Tema 6 de 8
Defender for Office 365 y Defender for Endpoint
El correo y los dispositivos son las dos puertas de entrada más usadas por los atacantes: un phishing llega al buzón y el malware se ejecuta en el portátil. Estos dos productos de Defender XDR protegen esas puertas. El examen pregunta qué hace cada función y, sobre todo, qué trae cada plan.
Contenido
Defender for Office 365
Protege a la organización frente a amenazas que llegan por correo electrónico, enlaces (URL) y herramientas de colaboración como Teams, SharePoint y OneDrive. En el portal de Defender aparece bajo Correo y colaboración.
Phishing
Correos que imitan a alguien de confianza para robar datos
Malware
Adjuntos con código malicioso
Enlaces maliciosos
URLs que llevan a sitios de robo de credenciales
BEC
Compromiso del correo empresarial para fraudes
Protección integrada (EOP)
Todo buzón en la nube de Microsoft 365 ya tiene una capa base gratuita: Exchange Online Protection (EOP). Defender for Office 365 se suma encima, no la sustituye.
Antimalware y antispam
Filtra correo con malware y spam entrante, y también el spam saliente desde cuentas propias comprometidas.
Antiphishing y antisuplantación
Identifica mensajes con remitentes falsificados (spoofing) mediante la inteligencia contra la suplantación.
Filtrado de conexiones
Bloquea o permite servidores de correo por su IP.
Cuarentena
Retiene mensajes sospechosos para que un administrador o el usuario los revise.
Envíos y lista de bloqueo
Enviar a Microsoft mensajes mal clasificados y gestionar la Tenant Allow/Block List.
Rastreo de mensajes y auditoría
Seguir el recorrido de un correo y registrar actividad.
Plan 1 y Plan 2
La regla para recordar: Plan 1 = prevención (más capas de protección), Plan 2 = Plan 1 + investigación, respuesta y formación.
| Función | EOP | Plan 1 | Plan 2 |
|---|---|---|---|
| Antimalware, antispam, antiphishing y antisuplantación | ✓ | ✓ | ✓ |
| Filtrado de conexiones, cuarentena, rastreo de mensajes | ✓ | ✓ | ✓ |
| ZAP para correo | ✓ | ✓ | ✓ |
| Protección contra suplantación de identidad (impersonation) | — | ✓ | ✓ |
| Safe Attachments y Safe Links | — | ✓ | ✓ |
| Detecciones en tiempo real | — | ✓ | Threat Explorer |
| ZAP para Teams | — | ✓ | ✓ |
| Entrenamiento con simulación de ataques | — | — | ✓ |
| Protección de cuentas prioritarias | — | — | ✓ |
| Threat Explorer, rastreadores de amenazas y campañas | — | — | ✓ |
| Investigación y respuesta automatizadas (AIR) | — | — | ✓ |
| Búsqueda avanzada | — | — | ✓ |
Licencias
Plan 1 viene en Microsoft 365 E3 y Business Premium (o como complemento). Plan 2 viene en Microsoft 365 E5.
Entrenamiento con simulación
Lanza campañas de phishing simuladas y asigna formación a quien cae. Ataca el eslabón humano, solo en Plan 2.
Safe Attachments, Safe Links y ZAP
Safe Attachments
Abre (detona) los adjuntos en un entorno virtual aislado antes de entregarlos y observa su comportamiento. Así detecta malware nuevo que las firmas no conocen. También protege archivos en SharePoint, OneDrive y Teams.
Safe Links
Revisa las URL en el momento del clic. Un atacante puede enviar un enlace limpio y volverlo malicioso horas después; Safe Links lo detecta igual.
ZAP (zero-hour auto purge)
Si un mensaje ya entregado resulta ser malicioso, lo retira del buzón de forma retroactiva. Para correo está en EOP; para Teams, desde Plan 1.
Otras piezas: la protección de cuentas prioritarias (Plan 2) da más atención a directivos y personas con acceso sensible, y la AIR investiga alertas y propone o ejecuta acciones de corrección.
Defender for Endpoint
Plataforma empresarial para prevenir, detectar, investigar y responder a amenazas avanzadas en dispositivos. Los endpoints incluyen portátiles, teléfonos, tabletas, equipos de escritorio, puntos de acceso, routers y firewalls.
Sensores
Integrados en Windows 10 y 11: recogen señales de comportamiento del sistema operativo, sin instalar un agente aparte en Windows.
Análisis en la nube
Convierte esas señales en detecciones y recomendaciones con big data y aprendizaje automático.
Inteligencia de amenazas
Identifica herramientas y técnicas de atacantes y alerta cuando aparecen en tus dispositivos.
Admite Windows, macOS, Linux, Android e iOS, y se integra con Intune (cumplimiento del dispositivo para el acceso condicional) y con Defender for Cloud (protección de servidores).
Componentes de Defender for Endpoint
Gestión de vulnerabilidades básica
Descubre, prioriza y corrige vulnerabilidades y configuraciones erróneas de los dispositivos.
Reducción de la superficie de ataque
Reglas ASR (por ejemplo, impedir que Office cree procesos hijos), acceso controlado a carpetas contra ransomware, protección de red y web, control de dispositivos.
Protección de nueva generación
Microsoft Defender Antivirus con protección en la nube y aprendizaje automático para bloquear malware nuevo.
EDR
Detección y respuesta en endpoints: detecta ataques avanzados casi en tiempo real y permite responder sobre el dispositivo.
Investigación y respuesta automatizadas
Examina las alertas y corrige automáticamente, reduciendo el volumen que llega al SOC.
Secure Score for Devices
Mide la postura de seguridad de los dispositivos y sugiere mejoras.
Defender Experts for Hunting
Servicio de búsqueda proactiva por expertos de Microsoft.
API e integración
Automatizar flujos de trabajo y conectar con otras herramientas.
EDR y acciones de respuesta
El antivirus intenta impedir que el malware entre. El EDR asume que algo puede pasar y vigila el comportamiento: un proceso de Word que lanza PowerShell, una herramienta que vuelca credenciales de memoria. Las alertas se agrupan en incidentes y el analista puede actuar sobre el dispositivo:
Aislar
Cortar el dispositivo de la red manteniendo la conexión con Defender
Recopilar paquete
Reunir evidencias forenses del equipo
Analizar
Lanzar un análisis antivirus
Restringir apps
Permitir solo apps firmadas por Microsoft
| Antivirus (nueva generación) | EDR | |
|---|---|---|
| Objetivo | Prevenir: bloquear el malware al llegar | Detectar y responder a lo que ya está dentro |
| Se fija en | Archivos y firmas, con ayuda de la nube | Comportamiento y secuencias de actividad |
| Resultado | Archivo bloqueado o en cuarentena | Alerta, incidente y acciones de respuesta |
Planes de Defender for Endpoint
Plan 1
Prevención: antivirus de nueva generación, reducción de la superficie de ataque, acciones de respuesta manuales y gestión centralizada.
Plan 2
Todo lo de Plan 1 más EDR, investigación y respuesta automatizadas, búsqueda avanzada, gestión de vulnerabilidades básica y análisis de amenazas. Incluido en Microsoft 365 E5.
Defender for Business
Versión para pymes (hasta 300 usuarios) con protección de nivel empresarial y configuración simplificada. Incluido en Microsoft 365 Business Premium.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Analizar adjuntos en un entorno aislado antes de entregarlos | Safe Attachments | Detona el archivo en un sandbox. |
| Comprobar un enlace en el momento en que el usuario hace clic | Safe Links | Revisa la URL al hacer clic, no solo al recibirla. |
| Quitar de los buzones un correo malicioso que ya se entregó | ZAP (zero-hour auto purge) | Actúa después de la entrega. |
| Enseñar a los empleados a reconocer phishing con campañas falsas | Entrenamiento con simulación de ataques | Solo en Defender for Office 365 Plan 2. |
| Detectar a alguien que se hace pasar por el CEO desde un dominio parecido | Protección contra suplantación (Plan 1) | Impersonation protection. |
| Aislar de la red un portátil comprometido | Defender for Endpoint (EDR) | Acción de respuesta sobre el dispositivo. |
| Impedir que macros de Office lancen procesos sospechosos | Reglas de reducción de la superficie de ataque | Bloquean comportamientos típicos del malware. |
| Proteger los equipos de una pyme de 100 empleados | Defender for Business | Pensado para pymes, incluido en Business Premium. |
Trampas frecuentes del examen
❓ ¿En qué plan de Defender for Office 365 está el entrenamiento con simulación de ataques?
Solo en Plan 2 (incluido en Microsoft 365 E5).
❓ ¿Safe Links solo revisa la URL cuando llega el correo?
No. La revisa en el momento del clic, por si el enlace se volvió malicioso después.
❓ ¿Safe Attachments solo protege el correo?
No. También protege archivos en SharePoint, OneDrive y Teams.
❓ ¿Hace falta Defender for Office 365 para tener antispam y antimalware?
No. Exchange Online Protection los da de serie a todos los buzones en la nube.
❓ ¿Qué hace ZAP?
Retira de los buzones mensajes maliciosos que ya se habían entregado.
❓ ¿Defender for Endpoint solo funciona en Windows?
No. Admite Windows, macOS, Linux, Android e iOS.
❓ ¿EDR y antivirus son lo mismo?
No. El antivirus previene; el EDR detecta comportamiento sospechoso y permite responder, como aislar el dispositivo.
❓ ¿Qué plan de Defender for Endpoint incluye EDR?
Plan 2. Plan 1 se centra en la prevención.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un atacante envía un correo con un enlace que apunta a una página inofensiva. Dos horas después cambia la página por un sitio de robo de credenciales. ¿Qué función protege al usuario que hace clic más tarde?
¿Listo para poner a prueba "Defender for Office 365 y Defender for Endpoint"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro