Supervisión de arquitecturas de seguridad de Confianza cero (TIC 3.0) con Microsoft Sentinel

Confianza cero es una estrategia de seguridad para diseñar e implementar los siguientes conjuntos de principios de seguridad:

Comprobar de forma explícita. Utilizar el acceso con menos privilegios Asumir la vulneración.
Autentique y autorice siempre en función de todos los puntos de datos disponibles. Limite el acceso de usuario con Just-In-Time y Just-Enough-Access (JIT/JEA), directivas adaptables basadas en riesgos y protección de datos. Minimizar el radio de explosión y el acceso a segmentos. Compruebe el cifrado de un extremo a otro y use análisis para obtener visibilidad, impulsar la detección de amenazas y mejorar las defensas.

En este artículo se describe cómo usar la solución Microsoft Sentinel Confianza cero (TIC 3.0), que ayuda a los equipos de gobernanza y cumplimiento a supervisar y responder a los requisitos de Confianza cero según la iniciativa TRUSTED INTERNET CONNECTIONS (TIC) 3.0.

Microsoft Sentinel soluciones son conjuntos de contenido agrupado, preconfigurados para un conjunto específico de datos. La solución Confianza cero (TIC 3.0) incluye un libro, reglas de análisis y un cuaderno de estrategias, que proporcionan una visualización automatizada de los principios de Confianza cero, se cruzan con el marco Trust Internet Connections, lo que ayuda a las organizaciones a supervisar las configuraciones a lo largo del tiempo.

Nota:

Obtenga una visión completa del estado de Confianza cero de la organización con la iniciativa Confianza cero en Administración de la exposición de Microsoft. Para obtener más información, consulte Modernización rápida de la posición de seguridad para Confianza cero | Microsoft Learn.

La solución Confianza cero y el marco TIC 3.0

Confianza cero y TIC 3.0 no son los mismos, pero comparten muchos temas comunes y juntos proporcionan una historia común. La solución Microsoft Sentinel para Confianza cero (TIC 3.0) ofrece pasos transversales detallados entre Microsoft Sentinel y el modelo de Confianza cero con el marco TIC 3.0. Estos pasos cruzados ayudan a los usuarios a comprender mejor las superposiciones entre los dos.

Aunque la solución Microsoft Sentinel para Confianza cero (TIC 3.0) proporciona instrucciones sobre procedimientos recomendados, Microsoft no garantiza ni implica el cumplimiento. Todos los requisitos, validaciones y controles de conexión a Internet de confianza (TIC) se rigen por la Cybersecurity & Infrastructure Security Agency.

La solución Confianza cero (TIC 3.0) proporciona visibilidad y reconocimiento situacional de los requisitos de control que se proporcionan con las tecnologías de Microsoft en entornos predominantemente basados en la nube. La experiencia del cliente variará según el usuario y algunos paneles pueden requerir configuraciones adicionales y la modificación de consultas para la operación.

Las recomendaciones no implican la cobertura de los controles respectivos, ya que a menudo son uno de varios cursos de acción para abordar los requisitos, que es único para cada cliente. Las recomendaciones deben considerarse un punto de partida para planear la cobertura completa o parcial de los requisitos de control respectivos.

La solución Microsoft Sentinel para Confianza cero (TIC 3.0) es útil para cualquiera de los siguientes usuarios y casos de uso:

  • Profesionales de gobernanza, riesgo y cumplimiento de seguridad para la evaluación y la generación de informes de la posición de cumplimiento
  • Ingenieros y arquitectos, que necesitan diseñar cargas de trabajo alineadas con Confianza cero y TIC 3.0
  • Analistas de seguridad, para la creación de alertas y automatización
  • Proveedores de servicios de seguridad administrados (MSSP) para servicios de consultoría
  • Administradores de seguridad, que necesitan revisar los requisitos, analizar informes, evaluar funcionalidades

Requisitos previos

Antes de instalar la solución Confianza cero (TIC 3.0), asegúrese de que tiene los siguientes requisitos previos:

  • Incorporación de servicios de Microsoft: asegúrese de que tiene habilitados Microsoft Sentinel y Microsoft Defender for Cloud en la suscripción de Azure.

  • Microsoft Defender para los requisitos de la nube: en Microsoft Defender for Cloud:

    • Agregue los estándares normativos necesarios al panel. Asegúrese de agregar tanto la prueba comparativa de seguridad de Microsoft Cloud como las evaluaciones de NIST SP 800-53 R5 al panel de Microsoft Defender for Cloud. Para obtener más información, consulte incorporación de un estándar normativo al panel en la documentación de Microsoft Defender for Cloud.

    • Exporte continuamente los datos de Microsoft Defender for Cloud al área de trabajo de Log Analytics. Para obtener más información, consulte Exportación continua de Microsoft Defender para datos en la nube.

  • Permisos de usuario necesarios. Para instalar la solución Confianza cero (TIC 3.0), debe tener acceso al área de trabajo de Microsoft Sentinel con permisos de Lector de seguridad.

La solución Confianza cero (TIC 3.0) también se mejora mediante integraciones con otros servicios de Microsoft, como:

Instalación de la solución Confianza cero (TIC 3.0)

Para implementar la solución Confianza cero (TIC 3.0) desde el Azure Portal:

  1. En Microsoft Sentinel, seleccione Centro de contenido y busque la solución Confianza cero (TIC 3.0).

  2. En la parte inferior derecha, seleccione Ver detalles y, a continuación, Crear. Seleccione la suscripción, el grupo de recursos y el área de trabajo donde desea instalar la solución y, a continuación, revise el contenido de seguridad relacionado que se implementará.

    Cuando haya terminado, seleccione Revisar y crear para instalar la solución.

Para obtener más información, consulte Implementación de contenido y soluciones integrados.

Escenario de uso de ejemplo

En las secciones siguientes se muestra cómo un analista de operaciones de seguridad podría usar los recursos implementados con la solución Confianza cero (TIC 3.0) para revisar los requisitos, explorar consultas, configurar alertas e implementar la automatización.

Después de instalar la solución Confianza cero (TIC 3.0), use el libro, las reglas de análisis y el cuaderno de estrategias implementados en el área de trabajo de Microsoft Sentinel para administrar Confianza cero en la red.

Visualización de datos Confianza cero

  1. Vaya al libro libros Microsoft Sentinel >Confianza cero (TIC 3.0) y seleccione Ver libro guardado.

    En la página del libro Confianza cero (TIC 3.0), seleccione las funcionalidades de TIC 3.0 que desea ver. Para este procedimiento, seleccione Detección de intrusiones.

    Sugerencia

    Use el botón de alternancia Guía de la parte superior de la página para mostrar u ocultar recomendaciones y paneles de guía. Asegúrese de que los detalles correctos están seleccionados en las opciones Suscripción, Área de trabajo y TimeRange para que pueda ver los datos específicos que desea encontrar.

  2. Seleccione las tarjetas de control que desea mostrar. Para este procedimiento, seleccione Adaptive Access Control (Adaptable Access Control) y, a continuación, continúe desplazando para ver la tarjeta mostrada.

    Captura de pantalla de la tarjeta de Access Control adaptable.

    Sugerencia

    Use el botón de alternancia Guías en la parte superior izquierda para ver u ocultar recomendaciones y paneles de guía. Por ejemplo, estos pueden ser útiles al acceder por primera vez al libro, pero innecesarios una vez que haya comprendido los conceptos pertinentes.

  3. Explorar consultas. Por ejemplo, en la parte superior derecha de la tarjeta adaptive Access Control, seleccione el menú Opciones de tres puntos y, a continuación, seleccione Abrir la última consulta de ejecución en la vista Registros.

    La consulta se abre en la página Registros de Microsoft Sentinel:

    Captura de pantalla de la consulta seleccionada en la página Registros de Microsoft Sentinel.

En Microsoft Sentinel, vaya al área Análisis. Vea las reglas de análisis integradas implementadas con la solución Confianza cero (TIC 3.0) mediante la búsqueda de TIC3.0.

De forma predeterminada, la solución Confianza cero (TIC 3.0) instala un conjunto de reglas de análisis que están configuradas para supervisar Confianza cero posición (TIC3.0) por familia de control, y puede personalizar los umbrales para alertar a los equipos de cumplimiento de cambios en la posición.

Por ejemplo, si la posición de resistencia de la carga de trabajo está por debajo de un porcentaje especificado en una semana, Microsoft Sentinel generará una alerta para detallar el estado de la directiva correspondiente (paso/error), los recursos identificados, la última hora de evaluación y proporcionar vínculos profundos a Microsoft Defender para cloud para las acciones de corrección.

Actualice las reglas según sea necesario o configure una nueva:

Captura de pantalla del Asistente para reglas de Analytics.

Para obtener más información, consulte Creación de reglas de análisis personalizadas para detectar amenazas.

Responder con SOAR

En Microsoft Sentinel, vaya a la pestañaCuadernos de estrategias activos de Automation> y busque el cuaderno de estrategias Notify-GovernanceComplianceTeam.

Use este cuaderno de estrategias para supervisar automáticamente las alertas de CMMC y notificar al equipo de cumplimiento de gobernanza los detalles pertinentes a través de correo electrónico y mensajes de Microsoft Teams. Modifique el cuaderno de estrategias según sea necesario:

Captura de pantalla del diseñador de aplicaciones lógicas que muestra un cuaderno de estrategias de ejemplo.

Para obtener más información, consulte Uso de desencadenadores y acciones en Microsoft Sentinel cuadernos de estrategias.

Preguntas frecuentes

¿Se admiten vistas e informes personalizados?

Sí. Puede personalizar el libro de Confianza cero (TIC 3.0) para ver los datos por suscripción, área de trabajo, tiempo, familia de control o parámetros de nivel de madurez, y puede exportar e imprimir el libro.

Para obtener más información, consulte Uso de libros de supervisión de Azure para visualizar y supervisar los datos.

¿Se requieren productos adicionales?

Se requieren Microsoft Sentinel y Microsoft Defender for Cloud.

Aparte de estos servicios, cada tarjeta de control se basa en datos de varios servicios, en función de los tipos de datos y visualizaciones que se muestran en la tarjeta. Más de 25 servicios de Microsoft proporcionan enriquecimiento para la solución Confianza cero (TIC 3.0).

¿Qué debo hacer con paneles sin datos?

Los paneles sin datos proporcionan un punto de partida para abordar los requisitos de control de Confianza cero y TIC 3.0, incluidas las recomendaciones para abordar los controles respectivos.

¿Se admiten varias suscripciones, nubes e inquilinos?

Sí. Puede usar parámetros de libro, Azure Lighthouse y Azure Arc para aprovechar la solución de Confianza cero (TIC 3.0) en todas las suscripciones, nubes e inquilinos.

Para obtener más información, consulte Uso de libros de Azure Monitor para visualizar y supervisar los datos y Administración de varios inquilinos en Microsoft Sentinel como MSSP.

¿Se admite la integración de asociados?

Sí. Tanto los libros como las reglas de análisis son personalizables para las integraciones con servicios de asociados.

Para obtener más información, consulta Usar libros de supervisión de Azure para visualizar y supervisar los datos y los detalles de eventos personalizados de Surface en alertas.

¿Está disponible en las regiones gubernamentales?

Sí. La solución Confianza cero (TIC 3.0) está en versión preliminar pública y se puede implementar en regiones comerciales o gubernamentales. Para obtener más información, consulte Disponibilidad de características en la nube para clientes comerciales y del Gobierno de EE. UU.

¿Qué permisos se necesitan para usar este contenido?

Para obtener más información, vea Permisos en Microsoft Sentinel.

Siguientes pasos

Para más información, vea:

Vea nuestros vídeos:

Lea nuestros blogs.

  • Last updated on