Tema 3 de 8
Microsoft Defender for Cloud
Defender for Cloud evalúa continuamente la postura de seguridad de tus nubes, protege las cargas de trabajo y lleva la seguridad hasta el código. El examen pregunta qué es gratis, qué requiere el plan Defender CSPM y qué protege cada plan.
Contenido
¿Qué es Defender for Cloud?
Es una plataforma de protección de aplicaciones nativas de la nube (CNAPP): un conjunto de medidas para proteger aplicaciones en la nube frente a amenazas y vulnerabilidades. Cubre recursos en Azure, en otras nubes como AWS y GCP, y en entornos locales.
Organiza sus capacidades en tres pilares, del pipeline de desarrollo a la producción:
DevSecOps
Seguridad en cada fase del desarrollo (shift-left): escaneos y controles que detectan problemas mientras el código se escribe, no al desplegar.
CSPM
La mala configuración es una de las principales causas de incidentes en la nube. CSPM evalúa continuamente, avisa de fallos y lo resume en una puntuación de seguridad.
CWPP
Protección proactiva de cargas con planes de Defender por tipo de recurso. Las alertas indican naturaleza y gravedad de la amenaza.
- Suma capacidades de seguridad de IA para descubrir y proteger aplicaciones de IA generativa.
- Está integrado en el portal de Microsoft Defender: gestión de postura y protección contra amenazas en una sola experiencia CNAPP, sin cambiar de herramienta.
- Con Security Copilot, en la página de recomendaciones: entender el contexto e impacto de una recomendación, obtener pasos de corrección, corregir configuraciones en el código y delegar en el dueño del recurso.
Políticas e iniciativas
Las políticas de seguridad de Defender for Cloud se basan en Azure Policy, el servicio de gobernanza que aplica reglas de la organización a los recursos de Azure.
Definición de Azure Policy
Una regla sobre una condición de seguridad concreta. Hay muchas integradas y se pueden crear personalizadas.
Iniciativa de seguridad
Conjunto de definiciones de política agrupadas hacia un objetivo, que se gestiona como una sola pieza.
Asignación
Aplicar la definición o iniciativa a un ámbito: grupo de administración, suscripción, grupo de recursos o recurso.
Defender for Cloud aplica iniciativas a tus suscripciones; cada política que un recurso incumple se convierte en una recomendación. Políticas → evaluación → recomendaciones → corrección forman un ciclo continuo que reduce la superficie de ataque.
Microsoft cloud security benchmark (MCSB)
Es la iniciativa integrada que se asigna automáticamente al habilitar Defender for Cloud. Son directrices de seguridad y cumplimiento escritas por Microsoft, basadas en los controles del Center for Internet Security (CIS) y del NIST, con enfoque en la nube y para Azure y multinube.
Cada entrada del MCSB incluye:
ID y dominio de control
Seguridad de red, protección de datos, administración de identidades, acceso privilegiado, respuesta a incidentes, seguridad de endpoints, recuperación de datos…
Mapeo a marcos del sector
CIS, NIST y PCI DSS, útil para industrias reguladas.
Recomendación
Por ejemplo, en seguridad de red: segmentar, proteger el tráfico, proteger apps web.
Guía para Azure, AWS y GCP
Cómo implementar el control con los servicios de cada nube, y qué funciones de la organización son responsables.
Recomendaciones y cumplimiento normativo
Defender for Cloud analiza periódicamente el cumplimiento de tus recursos frente a las iniciativas elegidas y el MCSB. Cada recomendación incluye:
- Una descripción breve del problema
- Los pasos de corrección
- Los recursos afectados
- La gravedad (alta, media o baja) y los factores de riesgo
- Contexto de ruta de ataque, cuando existe
Con Defender CSPM, las recomendaciones se priorizan por riesgo: una configuración débil en un recurso expuesto a internet y con datos de clientes aparece más urgente que la misma en un recurso interno aislado.
Panel de cumplimiento normativo
Muestra el estado frente al MCSB y a los estándares que añadas, como ISO 27001, SOC 2, NIST SP 800-53 o PCI DSS, control por control. Una sola corrección puede mejorar varios estándares a la vez: exigir MFA a las cuentas privilegiadas ayuda a ISO 27001, NIST y PCI DSS.
CSPM y puntuación de seguridad
Puntuación de seguridad (secure score)
Agrega todos los hallazgos de tus recursos multinube en un solo número: más alto = menos riesgo identificado. Todos los clientes la tienen al habilitar Defender for Cloud, con el MCSB generando las recomendaciones que la componen.
Recomendaciones de endurecimiento
Se agrupan en controles de seguridad, cada uno un grupo lógico que refleja una superficie de ataque. La puntuación solo sube cuando corriges todas las recomendaciones de un recurso dentro de un control.
CSPM básico (foundational) · gratis
Habilitado por defecto en toda suscripción o cuenta incorporada a Defender for Cloud:
- Detección de recursos
- Evaluación continua y recomendaciones de endurecimiento
- Cumplimiento con el MCSB
- Puntuación de seguridad
Plan Defender CSPM
Plan opcional con gestión de postura avanzada:
Análisis de rutas de ataque
Función con IA que modela cómo un atacante encadenaría vulnerabilidades para llegar a recursos de alto valor. Ejemplo: una VM expuesta a internet con una vulnerabilidad conocida tiene acceso a una cuenta de almacenamiento con datos sensibles. Se prioriza la combinación, no cada fallo por separado.
Cloud security explorer
Herramienta de consultas sobre un grafo para explorar el entorno de forma proactiva y hacer preguntas de seguridad propias, sin esperar a que salgan recomendaciones.
Gobernanza
Asigna recomendaciones a dueños de recursos con fecha límite, para que nada quede sin responsable.
Gestión de la postura de seguridad de datos (DSPM)
Descubre automáticamente almacenes con datos sensibles (personales, financieros) en Azure, AWS y GCP, evalúa su postura y avisa si están expuestos. Disponible con Defender CSPM o con Defender for Storage.
Gestión de la postura de seguridad de IA (AI SPM)
Inventario de IA (AI BOM), recomendaciones específicas y rutas de ataque sobre cargas de IA generativa.
Más estándares
Evaluación frente a muchos benchmarks, estándares normativos y políticas personalizadas.
Planes de Defender (CWPP)
La protección de cargas se entrega con planes de Defender específicos para cada tipo de recurso. Se habilitan por separado y funcionan a la vez para cubrir cómputo, datos y servicios.
Defender for Servers
Detección de amenazas para Windows y Linux; incluye Defender for Endpoint (EDR)
Defender for App Service
Ataques contra apps en App Service
Defender for Storage
Actividad dañina en cuentas de almacenamiento
Defender for Databases
Azure SQL, bases relacionales de código abierto y Cosmos DB
Defender for Containers
Kubernetes y registros: endurecimiento, protección y detección en tiempo de ejecución
Defender for Key Vault
Protección avanzada contra amenazas para Key Vault
Defender for Resource Manager
Supervisa las operaciones de administración de recursos
Defender for AI Services
Inyección de prompts y uso anómalo en servicios de IA de Azure
Defender for APIs
Visibilidad, postura, priorización y amenazas en tiempo real contra APIs
Funciones de seguridad mejorada
- EDR completo en servidores con Defender for Endpoint
- Escaneo de vulnerabilidades en VMs, registros de contenedores y recursos SQL
- Multinube (conectores de AWS y GCP) e híbrida (vista unificada de local y nube, datos de firewalls y soluciones de socios)
- Alertas de protección contra amenazas sobre redes, máquinas y servicios, con inteligencia contextual
- Seguimiento de más estándares de cumplimiento
- Controles de acceso y de aplicaciones: listas de permitidos y bloqueados con aprendizaje automático y acceso just-in-time a los puertos de administración de las VMs, contra fuerza bruta
Seguridad de DevOps
Los atacantes apuntan cada vez más a las herramientas de desarrollo. Defender for DevOps, dentro de Defender for Cloud, protege del código a la nube en pipelines de GitHub, Azure DevOps y GitLab desde una consola central.
Vulnerabilidades de código
Debilidades en el propio código de la aplicación.
Secretos expuestos
Credenciales, claves de API u otra información sensible en el código o la configuración.
Vulnerabilidades de código abierto
Fallos conocidos en dependencias de terceros.
Infraestructura como código
Evalúa plantillas IaC para que las malas configuraciones no lleguen a producción.
- Prioriza correcciones con anotaciones en pull requests y flujos que asignan el problema al desarrollador.
- Con Defender CSPM, los hallazgos se correlacionan con riesgos de la nube: una red mal configurada en producción se rastrea hasta la plantilla que la creó.
- Aplica también a pipelines de IA: detecta una clave de un servicio de IA subida al repositorio o un endpoint de IA desplegado sin autenticación.
Seguridad de IA
AI SPM (postura)
Mantiene un AI Bill of Materials con los modelos, apps y servicios de IA, evalúa su postura y usa rutas de ataque. Ejemplo: una app de IA con acceso a una base de clientes y accesible desde internet sin autenticación. Parte del plan Defender CSPM.
Protección contra amenazas de IA
Defender for AI Services, con Microsoft Threat Intelligence y Azure AI Content Safety Prompt Shields, detecta en tiempo real inyección de prompts, fuga de datos, envenenamiento de datos y robo de credenciales. Las alertas llegan a Defender XDR.
Un panel de seguridad de datos e IA centraliza los recursos de IA, sus riesgos y su estado de protección.
Escenarios de examen
| Necesidad | Respuesta | Por qué |
|---|---|---|
| Ver de un vistazo la postura de seguridad de Azure, AWS y GCP | Puntuación de seguridad (CSPM básico) | Gratis y habilitada por defecto. |
| Saber cómo un atacante encadenaría fallos hasta datos sensibles | Análisis de rutas de ataque | Requiere el plan Defender CSPM. |
| Hacer preguntas propias sobre el entorno con consultas de grafo | Cloud security explorer | Requiere el plan Defender CSPM. |
| Asignar recomendaciones a dueños con fecha límite | Gobernanza de Defender CSPM | Da responsables claros a cada corrección. |
| Detectar amenazas en VMs Windows y Linux con EDR | Defender for Servers | Incluye Defender for Endpoint. |
| Detectar inyección de prompts contra un servicio de Azure OpenAI | Defender for AI Services | Protección de cargas de IA en tiempo real. |
| Encontrar una clave de API subida a un repositorio de GitHub | Defender for DevOps | Escaneo de secretos expuestos en el código. |
| Medir el cumplimiento de ISO 27001 además del MCSB | Panel de cumplimiento normativo | Se añaden estándares a la evaluación. |
Trampas frecuentes del examen
❓ ¿La puntuación de seguridad requiere pagar un plan?
No. Viene con el CSPM básico gratuito junto con las recomendaciones y el cumplimiento con el MCSB.
❓ Se quiere saber cómo un atacante podría encadenar fallos hasta una base de datos sensible. ¿Qué función y qué plan?
Análisis de rutas de ataque, incluido en el plan Defender CSPM, no en el básico.
❓ ¿Defender for Cloud solo protege recursos de Azure?
No. Cubre Azure, AWS, GCP y entornos locales.
❓ Corregiste dos de tres recomendaciones de una VM dentro de un control. ¿Sube la puntuación?
No. La puntuación solo sube al corregir todas las recomendaciones de ese recurso en el control.
❓ ¿Sobre qué servicio se apoyan las políticas de Defender for Cloud?
Sobre Azure Policy: definiciones agrupadas en iniciativas y asignadas a un ámbito.
❓ ¿Defender for Cloud y Defender for Cloud Apps son lo mismo?
No. Defender for Cloud protege infraestructura y cargas en la nube (CNAPP); Defender for Cloud Apps protege apps SaaS (CASB).
❓ ¿Qué plataformas de código cubre Defender for DevOps?
GitHub, Azure DevOps y GitLab.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
¿Qué estándar asigna Defender for Cloud automáticamente al habilitarse y en qué marcos se basa?
¿Listo para poner a prueba "Microsoft Defender for Cloud"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro