Tema 7 de 8
Defender for Cloud Apps y Defender for Identity
Los empleados usan cientos de apps SaaS, muchas sin que TI lo sepa, y la mayoría de las empresas sigue teniendo un Active Directory local que los atacantes adoran. Defender for Cloud Apps vigila las apps en la nube y Defender for Identity vigila el AD local. El examen insiste en no confundirlos entre sí ni con Entra ID Protection.
Contenido
- Defender for Cloud Apps
- El marco de Cloud Apps
- Cómo se conecta a las apps
- Descubrir el shadow IT
- Proteger datos y detectar amenazas
- App governance y agentes de IA
- Defender for Identity
- Prevenir, detectar, investigar, responder
- Defender for Identity frente a ID Protection
- Escenarios de examen
- Trampas frecuentes del examen
Defender for Cloud Apps
Es una solución SaaS integral que da visibilidad y control sobre las aplicaciones en la nube. Combina varias capacidades:
CASB
Agente de seguridad de acceso a la nube (cloud access security broker): un intermediario entre los usuarios y las apps en la nube que aplica las directivas de seguridad de la organización.
SSPM
Gestión de la postura de seguridad de SaaS: recomendaciones de configuración basadas en el benchmark de CIS para apps conectadas, que se reflejan en Microsoft Secure Score.
Protección avanzada contra amenazas
Control de acceso adaptativo y análisis del comportamiento de usuarios y entidades (UEBA) para detectar actividad anómala.
Protección de apps a apps
App governance para apps OAuth y protección de agentes de IA.
En el portal de Defender tiene su nodo Aplicaciones en la nube: Cloud Discovery, catálogo de apps, app governance, registros de actividad y de gobernanza, y directivas.
El marco de Cloud Apps
Descubrir y controlar el shadow IT: Identificar las apps que se usan, su riesgo y quién las usa, y decidir cuáles se permiten.
Proteger la información confidencial: Encontrar, clasificar y proteger datos sensibles dentro de las apps, con etiquetas y DLP.
Proteger frente a amenazas y anomalías: Detectar comportamiento inusual, cuentas comprometidas y malware en apps en la nube.
Evaluar el cumplimiento de las apps: Comprobar si las apps cumplen normativas y estándares del sector.
Cómo se conecta a las apps
| Método | Cómo funciona | Para qué |
|---|---|---|
| Análisis de tráfico | Logs de firewalls y proxies, o señales de Defender for Endpoint | Descubrir qué apps se usan (Cloud Discovery) |
| Conectores de API | Conexión directa con la API de la app (Microsoft 365, Google Workspace, Salesforce…) | Ver actividad, archivos y configuración; aplicar acciones de gobernanza |
| Control de sesión | Conditional Access App Control: la sesión del navegador pasa por Cloud Apps (proxy inverso; en Edge, protección integrada en el navegador) | Control en tiempo real: bloquear descargas, copiar o pegar |
Descubrir el shadow IT
El shadow IT son las apps que los empleados usan sin aprobación: un servicio para compartir archivos, un editor de PDF en línea, una herramienta de IA. Cada una puede ser una fuga de datos. Cloud Apps sigue tres pasos:
1. Identificar
Analiza el tráfico y lo compara con el catálogo de apps en la nube de Microsoft.
2. Evaluar
Cada app tiene una puntuación de riesgo basada en más de 90 factores: seguridad, cumplimiento (SOC 2, GDPR…) y aspectos legales.
3. Gestionar
Marcar apps como autorizadas o no autorizadas y crear directivas que alerten sobre uso de riesgo.
Proteger datos y detectar amenazas
- Protección de la información: aplica etiquetas de confidencialidad, bloquea descargas a dispositivos no administrados y quita colaboradores externos de archivos sensibles. Se integra con Microsoft Purview DLP.
- Detección de anomalías: viaje imposible, actividad desde un país poco frecuente, descargas o eliminaciones masivas inusuales, varios inicios de sesión fallidos.
- Directivas: de actividad, de detección de anomalías, de acceso, de sesión, de descubrimiento de apps y de archivos, más directivas integradas para apps OAuth y malware. Las directivas de archivos se retiran el 6 de enero de 2027 y se migran a DLP o al etiquetado automático de Purview.
App governance y agentes de IA
Muchas apps no las usa una persona sino otra app: una integración que lee el correo vía OAuth, por ejemplo. App governance supervisa las apps OAuth registradas en Microsoft Entra ID, Google y Salesforce: qué permisos tienen, a qué datos acceden y si se comportan de forma anómala.
Cloud Apps también ofrece protección de agentes de IA creados con Copilot Studio, para detectar y bloquear actividad de riesgo de esos agentes.
Defender for Identity
Solución de seguridad de identidades (ITDR, identity threat detection and response) que usa las señales del Active Directory local, de Entra ID y de otros sistemas de identidad como Okta para identificar, detectar e investigar amenazas avanzadas, identidades comprometidas y acciones internas maliciosas.
Cómo funciona
Instala sensores en los controladores de dominio, en servidores AD FS y en servidores AD CS. Los sensores analizan el tráfico y los eventos localmente y solo envían a la nube la información ya procesada.
Prevenir, detectar, investigar, responder
Prevenir
Evaluaciones de postura de identidad (aparecen en Secure Score) y rutas de movimiento lateral: muestran cómo un atacante podría saltar de una cuenta normal a una cuenta sensible.
Detectar
Alertas a lo largo de la cadena de ataque: reconocimiento, credenciales comprometidas, movimiento lateral y dominio del dominio.
Investigar
Cronología del ataque y contexto de cada alerta en el portal de Defender, correlacionada con el resto de la suite.
Responder
Acciones sobre la cuenta en el AD: deshabilitar el usuario o forzar el restablecimiento de la contraseña.
| Fase del ataque | Ejemplos que detecta |
|---|---|
| Reconocimiento | Enumeración de usuarios, grupos y equipos; consultas LDAP o DNS sospechosas |
| Credenciales comprometidas | Fuerza bruta, Kerberoasting, inicios de sesión anómalos |
| Movimiento lateral | Pass-the-hash, pass-the-ticket |
| Dominio del dominio | Golden ticket, DCSync, replicación maliciosa |
En el portal, el nodo Identidades agrupa el panel, los problemas de estado de los sensores y las herramientas.
Defender for Identity frente a ID Protection
| Defender for Identity | Entra ID Protection | Defender for Cloud Apps | |
|---|---|---|---|
| Protege | Identidades, sobre todo del AD local | Inicios de sesión en Entra ID | Uso de apps SaaS |
| Señal | Sensores en controladores de dominio | Riesgo de usuario y de inicio de sesión | Tráfico, API y proxy |
| Ejemplo | Pass-the-ticket | Credenciales filtradas, IP anónima | Descarga masiva en Box |
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Saber qué apps en la nube usan los empleados sin aprobación de TI | Cloud Discovery (Cloud Apps) | Analiza el tráfico y lo compara con el catálogo. |
| Evaluar si una app SaaS cumple SOC 2 o GDPR antes de aprobarla | Catálogo de apps en la nube | Más de 90 factores de riesgo por app. |
| Bloquear descargas desde dispositivos no administrados en tiempo real | Control de sesión (proxy inverso) | Conditional Access App Control. |
| Detectar una app OAuth con permisos excesivos sobre el correo | App governance | Supervisa apps OAuth registradas en Entra, Google y Salesforce. |
| Detectar un ataque pass-the-hash contra el Active Directory local | Defender for Identity | Sensores en los controladores de dominio. |
| Ver qué cuentas sensibles podría alcanzar un atacante desde un usuario normal | Rutas de movimiento lateral | Defender for Identity. |
| Bloquear un inicio de sesión en la nube desde una IP anónima | Entra ID Protection + acceso condicional | Riesgo de inicio de sesión en la nube, no AD local. |
| Revisar si la configuración de una app SaaS cumple buenas prácticas | SSPM (Cloud Apps) | Recomendaciones basadas en CIS que alimentan Secure Score. |
Trampas frecuentes del examen
❓ ¿Qué es un CASB?
Un intermediario entre usuarios y apps en la nube que aplica las directivas de seguridad. Defender for Cloud Apps es el CASB de Microsoft.
❓ ¿Defender for Identity protege los inicios de sesión en la nube?
Su punto fuerte es el Active Directory local, aunque también usa señales de Entra ID. El riesgo de los inicios de sesión en Entra ID lo evalúa Entra ID Protection.
❓ ¿Dónde se instalan los sensores de Defender for Identity?
En los controladores de dominio y en servidores AD FS y AD CS.
❓ ¿Los sensores envían todo el tráfico a la nube?
No. Analizan localmente y solo envían la información procesada.
❓ ¿Qué componente bloquea en tiempo real la descarga de un archivo desde un equipo no administrado?
El control de sesión de Cloud Apps (Conditional Access App Control, un proxy inverso).
❓ ¿App governance supervisa a usuarios?
No. Supervisa apps OAuth: sus permisos, su acceso a datos y su comportamiento.
❓ ¿Qué muestran las rutas de movimiento lateral?
Cómo un atacante podría saltar de una cuenta no sensible a una cuenta privilegiada. Son de Defender for Identity.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
El equipo de seguridad descubre que los empleados suben archivos a un servicio de almacenamiento en la nube no aprobado. Quieren ver todas las apps en uso y su nivel de riesgo. ¿Qué usan?
¿Listo para poner a prueba "Defender for Cloud Apps y Defender for Identity"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro