Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Sugerencia
¿Sabía que puede probar las características de Microsoft Defender para Office 365 Plan 2 de forma gratuita? Use la prueba de 90 días de Defender para Office 365 en el Centro de pruebas del portal de Microsoft Defender. Obtenga información sobre quién puede registrarse y probar los términos en Probar Microsoft Defender para Office 365.
En este artículo se explica cómo integrar un servidor de administración de eventos e información de seguridad (SIEM) con servicios y aplicaciones de Microsoft 365. Trata los métodos de integración disponibles, los requisitos previos de registro de auditoría y las instrucciones paso a paso para conectar Microsoft Sentinel a los datos de Microsoft 365 Defender.
Resumen
¿Su organización usa o planea obtener un servidor de administración de eventos e información de seguridad (SIEM)? Es posible que se pregunte cómo se integra con Microsoft 365 o Office 365. En este artículo se proporciona una lista de recursos que puede usar para integrar el servidor SIEM con aplicaciones y servicios de Microsoft 365.
Sugerencia
Si aún no tienes un servidor SIEM y estás explorando tus opciones, considera Microsoft Sentinel.
¿Necesito un servidor SIEM?
Si necesita un servidor SIEM depende de muchos factores, como los requisitos de seguridad de su organización y dónde residen los datos. Microsoft 365 incluye una amplia variedad de características de seguridad que satisfacen las necesidades de seguridad de muchas organizaciones sin servidores adicionales, como un servidor SIEM. Algunas organizaciones tienen circunstancias especiales que requieren el uso de un servidor SIEM. Estos son algunos ejemplos:
- Fabrikam tiene contenido y aplicaciones locales, y otras en la nube (tienen una implementación de nube híbrida). Para obtener informes de seguridad de todo su contenido y aplicaciones, Fabrikam implementó un servidor SIEM.
- Contoso es una organización de servicios financieros que tiene estrictos requisitos de seguridad. Agregaron un servidor SIEM a su entorno para aprovechar las protecciones de seguridad adicionales que requieren.
Integración del servidor SIEM con Microsoft 365
Un servidor SIEM puede recibir datos de una amplia variedad de servicios y aplicaciones de Microsoft 365. En la tabla siguiente se enumeran varios servicios y aplicaciones de Microsoft 365, junto con entradas y recursos del servidor SIEM para obtener más información.
| Servicio o aplicación de Microsoft 365 | Métodos o entradas del servidor SIEM | Recursos para obtener más información |
|---|---|---|
| Microsoft Defender para Office 365 | Registros de auditoría | Integración de SIEM con Microsoft Defender para Office 365 |
| Microsoft Defender para el punto de conexión | Punto de conexión HTTPS hospedado en Azure API de REST |
Lleva las alertas a tus herramientas SIEM |
| Microsoft Defender para aplicaciones en la nube | Integración de registros | Integración de SIEM con Microsoft Defender for Cloud Apps |
Sugerencia
Eche un vistazo a Microsoft Sentinel. Microsoft Sentinel incluye conectores para soluciones de Microsoft. Estos conectores están disponibles "de forma inmediata" y proporcionan integración en tiempo real. Puede usar Microsoft Sentinel con sus soluciones de Microsoft Defender XDR y servicios de Microsoft 365, incluidos Office 365, Microsoft Entra ID, Microsoft Defender for Identity, Microsoft Defender for Cloud Apps, y mucho más.
El registro de auditoría debe estar activado
Asegúrese de que el registro de auditoría está activado antes de configurar la integración del servidor SIEM:
- Para SharePoint, OneDrive y Microsoft Entra ID, vea Activar o desactivar la auditoría.
- Para Exchange Online, consulte Administrar la auditoría de buzones.
Pasos de integración si tu SIEM es Microsoft Sentinel
Compruebe los siguientes requisitos:
- La suscripción actual de Microsoft 365 (por ejemplo, Microsoft Defender para Office 365 Plan 2) permite la integración Microsoft Sentinel.
- Su cuenta en Microsoft Defender para Office 365 o Microsoft Defender es un administrador de seguridad.
- Compruebe que tiene permisos de escritura en Microsoft Sentinel.
Conectar Microsoft Sentinel a los datos de Microsoft Defender para Office 365
Utiliza los siguientes pasos para conectar el conector Microsoft Defender XDR en Microsoft Sentinel y transmitir los datos de eventos de correo electrónico desde Microsoft Defender para Office 365 a tu SIEM.
Vaya a Microsoft Sentinel.
En el panel de navegación izquierdo, seleccione Configuración>Conectores de datos.
Busque Microsoft Defender XDR y seleccione el conector Microsoft Defender XDR (versión preliminar).
A la derecha de la pantalla, seleccione Abrir página del conector.
En Configuración> , seleccione Conectar incidentes & alertas
Desactive todas las reglas de creación de incidentes de Microsoft para los productos seleccionados actualmente.
Desplácese hasta Microsoft Defender para Office 365 en la sección Connect events (Conectar eventos) de la página.
También puedes elegir tablas de cualquier otro producto de Microsoft Defender que te resulte útil y aplicable antes de seleccionar Aplicar cambios:
Seleccione EmailEvents, EmailUrlInfo, EmailAttachmentInfo y EmailPostDeliveryEvents> y Aplicar cambios.