Guía de operaciones de seguridad de Microsoft Defender para punto de conexión

En este artículo se proporciona información general sobre los requisitos y las tareas para operar correctamente Microsoft Defender para punto de conexión en su organización. Estas tareas ayudan al centro de operaciones de seguridad (SOC) a detectar y responder eficazmente a las amenazas de seguridad detectadas por Microsoft Defender para punto de conexión.

En este artículo también se describen las tareas diarias, semanales, mensuales y ad hoc que el equipo de seguridad puede realizar para su organización.

Requisitos previos

Microsoft Defender for Endpoint debe configurarse para dar soporte a su proceso habitual de operaciones de seguridad. Aunque no se abordan en este documento, los siguientes artículos proporcionan información sobre configuración e instalación:

• Configurar la configuración general de Defender for Endpoint

  • General
  • Permisos
  • Reglas
  • Administración de dispositivos
  • Configurar la zona horaria en el Centro de seguridad de Microsoft Defender

• Configurar las notificaciones de incidentes de Microsoft Defender XDR

  Para obtener notificaciones por correo electrónico sobre incidentes de Microsoft Defender XDR definidos, se recomienda configurar las notificaciones por correo electrónico. Para obtener más información, consulte Notificaciones de incidentes por correo electrónico.

• Conexión a SIEM (Sentinel)

  Si tiene herramientas de administración de eventos e información de seguridad (SIEM) existentes, puede integrarlas con Microsoft Defender XDR. Para obtener más información, consulte Integración de las herramientas SIEM con Microsoft Defender XDR y Microsoft Defender XDR integración con Microsoft Sentinel.

• Revisión de la configuración de detección de datos

  Revise la configuración de detección de dispositivos Microsoft Defender para punto de conexión para asegurarse de que está configurada según sea necesario. Para obtener más información, consulte Introducción a la detección de dispositivos.

Actividades diarias

General

• Revisar acciones

  En el centro de acciones, revise las acciones que se han realizado en su entorno, tanto automatizadas como manuales. Esta información le ayuda a validar que la investigación y respuesta automatizada (AIR) funciona según lo esperado e identificar las acciones manuales que deben revisarse. Para obtener más información, vea Visitar el Centro de acciones para ver las acciones de corrección.

Equipo de operaciones de seguridad

• Supervise la cola de incidentes de Microsoft Defender XDR

  Cuando Microsoft Defender para punto de conexión identifica indicadores de compromiso (IOC) o indicadores de ataque (IOA) y genera una alerta, la alerta se incluye en un incidente y se muestra en la cola de Incidentes del portal de Microsoft Defender (https://security.microsoft.com).

  Revise estos incidentes para responder a las alertas de Microsoft Defender para punto de conexión y resolverlos una vez corregido el incidente. Para obtener más información, consulte Notificaciones de incidentes por correo electrónico y Ver y organizar la cola de incidentes de Microsoft Defender para punto de conexión.

• Gestionar detecciones de falsos positivos y falsos negativos

  Revise la cola de incidentes, identifique las detecciones de falsos positivos y falsos negativos y envíelas para su revisión. Esto le ayuda a administrar de forma eficaz las alertas en su entorno y a hacer que las alertas sean más eficaces. Para obtener más información, vea Abordar los falsos positivos y falsos negativos en Microsoft Defender para punto de conexión.

• Revisión de las amenazas de alto impacto del análisis de amenazas

  Revise el análisis de amenazas para identificar las campañas que afectan a su entorno. En la tabla "Amenazas de alto impacto" se enumeran las amenazas que han tenido el mayor impacto en la organización. En esta sección se clasifican las amenazas por el número de dispositivos que tienen alertas activas. Para obtener más información, consulte Seguimiento y respuesta a amenazas emergentes a través del análisis de amenazas.

Equipo de administración de seguridad

• Revisión de informes de estado

  Revise los informes de estado para identificar las tendencias de estado de los dispositivos que deben abordarse. Los informes de estado del dispositivo cubren Microsoft Defender para punto de conexión firma de AV, estado de la plataforma y estado de EDR. Para obtener más información, consulte Informes de estado del dispositivo en Microsoft Defender para punto de conexión.

• Comprobación del estado del sensor de detección y respuesta del punto de conexión (EDR)

  El estado de mantenimiento de EDR conserva la conexión con el servicio EDR para garantizar que Defender para punto de conexión reciba las señales necesarias para poder alertar e identificar vulnerabilidades.

  Revise los dispositivos incorrectos. Para obtener más información, consulte Estado del dispositivo, Estado del sensor & informe del sistema operativo.

• Comprobación del estado de Microsoft Defender Antivirus

  Ver el estado de las actualizaciones de Microsoft Defender Antivirus es fundamental para obtener el mejor rendimiento de Defender para punto de conexión en su entorno y detecciones actualizadas. La página estado del dispositivo muestra el estado actual de la plataforma, la inteligencia y la versión del motor. Para obtener más información, consulte el informe Estado del dispositivo, Microsoft Defender Antivirus.

Actividades semanales

General

• Centro de mensajes

  Microsoft Defender usa el centro de mensajes de Microsoft 365 para notificarle los próximos cambios, como las características nuevas y modificadas, el mantenimiento planeado u otros anuncios importantes.

  Revise los mensajes del Centro de mensajes para comprender los próximos cambios que afectan al entorno.

  Puede acceder a esta información en el Centro de administración de Microsoft 365 en la pestaña Estado. Para obtener más información, consulte Cómo comprobar el estado del servicio de Microsoft 365.

Equipo de operaciones de seguridad

• Revisión de los informes de amenazas

  Revise los informes de estado para identificar las tendencias en las amenazas a los dispositivos que deben abordarse. Para obtener más información, consulte Informe de protección contra amenazas.

• Revisión del análisis de amenazas

  Revise el análisis de amenazas para identificar las campañas que afectan a su entorno. Para obtener más información, consulte Seguimiento y respuesta a amenazas emergentes a través del análisis de amenazas.

Equipo de administración de seguridad

• Revisión del estado de amenazas y vulnerabilidades (TVM)

  Revise TVM para identificar las nuevas vulnerabilidades y recomendaciones que requieran acción. Para obtener más información, consulte Panel de administración de vulnerabilidades.

• Revisión de los informes de reducción de la superficie expuesta a ataques

  Revise los informes de ASR para identificar los archivos que afectan al entorno. Para obtener más información, vea Informe de reglas de reducción de superficie expuesta a ataques (ASR).

• Revisión de eventos de protección web

  Revise el informe de defensa web para identificar las direcciones IP o direcciones URL que están bloqueadas. Para obtener más información, consulte Protección web.

Actividades mensuales

General

Revise los siguientes artículos para comprender las actualizaciones publicadas recientemente:

• Novedades de Microsoft Defender para punto de conexión
• Versiones de Microsoft Defender para punto de conexión

Equipo de administración de seguridad

• Revisar el dispositivo excluido de la política

  Si se excluye algún dispositivo de las directivas de Defender para punto de conexión, revise y determine si el dispositivo todavía debe excluirse de la directiva.

  Nota:

  Revise el modo de solución de problemas para solucionar problemas. Para más información, consulte Habilitar y usar el modo de resolución de problemas en Microsoft Defender para punto de conexión.

Periódicamente

Estas tareas se consideran mantenimiento de la posición de seguridad y son fundamentales para la protección continua. Pero como pueden tardar tiempo y esfuerzo, se recomienda establecer una programación estándar que pueda mantener para realizar estas tareas.

• Revisar exclusiones

  Revise las exclusiones que se han establecido en su entorno para confirmar que no ha creado una brecha de protección mediante la exclusión de elementos que ya no son necesarios para excluirse.

• Revisión de las configuraciones de directivas de Defender

  Revise periódicamente los valores de configuración de Defender para confirmar que se establecen según sea necesario.

• Revisión de los niveles de automatización

  Revise los niveles de automatización en las funcionalidades automatizadas de investigación y corrección. Para obtener más información, consulte Niveles de automatización en investigación y corrección automatizadas.

• Revisión de detecciones personalizadas

  Revise periódicamente si las detecciones personalizadas que se han creado siguen siendo válidas y eficaces. Para obtener más información, consulte Revisar la detección personalizada.

• Revisión de la supresión de alertas

  Revise periódicamente las reglas de supresión de alertas que se hayan creado para confirmar que siguen siendo necesarias y válidas. Para obtener más información, consulte Revisión de la supresión de alertas.

Solución de problemas

En los artículos siguientes se proporcionan instrucciones para solucionar los errores que puede experimentar al configurar el servicio de Microsoft Defender para punto de conexión.

• Solución de problemas del estado del sensor
• Solucionar problemas de estado del sensor mediante el Analizador de cliente
• Solucionar problemas de respuesta en vivo
• Recopilar registros de soporte técnico con LiveAnalyzer
• Solucionar problemas de reducción de la superficie de ataque
• Solucionar problemas de incorporación