar exclusión.
  3. En la página de Añadir exclusión , introduce la dirección IP o subred para excluirla de los escaneos estándar.
  4. Introduce una descripción para la exclusión.
  5. Haga clic en Guardar.

La exclusión aparece en la lista de Exclusiones . Selecciona una exclusión para verla, editarla o eliminarla.

Nota:

  • Es posible que los dispositivos excluidos sigan respondiendo a los intentos de descubrimiento por multidifusión en la red. Estos dispositivos se detectan, pero no se examinan activamente.
  • El descubrimiento pasivo puede identificar cualquier dispositivo que se comunique con un dispositivo integrado en una red monitorizada. Las exclusiones solo se aplican a los escaneos de descubrimiento estándar activos.

Visualización y administración de redes supervisadas

La pestaña Redes monitorizadas lista las redes detectadas por dispositivos a bordo y muestra si el descubrimiento de dispositivos monitoriza o ignora cada red.

Por defecto, Defender for Endpoint monitoriza automáticamente las redes identificadas como corporativas e ignora las redes no corporativas. La página muestra hasta 50 redes, ordenadas por el número de dispositivos vistos en cada red durante los siete días anteriores.

Para información sobre cómo Defender for Endpoint identifica redes corporativas, véase Redes monitorizadas.

Administración de redes supervisadas

Puedes anular el estado de monitorización asignado automáticamente a una red. Antes de monitorizar una red identificada como no corporativa, confirma que tu organización tiene permiso para descubrir dispositivos en esa red.

En la página de Descubrimiento de dispositivos en el portal de Microsoft Defender, https://security.microsoft.com/settings/device-discoveryselecciona Redes monitorizadas, selecciona el menú de tres puntos junto a la red y selecciona una de las siguientes opciones:

Opción Descripción Resultado
Supervisión de esta red Monitoriza una red que Defender para Endpoint no monitoriza automáticamente. El descubrimiento de dispositivos puede identificar dispositivos fuera de tu red corporativa, incluyendo dispositivos domésticos u otros dispositivos no corporativos.
Ignorar esta red de la supervisión Deja de monitorizar y descubrir dispositivos en la red. Los dispositivos descubiertos anteriormente permanecen en inventario pero no se actualizan. Sus datos permanecen hasta que expire el periodo de retención de datos de Defender for Endpoint.
Supervisión automática Usa la clasificación de red corporativa de Defender for Endpoint para determinar si se debe supervisar la red. Las redes identificadas como corporativas se monitorizan automáticamente.

Importante

Monitorizar una red que Defender for Endpoint identifica como no corporativa puede descubrir dispositivos domésticos u otros dispositivos no corporativos. Confirma que tienes permiso para descubrir dispositivos en la red antes de monitorizarlo.

Filtrar lista de redes

En la pestaña Redes monitorizadas , seleccione Filtro, seleccione Estado del monitor de red, elija uno de los siguientes estados y luego seleccione Aplicar:

  • Supervisado: redes en las que está activa la detección de dispositivos.
  • Omitido: redes en las que la detección de dispositivos no está activa.
  • Todos: Redes monitorizadas e ignoradas.

Revisión y evaluación de dispositivos

Para revisar y evaluar dispositivos no incorporados y buscar otros detalles del dispositivo, consulte Revisión y evaluación de dispositivos.

Deshabilitación de la detección de dispositivos

En la página Otras opciones del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/integration, establece Detección de dispositivos en Desactivado y, a continuación, selecciona Guardar preferencias. Para más información sobre el escenario, consulta Características avanzadas.

Desactivar el descubrimiento de dispositivos impide que Defender for Endpoint descubra dispositivos en tus redes. El proceso del sensor de detección y respuesta de red, SenseNDR.exe, sigue ejecutándose en los dispositivos integrados.

Solucionar problemas de detección de dispositivos

Si tiene problemas con la detección de dispositivos o los exámenes de red autenticados, consulte Solución de problemas de detección de dispositivos y exámenes de red autenticados.

Explorar dispositivos en la red

Utiliza la DeviceNetworkInfo tabla para identificar los dispositivos a bordo que se conectaron a una red que aparece en la lista de Redes Monitorizadas durante los siete días anteriores. Para detalles de tablas y columnas, consulta la referencia de la tabla DeviceNetworkInfo.

DeviceNetworkInfo
| where Timestamp > ago(7d)
| where ConnectedNetworks  != ""
| extend ConnectedNetworksExp = parse_json(ConnectedNetworks)
| mv-expand bagexpansion = array ConnectedNetworks=ConnectedNetworksExp
| extend NetworkName = tostring(ConnectedNetworks ["Name"]), Description = tostring(ConnectedNetworks ["Description"]), NetworkCategory = tostring(ConnectedNetworks ["Category"])
| where NetworkName == "<your network name here>"
| summarize arg_max(Timestamp, *) by DeviceId

Obtener información sobre un dispositivo

Utiliza la DeviceInfo tabla para devolver el registro disponible más reciente para cada ID de dispositivo asociado a un nombre especificado. Puedes usar los IDs de los dispositivos devueltos y los detalles de la plataforma en consultas de búsqueda posteriores. Para detalles de tablas y columnas, consulta la referencia de la tabla DeviceInfo.

DeviceInfo
| where DeviceName == "<device name here>" and isnotempty(OSPlatform)
| summarize arg_max(Timestamp, *) by DeviceId

Contenido relacionado

  • Se actualizó por última vez el