Tema 5 de 8
Microsoft Defender XDR
Un ataque real no se queda en un solo lugar: empieza con un correo, salta a un equipo, roba una credencial y termina en una app en la nube. Defender XDR une la protección de todos esos puntos para verlos como una sola historia. Este artículo cubre la suite en conjunto, su portal y la IA; cada producto tiene su propio artículo más adelante.
Contenido
¿Qué es XDR?
XDR (extended detection and response) amplía la detección y respuesta más allá del endpoint: recoge señales de dispositivos, identidades, correo y aplicaciones, y las correlaciona para detectar y frenar ataques completos.
Microsoft Defender XDR es una suite unificada de defensa empresarial previa y posterior a una brecha que coordina de forma nativa la detección, prevención, investigación y respuesta en endpoints, identidades, correo y aplicaciones.
Antes de la brecha
Prevención: reducir la superficie de ataque, bloquear phishing y malware, corregir vulnerabilidades y configuraciones débiles.
Después de la brecha
Detección y respuesta: correlacionar alertas, ver el alcance del ataque, contener y corregir automáticamente los activos afectados.
Cuidado con los nombres
Defender XDR protege el entorno de Microsoft 365: usuarios, dispositivos, correo, identidades y apps SaaS. Defender for Cloud es otra cosa: protege cargas de trabajo en Azure, AWS, GCP y local (CSPM y CWPP). Ambos se ven en el mismo portal, pero no son lo mismo.
Los productos de la suite
Cada producto protege una parte del entorno y aporta sus señales a la suite. El examen suele dar una necesidad y pedir el producto que la cubre.
| Producto | Protege | Ejemplos |
|---|---|---|
| Defender for Endpoint | Dispositivos: equipos, móviles, servidores | EDR, antivirus de nueva generación, reducción de superficie de ataque |
| Defender for Office 365 | Correo y colaboración: Exchange, Teams, SharePoint, OneDrive | Phishing, Safe Links, Safe Attachments |
| Defender for Identity | Active Directory local | Reconocimiento, credenciales comprometidas, movimiento lateral |
| Defender for Cloud Apps | Apps SaaS | CASB, shadow IT, gobernanza de apps OAuth |
| Entra ID Protection | Identidades en la nube | Riesgo de usuario y de inicio de sesión |
| Defender Vulnerability Management | Vulnerabilidades y configuración | Inventario, priorización por riesgo, corrección |
| Security Exposure Management | Superficie de ataque completa | Grafo de exposición, rutas de ataque, Secure Score |
| Inteligencia de amenazas | Contexto sobre amenazas | Análisis de amenazas, perfiles de actores, indicadores |
Los artículos siguientes de este dominio desarrollan Defender for Office 365 y Endpoint, Defender for Cloud Apps y Defender for Identity, y la gestión de vulnerabilidades, exposición e inteligencia de amenazas.
Protección coordinada entre productos
El valor de la suite está en que los productos comparten información y actúan juntos, no cada uno por su lado.
Cola de incidentes combinada
Las alertas de todos los productos se correlacionan en incidentes, para que el SOC vea el ataque completo y no decenas de alertas sueltas.
Respuesta automática entre productos
Si Defender for Endpoint detecta un archivo malicioso en un equipo, Defender for Office 365 puede quitarlo de los buzones donde llegó como adjunto.
Autocorrección
La investigación y respuesta automatizadas (AIR) examinan las evidencias y corrigen los activos afectados sin trabajo manual.
Búsqueda entre productos
Una sola consulta recorre datos sin procesar de correo, dispositivos, identidades y apps de los últimos 30 días.
Cómo se ve un ataque típico de principio a fin:
Correo: Llega un phishing con un adjunto. Defender for Office 365 lo analiza y alerta.
Dispositivo: Un usuario abrió el adjunto antes del bloqueo. Defender for Endpoint ve el proceso sospechoso.
Identidad: El atacante usa la credencial robada contra el AD local. Defender for Identity detecta el movimiento lateral.
Nube: Se descargan archivos masivamente de una app SaaS. Defender for Cloud Apps lo marca como anómalo.
Correlación: Defender XDR une las cuatro alertas en un solo incidente, con la cronología y todas las entidades.
Interrupción automática de ataques
Algunos ataques, como el ransomware o el compromiso del correo empresarial (BEC), avanzan en minutos. La interrupción automática de ataques (automatic attack disruption) usa señales de alta confianza de toda la suite para contener el ataque mientras ocurre, sin esperar a que un analista intervenga.
Aislar dispositivos
El equipo comprometido deja de comunicarse con el resto
Deshabilitar cuentas
La identidad comprometida ya no puede usarse
Contener IPs
Se corta la comunicación con la infraestructura del atacante
El objetivo es limitar el alcance y dar tiempo al SOC para investigar. Las acciones quedan registradas y se pueden revisar y deshacer desde el portal.
Incidentes y alertas
| Alerta | Incidente | |
|---|---|---|
| Qué es | Una señal de actividad sospechosa detectada por un producto | Un conjunto de alertas relacionadas que cuentan la historia de un ataque |
| Alcance | Un evento o entidad | Todas las entidades afectadas: usuarios, dispositivos, buzones, apps |
| Quién lo gestiona | Se revisa dentro del incidente | Se asigna, prioriza, investiga y cierra |
En el portal, la cola de incidentes incluye también los de Microsoft Sentinel cuando está conectado, de modo que el SOC trabaja todo desde un mismo lugar.
Búsqueda avanzada
La búsqueda avanzada (advanced hunting) es una herramienta de consultas sobre hasta 30 días de datos sin procesar de toda la suite. Sirve para buscar proactivamente amenazas, indicadores y actividad que no generó alertas.
- Las consultas se escriben en KQL (Kusto Query Language).
- Un generador de consultas guiado permite buscar sin escribir código.
- Security Copilot convierte preguntas en lenguaje natural en consultas KQL.
- Una consulta útil se puede convertir en una regla de detección personalizada que se ejecuta periódicamente y genera alertas.
El portal de Microsoft Defender
El portal (security.microsoft.com) reúne la protección, detección, investigación y respuesta de la suite. Para entrar se necesita un rol como Lector global, Lector de seguridad, Administrador de seguridad u Operador de seguridad, y el control de acceso basado en roles decide qué tarjetas y datos ve cada usuario.
Investigación y respuesta
Incidentes y alertas (XDR y Sentinel), búsqueda avanzada, reglas de detección personalizadas, Centro de actividades (acciones pendientes e historial) y Envíos a Microsoft para análisis.
Inteligencia de amenazas
Análisis de amenazas, perfiles de actores y explorador de inteligencia, integrados en el portal.
Activos
Inventario de dispositivos (por defecto, los vistos en los últimos 30 días), identidades, aplicaciones, recursos en la nube y agentes de IA.
Gestión de la exposición
Secure Score, iniciativas, gestión de vulnerabilidades, rutas de ataque.
Productos
Nodos para Endpoints, Correo y colaboración (Office 365), Identidades, Aplicaciones en la nube y Seguridad en la nube (resumen de Defender for Cloud).
Otros
Optimización del SOC, informes, centro de aprendizaje, catálogo de socios y configuración del sistema.
Defender Experts for XDR
Servicio gestionado de detección y respuesta: expertos de Microsoft monitorizan, investigan y responden a incidentes por la organización. No viene incluido con la suite: se vende por separado.
Security Copilot en Defender XDR
Security Copilot aparece integrado en el portal para acelerar el trabajo del analista. No toma decisiones por él: resume, explica y recomienda.
Resumen de incidentes
Resume incidentes con hasta 100 alertas: qué pasó, entidades, cronología.
Respuestas guiadas
Pasos recomendados de triaje, contención y corrección, con guías específicas para phishing, BEC y ransomware.
Análisis de scripts y archivos
Explica scripts y archivos sospechosos y si son maliciosos.
Lenguaje natural a KQL
Genera consultas de búsqueda avanzada a partir de una pregunta.
Informes de incidentes
Redacta un informe con las acciones y la clasificación del incidente.
Resúmenes de dispositivo e identidad
Postura, riesgo y actividad relevante de un equipo o usuario.
Además hay agentes que trabajan de forma autónoma sobre tareas concretas:
- Phishing Triage Agent: clasifica los correos de phishing reportados por usuarios y separa amenazas reales de falsas alarmas. Requiere Defender for Office 365 Plan 2 y Security Copilot.
- Threat Intelligence Briefing Agent: prepara informes de inteligencia adaptados a la organización.
- Threat Hunting Assistant: ayuda a formular y refinar búsquedas.
- Dynamic Threat Detection Agent: busca de forma continua amenazas que las detecciones existentes no cubren.
Defender XDR frente a Sentinel
| Defender XDR | Microsoft Sentinel | |
|---|---|---|
| Tipo | XDR | SIEM + SOAR |
| Fuentes | Productos de la suite Defender | Cualquier fuente: Microsoft, terceros, AWS, GCP, firewalls |
| Respuesta | Nativa en cada producto, AIR, interrupción automática | Playbooks y reglas de automatización |
| Retención para búsqueda | 30 días | La que configures, hasta 12 años en el data lake |
No compiten: se complementan. Juntos, en el mismo portal, forman la plataforma unificada de operaciones de seguridad de Microsoft.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Ver como un solo caso un phishing que acabó en un equipo infectado y una cuenta robada | Incidente de Defender XDR | Correlaciona alertas de varios productos. |
| Detener un ransomware en curso sin esperar a un analista | Interrupción automática de ataques | Contiene dispositivos y cuentas con señales de alta confianza. |
| Consultar 30 días de eventos de correo, dispositivos e identidades con KQL | Búsqueda avanzada | Datos sin procesar de todos los productos. |
| Revisar las acciones de corrección pendientes y ya ejecutadas | Centro de actividades (Action center) | Historial y aprobación de acciones. |
| Enviar a Microsoft un correo que se clasificó mal | Envíos (Submissions) | Análisis y mejora de los filtros. |
| Tener expertos de Microsoft que investiguen y respondan por el SOC | Defender Experts for XDR | Servicio gestionado, se contrata aparte. |
| Explicar un script de PowerShell ofuscado de una alerta | Análisis de scripts (Security Copilot) | Describe qué hace y si es malicioso. |
| Unificar alertas de dispositivos con logs de firewalls de terceros | Sentinel + Defender XDR | XDR cubre la suite; el SIEM, cualquier fuente. |
Trampas frecuentes del examen
❓ ¿Defender XDR y Defender for Cloud son el mismo producto?
No. XDR protege el entorno de Microsoft 365 (usuarios, dispositivos, correo, identidades, apps SaaS); Defender for Cloud protege cargas de trabajo en la nube y local.
❓ ¿Cuántos días de datos sin procesar cubre la búsqueda avanzada?
30 días. Para retención más larga se usa Sentinel.
❓ ¿Qué lenguaje usa la búsqueda avanzada?
KQL (Kusto Query Language), el mismo que Sentinel.
❓ ¿Un incidente es lo mismo que una alerta?
No. Un incidente agrupa alertas relacionadas de uno o varios productos que forman un mismo ataque.
❓ ¿Defender Experts for XDR viene incluido en E5?
No. Es un servicio gestionado que se vende por separado.
❓ ¿La interrupción automática de ataques necesita la aprobación de un analista?
No. Actúa sola con señales de alta confianza para contener el ataque en curso; después el SOC revisa.
❓ ¿Dónde se ven los incidentes de Sentinel y de Defender XDR?
En la misma cola de incidentes del portal de Microsoft Defender.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Defender for Endpoint detecta un archivo malicioso en un equipo y, automáticamente, ese archivo se elimina de los buzones donde llegó como adjunto. ¿Qué capacidad de Defender XDR lo hace posible?
¿Listo para poner a prueba "Microsoft Defender XDR"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro