Conectar Microsoft Sentinel a Microsoft Defender XDR

Microsoft Sentinel está disponible con carácter general en la plataforma de operaciones de seguridad unificada de Microsoft en el portal de Microsoft Defender. Al incorporar Microsoft Sentinel al portal de Defender, unifica funcionalidades con XDR de Microsoft Defender, como la administración de incidentes y la búsqueda avanzada. Reduzca el cambio de herramientas y cree una investigación más centrada en el contexto que agilice la respuesta a incidentes y detenga las infracciones más rápido. Para más información, vea:

• Entrada de blog: Disponibilidad general de la plataforma de operaciones de seguridad unificada de Microsoft
• Entrada de blog: Preguntas más frecuentes sobre la plataforma de operaciones de seguridad unificadas
• Microsoft Sentinel en el portal de Microsoft Defender
• Integración de XDR de Microsoft Defender con Microsoft Sentinel

Requisitos previos

Antes de empezar, revise la documentación de características para comprender los cambios y limitaciones del producto:

• Microsoft Sentinel en el portal de Microsoft Defender
• Búsqueda avanzada de amenazas en el portal de Microsoft Defender
• Alertas, incidentes y correlación en XDR de Microsoft Defender
• Automatización con la plataforma de operaciones de seguridad unificadas

El portal de Microsoft Defender admite un único inquilino de Microsoft Entra y la conexión a un área de trabajo a la vez. En el contexto de este artículo, un área de trabajo es un área de trabajo de Log Analytics con Microsoft Sentinel habilitado.

Para incorporar y usar Microsoft Sentinel en el portal de Microsoft Defender, debe tener los siguientes recursos y acceso:

• Un área de trabajo de Log Analytics que tiene Habilitado Microsoft Sentinel

• El conector de datos para Microsoft Defender XDR (anteriormente denominado Microsoft 365 Defender) habilitado en Microsoft Sentinel para incidentes y alertas. Para obtener más información, consulte Conexión de datos de Microsoft Defender XDR a Microsoft Sentinel.

• Acceso a XDR de Microsoft Defender en el portal de Defender

• XDR de Microsoft Defender incorporado al inquilino de Microsoft Entra

• Una cuenta de Azure con los roles adecuados para incorporar, usar y crear solicitudes de soporte técnico para Microsoft Sentinel en el portal de Defender. En la tabla siguiente se resaltan algunos de los roles clave necesarios.

  Tarea	Se requiere un rol integrado de Azure	Ámbito
  Conexión o desconexión de un área de trabajo con Microsoft Sentinel habilitado	Propietario o administrador de acceso de usuario y colaborador de Microsoft Sentinel	- Suscripción para roles de propietario o administrador de acceso de usuario: suscripción, grupo de recursos o recurso de área de trabajo para colaborador de Microsoft Sentinel
  Visualización de Microsoft Sentinel en el portal de Defender	Lector de Microsoft Sentinel	Suscripción, grupo de recursos o recurso de área de trabajo
  Consulta de tablas de datos de Sentinel o visualización de incidentes	Lector de Microsoft Sentinel o un rol con las siguientes acciones: - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/Incidents/read - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/tasks/read	Suscripción, grupo de recursos o recurso de área de trabajo
  Realizar acciones de investigación sobre incidentes	Colaborador de Microsoft Sentinel o un rol con las siguientes acciones: - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/incidents/read - Microsoft.SecurityInsights/incidents/write - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/comments/write - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/relations/write - Microsoft.SecurityInsights/incidents/tasks/read - Microsoft.SecurityInsights/incidents/tasks/write	Suscripción, grupo de recursos o recurso de área de trabajo
  Crear una solicitud de soporte técnico	Propietario , colaborador o colaborador de la solicitud de soporte técnico o un rol personalizado con Microsoft.Support/*	Suscripción

  Después de conectar Microsoft Sentinel al portal de Defender, los permisos de control de acceso basado en rol (RBAC) de Azure existentes le permiten trabajar con las características de Microsoft Sentinel a las que tiene acceso. Siga administrando roles y permisos para los usuarios de Microsoft Sentinel desde Azure Portal. Los cambios de RBAC de Azure se reflejan en el portal de Defender. Para obtener más información sobre los permisos de Microsoft Sentinel, consulte Roles y permisos en Microsoft Sentinel | Microsoft Learn y Administrar el acceso a los datos de Microsoft Sentinel por recurso | Microsoft Learn.

Incorporación de Microsoft Sentinel

Para conectar un área de trabajo con Microsoft Sentinel habilitado para Defender XDR, siga estos pasos:

1. Vaya al portal de Microsoft Defender e inicie sesión.

2. En XDR de Microsoft Defender, seleccione Información general.

3. Seleccione Conectar un área de trabajo.

4. Elija el área de trabajo que desea conectar y seleccione Siguiente.

5. Lea y comprenda los cambios de producto asociados a la conexión del área de trabajo. Estos cambios incluyen:

   • Las tablas de registro, las consultas y las funciones del área de trabajo de Microsoft Sentinel también están disponibles en la búsqueda avanzada en XDR de Defender.
   • El rol Colaborador de Microsoft Sentinel se asigna a las aplicaciones Microsoft Threat Protection y WindowsDefenderATP dentro de la suscripción.
   • Las reglas activas de creación de incidentes de seguridad de Microsoft se desactivan para evitar incidentes duplicados. Este cambio solo se aplica a las reglas de creación de incidentes para las alertas de Microsoft y no a otras reglas de análisis.
   • Todas las alertas relacionadas con los productos XDR de Defender se transmiten directamente desde el conector de datos XDR de Defender principal para garantizar la coherencia. Asegúrese de que tiene incidentes y alertas de este conector activados en el área de trabajo.

6. Seleccione Conectar.

Una vez conectado el área de trabajo, el banner de la página Información general muestra que la información de seguridad unificada y la administración de eventos (SIEM) y la detección y respuesta extendidas (XDR) están listos. La página Información general se actualiza con nuevas secciones que incluyen métricas de Microsoft Sentinel, como el número de conectores de datos y las reglas de automatización.

Exploración de las características de Microsoft Sentinel en el portal de Defender

Después de conectar el área de trabajo al portal de Defender, Microsoft Sentinel se encuentra en el panel de navegación izquierdo. Páginas como Información general, Incidentes y Búsqueda avanzada tienen datos unificados de Microsoft Sentinel y Defender XDR. Para obtener más información sobre las funcionalidades unificadas y las diferencias entre los portales, consulte Microsoft Sentinel en el portal de Microsoft Defender.

Muchas de las características existentes de Microsoft Sentinel se integran en el portal de Defender. Para estas características, observe que la experiencia entre Microsoft Sentinel en Azure Portal y el portal de Defender es similar. Use los artículos siguientes para ayudarle a empezar a trabajar con Microsoft Sentinel en el portal de Defender. Al usar estos artículos, tenga en cuenta que el punto de partida en este contexto es el portal de Defender en lugar de Azure Portal.

• Búsqueda
  • Búsqueda en intervalos de tiempo largos en conjuntos de datos grandes
  • Restauración de registros archivados desde la búsqueda
• Administración de amenazas
  • Visualización y supervisión de los datos mediante libros
  • Realización de búsqueda de amenazas de un extremo a otro con cazas
  • Uso de marcadores de búsqueda para investigaciones de datos
  • Uso de livestream de búsqueda en Microsoft Sentinel para detectar amenazas
  • Búsqueda de amenazas de seguridad con cuadernos de Jupyter Notebook
  • Adición masiva de indicadores a la inteligencia sobre amenazas de Microsoft Sentinel desde un archivo CSV o JSON
  • Trabajar con indicadores de amenazas en Microsoft Sentinel
  • Descripción de la cobertura de seguridad por parte del marco de trabajo de MITRE ATT&CK
• Administración de contenido
  • Detección y administración de contenido integrado de Microsoft Sentinel
  • Catálogo del centro de contenido de Microsoft Sentinel
  • Implementación de contenido personalizado desde el repositorio
• Configuración
  • Búsqueda del conector de datos de Microsoft Sentinel
  • Creación de reglas de análisis personalizadas para detectar amenazas
  • Trabajar con reglas de análisis de detección casi en tiempo real (NRT) en Microsoft Sentinel
  • Creación de listas de reproducción
  • Administración de listas de reproducción en Microsoft Sentinel
  • Creación de reglas de automatización
  • Creación y personalización de cuadernos de estrategias de Microsoft Sentinel a partir de plantillas de contenido

Busque la configuración de Microsoft Sentinel en el portal de Defender enConfiguración del>sistema>de Microsoft Sentinel.

Offboard Microsoft Sentinel

Solo puede tener un área de trabajo conectada al portal de Defender a la vez. Si desea conectarse a un área de trabajo diferente que tenga Habilitado Microsoft Sentinel, desconecte el área de trabajo actual y conecte la otra área de trabajo.

1. Vaya al portal de Microsoft Defender e inicie sesión.

2. En el portal de Defender, en Sistema, seleccione Configuración de>Microsoft Sentinel.

3. En la página Áreas de trabajo , seleccione el área de trabajo conectada y Desconectar área de trabajo.

4. Proporcione un motivo por el que está desconectando el área de trabajo.

5. Confirme la selección.

   Cuando el área de trabajo está desconectada, la sección de Microsoft Sentinel se quita de la navegación del lado izquierdo del portal de Defender. Los datos de Microsoft Sentinel ya no se incluyen en la página Información general.

Si desea conectarse a un área de trabajo diferente, en la página Áreas de trabajo, seleccione el área de trabajo y Conectar un área de trabajo.

Contenido relacionado

• Microsoft Sentinel en el portal de Microsoft Defender
• Búsqueda avanzada de amenazas en el portal de Microsoft Defender
• Interrupción automática de ataques en XDR de Microsoft Defender
• Investigar incidentes en Microsoft Defender XDR
• Optimización de las operaciones de seguridad