Tema 4 de 8
Microsoft Sentinel
Con trabajo remoto y servicios en la nube, la superficie de ataque es enorme y vigilar decenas de sistemas a mano ya no es viable. SIEM y SOAR resuelven eso, y Sentinel es la solución de Microsoft que los une. El examen pregunta la diferencia entre ambos conceptos, qué hace cada pieza de Sentinel y cómo se automatiza la respuesta.
Contenido
¿Qué es un SIEM?
Un sistema de gestión de información y eventos de seguridad (security information and event management) recopila datos de todo el entorno digital (infraestructura, software, servicios y recursos, locales o en la nube) y los analiza para encontrar amenazas.
Agregación de registros
Reúne logs y eventos de firewalls, servidores, sistemas de identidad, apps y endpoints en una sola plataforma.
Correlación
Busca patrones y relaciones: un inicio de sesión de madrugada no preocupa solo, pero sí si el mismo usuario descarga después muchos archivos sensibles.
Alertas
Genera alertas ante actividad sospechosa para que un analista decida si hay amenaza real.
Creación de incidentes
Agrupa alertas relacionadas en incidentes: casos que representan una posible amenaza.
Además da visibilidad centralizada. Sin un SIEM, detectar una brecha puede llevar días o semanas; con uno, minutos.
¿Qué es un SOAR?
Un sistema de orquestación, automatización y respuesta de seguridad (security orchestration, automation and response) toma las alertas del SIEM y de otras herramientas y dispara flujos de trabajo automáticos para responder.
Orquestación
Conecta herramientas para que trabajen juntas: ante una amenaza, consulta el sistema de identidad, revisa una fuente de inteligencia y avisa al equipo, todo coordinado.
Automatización
Ejecuta tareas repetitivas sin esfuerzo manual, en lugar de que un analista repita los mismos pasos cada vez.
Un playbook es una secuencia predefinida de acciones que dispara un tipo de alerta o incidente. Ejemplo ante un inicio de sesión sospechoso:
Deshabilitar la cuenta
Avisar al equipo de seguridad
Abrir un ticket en el help desk
Reunir contexto de la actividad reciente del usuario
| SIEM | SOAR | |
|---|---|---|
| Aporta | Visibilidad | Velocidad |
| Hace | Recoge, correlaciona y detecta | Responde automáticamente |
| Pieza clave | Incidentes | Playbooks |
Juntos forman la base de un SOC moderno: una sola fuente de datos y contexto, menos tiempo entre detección y contención, procesos repetibles con menos errores humanos y más tiempo para investigaciones complejas.
IA y fatiga de alertas
Los atacantes usan automatización e IA para atacar a escala, así que las defensas con IA ya no son opcionales. Capacidades habituales en SIEM/SOAR modernos:
- Detección de anomalías frente a una línea base de comportamiento normal
- Correlación y priorización de alertas en incidentes con gravedad
- Reducción de falsos positivos con modelos entrenados en datos históricos
- Detección de ataques en varias etapas: reconocimiento un día, persistencia días después, exfiltración semanas más tarde
- Asistencia en lenguaje natural para consultas, resúmenes y guía de respuesta
Fatiga de alertas
Miles de alertas al día llevan a los analistas a descartarlas sin revisar, justo el hueco que aprovechan los atacantes. Se combate con agrupación en incidentes, puntuación de gravedad (informativa, baja, media, alta) y enriquecimiento automático con inteligencia de amenazas, historial del usuario, cumplimiento del dispositivo y ubicación.
¿Qué es Microsoft Sentinel?
Una solución SIEM y SOAR escalable y nativa de la nube, con análisis de seguridad con IA e inteligencia de amenazas en entornos multinube y multiplataforma. Recoge y correlaciona señales de usuarios, dispositivos, apps e infraestructura en local, Azure, AWS y GCP. Hoy es a la vez un SIEM y una plataforma de seguridad.
Recopilar
Más de 350 conectores integrados y normalización de formatos
Detectar
Reglas de análisis y detecciones con IA, con menos falsos positivos
Investigar
Herramientas con IA y búsqueda proactiva hasta la causa raíz
Responder
Orquestación y automatización integradas
Dónde se usa
El punto de acceso recomendado es el portal de Microsoft Defender, con una experiencia de operaciones unificada. La experiencia en el portal de Azure se retira el 31 de marzo de 2027; después, Sentinel solo estará en el portal de Defender.
Sentinel como plataforma
Data lake de Sentinel
Nivel de análisis
Un área de trabajo de Log Analytics: los datos entran aquí primero y aquí corren las reglas, las alertas en tiempo real, la búsqueda avanzada y los incidentes. Se consulta con KQL.
Nivel de data lake
Almacenamiento a largo plazo y bajo costo con una copia en formato abierto. Guarda datos hasta 12 años para investigar amenazas persistentes y crear líneas base con meses de historial. Admite análisis de grafos y notebooks con IA.
Centraliza logs de Microsoft 365, Defender, Azure, Entra ID, Purview, Intune y más de 350 conectores, incluidos AWS y GCP.
Graph de Sentinel
Modela relaciones entre activos, identidades, actividad e inteligencia de amenazas para razonar sobre datos conectados en vez de tablas aisladas. Ejemplo: qué caminos tiene un atacante desde una identidad comprometida hasta un activo crítico.
Servidor MCP de Sentinel
Interfaz hospedada con model context protocol para que equipos y agentes de IA consulten los datos en lenguaje natural, sin conocer el esquema ni programar.
Detección de amenazas
Las reglas de análisis consultan los datos con regularidad, generan alertas y agrupan las relacionadas en incidentes. En el portal de Defender, las detecciones personalizadas unifican la creación de reglas sobre datos de Sentinel y Defender XDR, con detecciones en tiempo real y menos costo de ingesta.
Basada en reglas
Compara los datos con firmas y condiciones conocidas. Plantillas de expertos de Microsoft en el Content hub.
IA y aprendizaje automático
Líneas base de comportamiento y el motor Fusion, que une señales de baja gravedad de varias fuentes en incidentes de alta confianza para destapar ataques de varias etapas.
Inteligencia de amenazas
Compara los datos ingeridos con IPs, dominios y URLs maliciosos conocidos de actores de amenazas.
- La cobertura se mapea al marco MITRE ATT&CK, una base global de tácticas y técnicas de adversarios, para ver qué cubren tus reglas y dónde hay huecos.
- El Content hub despliega soluciones empaquetadas para un escenario completo: conectores de datos, workbooks, reglas de análisis, consultas de búsqueda y playbooks.
Investigación y búsqueda
Un incidente es un caso que reúne todas las pruebas: alertas, entidades afectadas, cronología y contexto. Se asigna, prioriza e investiga en el portal de Defender, donde los incidentes de Sentinel y de Defender XDR aparecen en una misma cola.
La búsqueda de amenazas (hunting) es proactiva: en lugar de esperar una alerta, el equipo ejecuta consultas para encontrar actividad sospechosa que todavía no disparó ninguna regla. Un hallazgo importante se puede convertir en una regla de análisis personalizada para que alerte automáticamente en el futuro.
Respuesta y automatización
Reglas de automatización
Gestionan centralmente cómo se tratan los incidentes. Defines condiciones (gravedad, origen, tipo de entidad) y acciones: asignar a un analista, añadir tareas, cambiar el estado o lanzar un playbook.
Playbooks
Flujos automatizados construidos sobre Azure Logic Apps. Ante una cuenta comprometida pueden deshabilitarla, abrir un ticket en ITSM y avisar al equipo antes de que un analista abra el incidente. También se ejecutan a demanda, con un clic.
Juntos reducen el tiempo entre detección y mitigación y liberan al equipo para las investigaciones que requieren juicio humano.
Security Copilot en Sentinel
No sustituye el juicio del analista: muestra el contexto más rápido. Funciona integrado en el portal de Defender (para cualquier incidente, también los de Sentinel) y en la experiencia independiente con los plugins Microsoft Sentinel y Natural language to KQL for Microsoft Sentinel.
Resumen de incidentes
Qué pasó, entidades, impacto, cronología, indicadores de compromiso (IoCs) y actores.
Respuestas guiadas
Recomendaciones de triaje, contención, investigación y corrección. Son sugerencias, no acciones automáticas.
Análisis de scripts
Explica scripts ofuscados (como PowerShell), si son maliciosos y qué técnicas MITRE ATT&CK usan.
Análisis de archivos
Resumen con detecciones, certificados, llamadas a API y cadenas del archivo.
Resúmenes de identidad y dispositivo
Rol, cambios de rol, inicios de sesión, riesgo, postura, software vulnerable y datos de Intune.
Informes de incidentes
Resumen, acciones, analistas y clasificación, exportables a PDF o al registro de actividad.
Lenguaje natural a KQL
Por ejemplo: "muestra intentos de inicio desde ubicaciones desconocidas en las últimas 48 horas" genera la consulta.
Inteligencia de amenazas
Resume las amenazas más relevantes según tu exposición o tu sector.
- Security Alert Triage Agent: clasifica alertas a escala (phishing, identidad, nube) y separa ataques reales de falsos positivos, con razonamiento paso a paso.
- Dynamic Threat Detection Agent: servicio siempre activo que correlaciona alertas, eventos e inteligencia para detectar lo que las reglas no ven.
- En la experiencia independiente, el promptbook de investigación de incidentes encadena prompts: informe, alertas relacionadas, reputación, usuarios y dispositivos.
Escenarios de examen
| Necesidad | Respuesta | Por qué |
|---|---|---|
| Reunir logs de firewalls, servidores, identidades y endpoints en un solo lugar | SIEM (Sentinel) | Agregación y correlación de registros. |
| Deshabilitar automáticamente una cuenta comprometida y abrir un ticket | Playbook (SOAR) | Flujo automatizado en Azure Logic Apps. |
| Asignar todos los incidentes de alta gravedad a un analista concreto | Regla de automatización | Gestiona incidentes según condiciones. |
| Buscar actividad sospechosa que no disparó ninguna regla | Búsqueda de amenazas (hunting) | Es proactiva. |
| Unir señales débiles de varias fuentes en un ataque de varias etapas | Fusion | Motor de correlación con aprendizaje automático. |
| Ver qué técnicas de ataque cubren tus reglas y dónde hay huecos | Mapeo a MITRE ATT&CK | Visualiza la cobertura de detección. |
| Guardar años de logs a bajo costo para investigaciones largas | Nivel de data lake | Retención de hasta 12 años. |
| Escribir una consulta de búsqueda sin saber KQL | Lenguaje natural a KQL (Security Copilot) | Genera la consulta a partir de la pregunta. |
Trampas frecuentes del examen
❓ ¿Sobre qué servicio se construyen los playbooks de Sentinel?
Azure Logic Apps. Las reglas de automatización deciden cuándo lanzarlos.
❓ Se buscan amenazas que todavía no generaron alertas. ¿Qué función?
La búsqueda de amenazas (hunting). Las reglas de análisis solo detectan lo que ya está definido.
❓ ¿Qué componente une señales de baja gravedad de varias fuentes en un incidente de alta confianza?
Fusion, el motor de correlación con aprendizaje automático.
❓ ¿SIEM o SOAR deshabilita automáticamente una cuenta comprometida?
SOAR. El SIEM detecta y alerta; el SOAR ejecuta la respuesta con playbooks.
❓ ¿Sentinel solo recoge datos de Azure?
No. Es multinube y multiplataforma: local, Azure, AWS y GCP, con más de 350 conectores.
❓ ¿Las respuestas guiadas de Security Copilot se ejecutan solas?
No. Son recomendaciones; el analista decide.
❓ ¿Dónde se usará Sentinel después del 31 de marzo de 2027?
Solo en el portal de Microsoft Defender; la experiencia del portal de Azure se retira.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un equipo quiere instalar de una vez los conectores, workbooks, reglas de análisis y playbooks para proteger un producto concreto en Sentinel. ¿Dónde los obtiene?
¿Listo para poner a prueba "Microsoft Sentinel"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro