CertifyDeckCargando contenido…
El temario oficial de Microsoft Certified: Security Operations Analyst Associate, organizado por dominio. Marca cada punto según lo vayas repasando.
Inicia sesión para guardar tu progreso entre sesiones.
Configure automation for Microsoft Defender XDR and Microsoft Sentinel
En Configuración > Microsoft Defender XDR > Notificaciones por correo hay tres tipos de reglas: Incidentes (por gravedad de alerta, origen y grupo de dispositivos), Acciones (manuales o automáticas, completadas o fallidas) y Threat analytics (informes nuevos o actualizados, por tipo o etiqueta). Se necesita el permiso Manage security settings o ser Security Administrator o superior.
Get incident notifications by email ↗Get email notifications for response actions ↗
Las reglas de ajuste de alertas pueden ocultar (solo alertas de Defender for Endpoint), resolver o convertir en comportamiento las alertas esperadas; las integradas no afectan a AIR ni a los correos. La correlación agrupa alertas en incidentes y los fusiona salvo estado cerrado, propietarios o clasificaciones distintos; las reglas analíticas se incluyen o excluyen con #INC_CORR# o #DONT_CORR#.
Investigate alerts in Microsoft Defender XDR ↗Alert correlation and incident merging in the Microsoft Defender portal ↗
Las características avanzadas de Defender for Endpoint se activan en Configuración > Endpoints > Características avanzadas. Incluyen EDR en modo de bloqueo (actúa aunque el antivirus esté en modo pasivo), resolución automática de alertas, permitir o bloquear archivos, indicadores de red personalizados, protección contra manipulaciones, ocultar dispositivos duplicados y limitar la correlación a grupos de dispositivos.
Configure advanced features in Microsoft Defender for Endpoint ↗
En Configuración > Endpoints > Reglas se administran los indicadores (archivos, IP, URL y dominios, certificados), con acciones como permitir, auditar, advertir o bloquear, y las cargas de automatización y exclusiones de carpetas de la investigación automatizada. En conflictos de IP y URL gana Permitir sobre Advertir y Bloquear; un indicador de certificado de bloqueo prevalece sobre uno de hash que permite.
Overview of indicators in Microsoft Defender for Endpoint ↗Configure automation folder exclusions ↗
La recopilación de datos personalizada amplía la telemetría predeterminada con reglas filtradas por tabla, acción y condiciones; no la sustituye. Los eventos se envían a un área de trabajo de Microsoft Sentinel y se consultan en tablas DeviceCustom*. Los dispositivos se seleccionan con etiquetas dinámicas de Asset Rule Management, no con etiquetas manuales.
Custom data collection in Microsoft Defender for Endpoint ↗Create and manage custom data collection rules in Microsoft Defender for Endpoint ↗
Las reglas ASR de Microsoft Defender Antivirus (modos Block, Audit, Warn y Not configured) requieren Defender Antivirus activo como antivirus principal, protección en tiempo real y protección en la nube. Defender for Endpoint no las despliega por sí mismo: se usan directivas de seguridad de endpoints de Intune o del portal de Defender. Se prueban primero en Audit, salvo las reglas de protección estándar.
ASR rules overview ↗Manage endpoint security policies in Microsoft Defender for Endpoint ↗
El Action center unifica las acciones de corrección pendientes y completadas: en Pendientes se aprueban o rechazan y en Historial se auditan y se deshacen algunas (aislar dispositivo, poner en cuarentena un archivo, contener usuario). Las correcciones de correo siempre esperan aprobación. La interrupción automática de ataques actúa a nivel de incidente, se etiqueta como Attack Disruption y admite exclusiones.
Go to the Action center to view and approve your automated investigation and remediation tasks ↗Automatic attack disruption in Microsoft Defender ↗
La interrupción automática de ataques correlaciona señales de Defender en un incidente de alta confianza y contiene los activos del atacante (dispositivo, usuario, IP). Requiere los productos Defender implicados desplegados, detección de dispositivos estándar para contener dispositivos y permite excluir usuarios, grupos de dispositivos e IP. Las acciones se revisan y deshacen desde el incidente o el Action center.
Configure automatic attack disruption in Microsoft Defender XDR ↗Exclude assets from automated response in attack disruption ↗
Los grupos de dispositivos de Defender for Endpoint se definen con reglas por nombre, dominio, etiquetas y plataforma de SO; un dispositivo solo entra en el grupo de mayor rango. Cada grupo fija su nivel de automatización (completo, semiautomático o sin respuesta automática) y puede limitar el acceso a grupos de usuarios de Entra con roles RBAC. Los no coincidentes caen en el grupo sin agrupar.
Create and manage device groups in Microsoft Defender for Endpoint ↗Automation levels in automated investigation and remediation ↗
Las reglas de automatización de Sentinel se disparan al crear o actualizar un incidente o al crear una alerta, evalúan condiciones y ejecutan acciones en orden: asignar propietario, cambiar estado o gravedad, etiquetar, añadir tareas o ejecutar un playbook. Pueden caducar, tienen número de orden por tipo de desencadenador y solo ejecutan playbooks con el mismo desencadenador.
Automate threat response in Microsoft Sentinel with automation rules ↗Create and use Microsoft Sentinel automation rules to manage response ↗
Los playbooks de Sentinel son flujos de Azure Logic Apps (Consumption o Standard) que arrancan con un desencadenador de incidente, alerta o entidad. El de incidente es el recomendado y es el único que ejecutan las reglas de automatización de incidente. Usan una identidad administrada o entidad de servicio con rol Responder o Contributor para modificar incidentes, y Sentinel necesita el rol Automation Contributor.
Automate Threat Response with Playbooks in Microsoft Sentinel ↗Supported triggers and actions in Microsoft Sentinel playbooks ↗
Configure the Microsoft Sentinel SIEM and platform
Microsoft Sentinel usa roles de Azure RBAC: Reader (ver), Responder (más gestionar incidentes), Contributor (más crear recursos e instalar soluciones), Playbook Operator (ejecutar playbooks) y Automation Contributor (para que Sentinel ejecute playbooks desde reglas). Se asignan mejor en el grupo de recursos; el data lake usa roles de Entra como Security operator.
En Sentinel cada tabla vive en el nivel Analytics (retención de análisis, para reglas, búsqueda y libros, más retención total espejada al data lake) o solo en el nivel Data lake, más barato pero sin análisis en tiempo real. Los datos XDR están 30 días en búsqueda avanzada y se pueden ampliar. Se gestiona en Microsoft Sentinel > Configuration > Tables.
Manage data tiers and retention in Microsoft Sentinel ↗Configure Table Settings in Microsoft Sentinel ↗
Los libros de Sentinel se basan en Azure Monitor Workbooks y son recursos de Azure con RBAC. Se crean desde una plantilla instalada con una solución del Content hub (Save y luego edición) o desde cero con Add workbook, con origen de datos Logs y recurso Log Analytics. Se recomienda usar analizadores ASIM en las consultas, y para crear o borrar libros hace falta el rol Workbook Contributor.
Visualize your Data by using Workbooks in Microsoft Sentinel ↗Commonly used Microsoft Sentinel workbooks ↗
La optimización del SOC genera recomendaciones a medida: de valor de datos (tablas poco usadas: activar reglas, cambiar de plan o dejar de ingerir), de cobertura basadas en amenazas o riesgos (activar plantillas o conectar orígenes) y de organizaciones similares. Cada recomendación puede completarse, descartarse o reactivarse, y se completa sola si el entorno la hace irrelevante.
Ingest data into the Microsoft Sentinel SIEM and platform
El conector depende del origen: Windows Security Events via AMA lleva eventos de seguridad a SecurityEvent, Windows Forwarded Events (con un WEC) a WindowsEvent, Syslog y CEF via AMA (reenviador Linux) a Syslog y CommonSecurityLog, y los servicios de Azure usan configuración de diagnóstico. Las máquinas que no son de Azure necesitan Azure Arc.
Connect Microsoft Sentinel to other Microsoft services with a Windows agent-based data connector ↗Microsoft Sentinel data connectors ↗
El conector Windows Security Events via AMA crea reglas de recopilación de datos (DCR) que eligen los equipos y el conjunto de eventos: All, Common, Minimal o Custom con consultas XPath 1.0 con el formato Registro!Consulta. El agente filtra en el origen, escribe en SecurityEvent y exige Azure Arc en los equipos que no son máquinas de Azure.
Connect Microsoft Sentinel to other Microsoft services with a Windows agent-based data connector ↗Windows security event sets that can be sent to Microsoft Sentinel ↗
Con WEF, los equipos reenvían eventos a un servidor Windows Event Collector mediante suscripciones push o pull, con cifrado Kerberos en dominio y una lista de acceso por suscripción. WEF es pasivo: la directiva de auditoría debe aplicarse aparte. Para Sentinel, el WEC ejecuta Azure Monitor Agent y los eventos van a la tabla WindowsEvent.
Use Windows Event Forwarding to help with intrusion detection ↗Connect Microsoft Sentinel to other Microsoft services with a Windows agent-based data connector ↗
Syslog via AMA y CEF via AMA usan Azure Monitor Agent en un reenviador Linux (o en la propia máquina) con un demonio rsyslog o syslog-ng. Una DCR define facilities y niveles; Syslog va a la tabla Syslog y CEF a CommonSecurityLog. Hay que evitar duplicados con la misma facility y los reenviadores que no son de Azure necesitan Azure Arc.
Syslog and Common Event Format (CEF) via AMA connectors for Microsoft Sentinel ↗Ingest syslog and CEF messages to Microsoft Sentinel with the Azure Monitor Agent ↗
El registro de actividad se recoge por defecto, pero para analizarlo en Sentinel hay que enviarlo con una configuración de diagnóstico a la tabla AzureActivity; los registros de recursos tampoco se recogen sin ella. Para hacerlo a escala se asigna una iniciativa de Azure Policy (rol Propietario en el ámbito) con una tarea de corrección para los recursos existentes.
Connect Microsoft Sentinel to other Microsoft services by using diagnostic settings-based connections ↗Activity log in Azure Monitor ↗
Los indicadores de amenaza entran por el conector Threat Intelligence - TAXII (raíz de API e ID de colección), el conector de Defender Threat Intelligence, la API de carga de STIX (aplicación de Entra con Microsoft Sentinel Contributor en el área de trabajo, sin conector) o el conector TIP heredado, que se retira. Las reglas de ingesta solo afectan a los conectores de datos.
Threat intelligence in Microsoft Sentinel ↗Connect your threat intelligence platform to Microsoft Sentinel with the upload API (Preview) ↗
Las tablas personalizadas de un área de trabajo de Log Analytics terminan en _CL (el portal añade el sufijo solo; con otros métodos lo escribes tú) y necesitan la columna TimeGenerated. Los datos llegan mediante una regla de recopilación de datos cuyo flujo debe apuntar a esa tabla, y si cambias el esquema debes actualizar la regla. Cada tabla usa un plan: Analytics, Basic o Auxiliary / Lake.
Add or Delete Tables and Columns in Azure Monitor Logs ↗Azure Monitor Logs ↗
Configure detections
Una regla de detección personalizada se basa en una consulta de búsqueda avanzada que debe devolver columnas como Timestamp, ReportId y DeviceId para etiquetar bien las alertas. Defines frecuencia, entidades afectadas y acciones automáticas (dispositivo, archivo, usuario o correo). La frecuencia continua (NRT) solo admite consultas de una tabla y sin uniones.
Create custom detection rules in Microsoft Defender XDR ↗Overview of custom detections in Microsoft Defender XDR ↗
En Hunting > Custom detection rules ves cada regla con su última ejecución, el estado de esa ejecución, la próxima ejecución y si está activada. Desde la página de detalles puedes ejecutarla al instante, editarla, modificar su consulta, desactivarla o eliminarla, y revisar las alertas y acciones que generó. Para editar una regla necesitas permisos sobre los dispositivos de su ámbito.
Manage custom detection rules in Microsoft Defender XDR ↗Create custom detection rules in Microsoft Defender XDR ↗
Las reglas programadas ejecutan una consulta KQL a intervalos con un periodo de retrospección que no debe ser menor que el intervalo. Las reglas NRT se ejecutan cada minuto y consultan por hora de ingesta. Las plantillas de inteligencia de amenazas, Fusion y ML Behavior Analytics crean una sola regla con poca configuración, y las reglas de Microsoft security dejan de estar disponibles al incorporar Sentinel al portal de Defender.
Threat detection in Microsoft Sentinel ↗Scheduled analytics rules in Microsoft Sentinel ↗
La página MITRE ATT&CK de Microsoft Sentinel muestra por defecto la cobertura de las reglas programadas y NRT activas, y permite simular la cobertura posible con las detecciones disponibles sin configurar. Las técnicas se asignan a reglas, incidentes y consultas de búsqueda, y desde cada técnica puedes saltar a las consultas de búsqueda asociadas.
Las reglas de anomalía de Sentinel usan aprendizaje automático para fijar una línea base y registran lo inusual en la tabla Anomalies, sin generar alertas propias. Las reglas integradas no se pueden editar: se duplican, se ajusta la copia en modo Flighting y, si funciona bien, se pasa a Production, momento en que la original pasa a Flighting.
Work with anomaly detection analytics rules in Microsoft Sentinel ↗Use customizable anomalies to detect threats in Microsoft Sentinel ↗
Practica por dominio oficial y revisa la explicación de cada respuesta.
Empezar a practicar