Tema 8 de 8
Vulnerabilidades, exposición e inteligencia de amenazas
Detectar ataques no basta: también hay que saber dónde eres débil antes de que alguien lo aproveche y qué amenazas apuntan a tu sector. Tres capacidades del portal de Defender cubren esa parte proactiva: Vulnerability Management, Security Exposure Management e inteligencia de amenazas. El examen pide distinguir sus alcances.
Contenido
Defender Vulnerability Management
Ofrece visibilidad de activos, evaluaciones inteligentes y herramientas de corrección integradas para Windows, macOS, Linux, Android, iOS y dispositivos de red. Usa la inteligencia de amenazas de Microsoft y predicciones de probabilidad de explotación para priorizar.
Descubrir
Inventario continuo de software, configuraciones y vulnerabilidades
Priorizar
Según el riesgo real para tu negocio, no solo la gravedad
Corregir
Tareas, bloqueos y seguimiento en tiempo real
En el portal está bajo Gestión de la exposición. Una versión básica forma parte de Defender for Endpoint Plan 2.
Descubrimiento e inventarios
Los sensores de Defender for Endpoint ya instalados alimentan la evaluación de forma continua, también sin agente para dispositivos no administrados. No hace falta lanzar escaneos periódicos.
Inventario de software
Qué programas y versiones hay en cada dispositivo, con sus vulnerabilidades conocidas (CVE).
Certificados
Certificados instalados, para detectar los caducados o débiles.
Hardware y firmware
Componentes y versiones de firmware con vulnerabilidades.
Extensiones del navegador
Extensiones instaladas y los permisos que piden.
Líneas base de seguridad
Comparación de la configuración con referencias como CIS y STIG.
Otras evaluaciones
Recursos compartidos de red y análisis autenticado de equipos Windows.
Priorización y corrección
Una organización puede tener miles de vulnerabilidades. La priorización basada en el riesgo pone primero las que importan:
- Amenazas emergentes: vulnerabilidades que se están explotando ahora en el mundo.
- Brechas activas: relacionadas con alertas que ya tienes en la organización.
- Activos de alto valor: dispositivos críticos para el negocio o con datos sensibles.
Corrección
Solicitudes de corrección que crean tareas en Intune, bloqueo de apps vulnerables mientras se parchean, mitigaciones alternativas y estado de la corrección en tiempo real.
Métricas
Puntuación de exposición: cuanto más baja, mejor. Secure Score for Devices: mide la configuración de los dispositivos; cuanto más alta, mejor.
Security Exposure Management
Vulnerability Management mira cada dispositivo y cada CVE. Security Exposure Management sube un nivel: unifica la visión de la postura de seguridad y de la superficie de ataque de todas las cargas de trabajo (dispositivos, identidades, apps, datos, nube) para ver cómo se combinan las debilidades.
| Vulnerability Management | Security Exposure Management | |
|---|---|---|
| Nivel | CVE y configuración de cada dispositivo | Toda la superficie de ataque, entre cargas de trabajo |
| Pregunta | ¿Qué está mal en este equipo? | ¿Cómo llegaría un atacante a lo que más me importa? |
| Herramientas | Inventarios, recomendaciones, corrección | Grafo, rutas de ataque, iniciativas, Secure Score |
Grafo, rutas de ataque y activos críticos
Grafo de exposición empresarial
Representa los activos y sus relaciones: qué usuario inicia sesión en qué equipo, qué identidad tiene permisos sobre qué recurso. Sobre él se construye el mapa de la superficie de ataque, una vista visual para explorarlo.
Rutas de ataque
Secuencias de pasos que un atacante podría seguir aprovechando vulnerabilidades y configuraciones erróneas hasta un activo crítico. Los puntos de estrangulamiento (choke points) son nodos por los que pasan muchas rutas: corregirlos corta varias a la vez.
Gestión de activos críticos
Identifica los activos más importantes con clasificaciones predefinidas (por ejemplo, controladores de dominio) y personalizadas, para priorizar su protección.
Conectores de datos
Incorpora información de herramientas de terceros como ServiceNow CMDB, Tenable, Qualys y Rapid7.
Iniciativas y Microsoft Secure Score
Las iniciativas agrupan métricas y recomendaciones en torno a un objetivo, con una puntuación de progreso. Hay iniciativas por carga de trabajo (dispositivos, identidades…), por amenaza transversal (ransomware, BEC), basadas en análisis de amenazas y de Zero Trust. Un catálogo central reúne todas las métricas y recomendaciones.
Microsoft Secure Score mide la postura de seguridad de la organización: cuanto más alta, mejor. Cada recomendación aporta puntos al completarse, y muchas dan puntos parciales: si exiges MFA a la mitad de los usuarios, obtienes parte de los puntos de esa acción.
- Cubre identidades, dispositivos, apps y datos, con una vista por dominio.
- Existe también un Cloud Secure Score para la postura de la nube.
- No es lo mismo que la puntuación de cumplimiento de Purview Compliance Manager (D4), que mide el avance frente a normativas.
Inteligencia de amenazas
La inteligencia de amenazas es conocimiento sobre atacantes: quiénes son, qué técnicas usan, qué infraestructura (IPs, dominios) y qué vulnerabilidades explotan. Sirve para anticipar ataques y dar contexto a las alertas.
Cambio reciente
El portal independiente de Microsoft Defender Threat Intelligence se retiró el 1 de agosto de 2026. Sus capacidades se integraron en el nodo Inteligencia de amenazas del portal de Defender, compartido por Defender XDR y Sentinel.
Herramientas de inteligencia
Análisis de amenazas (threat analytics)
Informes de investigadores de Microsoft sobre amenazas actuales, de alto impacto y con mayor exposición para tu organización, con recomendaciones.
Perfiles de inteligencia (intel profiles)
Fichas de actores de amenazas, herramientas y vulnerabilidades: quién es, qué hace, a quién ataca.
Explorador de inteligencia (intel explorer)
Busca por palabras clave, indicadores (IP, dominio, hash) o CVE. Los artículos de vulnerabilidades incluyen una puntuación de prioridad.
Proyectos
Agrupa indicadores y hallazgos de una investigación para compartirlos con el equipo.
Security Copilot añade promptbooks como la evaluación del impacto de una vulnerabilidad o el perfil de un actor de amenazas, y el agente Threat Intelligence Briefing prepara resúmenes adaptados.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Saber qué dispositivos tienen una versión de software con una CVE crítica | Defender Vulnerability Management | Inventario y evaluación continua. |
| Comparar la configuración de los equipos con CIS o STIG | Evaluación de líneas base de seguridad | Vulnerability Management. |
| Crear una tarea de corrección en Intune para el equipo de TI | Solicitud de corrección | Integración de Vulnerability Management con Intune. |
| Ver cómo un atacante llegaría desde un portátil hasta una base de datos crítica | Rutas de ataque (Exposure Management) | Usan el grafo de exposición. |
| Encontrar el nodo por el que pasan muchas rutas de ataque | Punto de estrangulamiento (choke point) | Arreglarlo corta varias rutas a la vez. |
| Medir la postura de seguridad de identidades, dispositivos y apps con una puntuación | Microsoft Secure Score | Mayor es mejor. |
| Leer un análisis de una campaña de ransomware y ver si te afecta | Análisis de amenazas (threat analytics) | Informes con tu exposición. |
| Investigar quién está detrás de una IP sospechosa | Explorador de inteligencia (intel explorer) | Busca indicadores y artículos. |
Trampas frecuentes del examen
❓ ¿Una puntuación de exposición alta es buena?
No. En la puntuación de exposición, más baja es mejor. En Secure Score, más alta es mejor.
❓ ¿Microsoft Secure Score y la puntuación de cumplimiento son lo mismo?
No. Secure Score mide la postura de seguridad (Defender); la puntuación de cumplimiento mide el avance frente a normativas (Purview Compliance Manager).
❓ ¿Hay que lanzar escaneos periódicos para Vulnerability Management?
No. Usa los sensores de Defender for Endpoint y evalúa de forma continua.
❓ ¿Qué es un punto de estrangulamiento?
Un nodo por el que pasan muchas rutas de ataque. Corregirlo corta varias rutas a la vez.
❓ ¿Secure Score solo da puntos si completas la acción al 100 %?
No. Muchas acciones dan puntos parciales según el porcentaje completado.
❓ ¿Dónde está hoy Defender Threat Intelligence?
Integrado en el nodo Inteligencia de amenazas del portal de Defender; el portal independiente se retiró en agosto de 2026.
❓ ¿Vulnerability Management y Exposure Management hacen lo mismo?
No. El primero trabaja a nivel de CVE y dispositivo; el segundo, a nivel de toda la superficie de ataque con rutas entre cargas de trabajo.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una organización quiere saber por qué secuencia de equipos e identidades podría llegar un atacante hasta su controlador de dominio, para cortar esa vía. ¿Qué usa?
¿Listo para poner a prueba "Vulnerabilidades, exposición e inteligencia de amenazas"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro