Investigación de dispositivos en Microsoft Defender para punto de conexión

Cuando se genera una alerta de seguridad o se detecta actividad sospechosa, es fundamental investigar el dispositivo afectado para comprender el ámbito de las posibles amenazas y reducir el riesgo. Microsoft Defender para punto de conexión proporciona herramientas completas para investigar los dispositivos, incluidas las escalas de tiempo de los dispositivos, la evaluación de la exposición de la red, las evaluaciones de seguridad y las acciones de respuesta.

En este artículo se explica el proceso de investigación del dispositivo y las herramientas disponibles para los analistas de seguridad.

Introducción a la investigación del dispositivo

La investigación de dispositivos en Microsoft Defender para punto de conexión sigue un enfoque sistemático para comprender las amenazas de seguridad:

Formas de acceder a la investigación del dispositivo

Puede acceder a páginas de investigación de dispositivos desde varias ubicaciones en el portal de Microsoft Defender:

Detalles del dispositivo

La sección de detalles del dispositivo proporciona información como el dominio, el sistema operativo y el estado de mantenimiento del dispositivo. Si hay un paquete de investigación disponible en el dispositivo, verá un vínculo que le permite descargar el paquete.

Acciones de respuesta

Las acciones de respuesta se ejecutan en la parte superior de una página de dispositivo específica e incluyen:

• Visualización en el mapa
• Valor del dispositivo
• Establecimiento de la importancia crítica
• Administrar etiquetas
• Aislar el dispositivo
• Restringir ejecución de aplicación
• Ejecutar examen de antivirus
• Recopilar el paquete de investigación
• Iniciar sesión de respuesta dinámica
• Inicio de una investigación automatizada
• Consultar a un experto en amenazas
• Centro de actividades

Puede realizar acciones de respuesta en el Centro de acciones, en una página de dispositivo específica o en una página de archivo específica.

Para obtener más información sobre cómo realizar acciones en un dispositivo, consulte Acción de respuesta en un dispositivo.

Para obtener más información, vea Investigar entidades de usuario.

Pestañas

Las pestañas proporcionan información de seguridad y prevención de amenazas pertinente relacionada con el dispositivo. En cada pestaña, puede personalizar las columnas que se muestran seleccionando Personalizar columnas en la barra situada encima de los encabezados de columna.

Información general

En la pestaña Información general se muestran las tarjetas para las alertas activas, los usuarios que han iniciado sesión y la evaluación de seguridad.

Incidentes y alertas

La pestaña Incidentes y alertas proporciona una lista de incidentes y alertas asociados al dispositivo. Esta lista es una versión filtrada de la cola de alertas y muestra una breve descripción del incidente, alerta, gravedad (alta, media, baja, informativa), estado en la cola (nuevo, en curso, resuelto), clasificación (no establecida, alerta falsa, alerta verdadera), estado de investigación, categoría de alerta, quién está abordando la alerta y última actividad. También puede filtrar las alertas.

Cuando se selecciona una alerta, aparece un control flotante. Desde este panel puede administrar la alerta y ver más detalles, como el número de incidente y los dispositivos relacionados. Se pueden seleccionar varias alertas a la vez.

Para ver una vista de página completa de una alerta, seleccione el título de la alerta.

Escala de tiempo

La pestaña Escala de tiempo proporciona una vista cronológica de los eventos y las alertas asociadas observadas en el dispositivo. Para obtener un tutorial detallado que incluya técnicas de MITRE ATT&CK, marcado de eventos y árboles de proceso, consulte Investigar escala de tiempo del dispositivo.

Recomendaciones de seguridad

Las recomendaciones de seguridad se generan a partir de la funcionalidad de administración de vulnerabilidades de Microsoft Defender para punto de conexión. Al seleccionar una recomendación se muestra un panel en el que puede ver detalles pertinentes, como la descripción de la recomendación y los posibles riesgos asociados a no aplicarla. Consulte Recomendación de seguridad para obtener más información.

Administración de configuración: directivas de seguridad

La pestaña Directivas de seguridad muestra las directivas de seguridad de punto de conexión que se aplican en el dispositivo. Verá una lista de directivas, tipo, estado y hora de última entrada. Al seleccionar el nombre de una directiva, se le lleva a la página de detalles de la directiva, donde puede ver el estado de la configuración de directiva, los dispositivos aplicados y los grupos asignados.

Administración de configuración: configuración efectiva

La pestaña Configuración efectiva proporciona visibilidad sobre el valor real de cada configuración de seguridad e identifica el origen que lo configuró. Enumera los nombres de configuración, los tipos de directiva, los valores efectivos, el origen de cada valor efectivo y la hora del último informe.

Los orígenes de configuración pueden incluir herramientas como Microsoft Defender para punto de conexión, directiva de grupo, Intune o la configuración predeterminada. También pueden ser rutas de acceso específicas del Registro, como MDM o directiva de grupo subárboles. Si el origen es una ubicación del Registro, el campo Configurado por se muestra como Desconocido junto con la ruta de acceso del Registro.

Seleccione una configuración para abrir un panel lateral con más detalles. Verá el valor actual, cualquier otro intento de configuración que no surtió efecto y, para configuraciones complejas como reglas ASR o exclusiones de AV, un desglose de todas las reglas configuradas, sus orígenes y cualquier exclusión.

Inventario de software

La pestaña Inventario de software le permite ver el software en el dispositivo, junto con cualquier debilidad o amenaza. Al seleccionar el nombre del software, se le lleva a la página de detalles del software, donde puede ver recomendaciones de seguridad, vulnerabilidades detectadas, dispositivos instalados y distribución de versiones. Consulte Inventario de software para obtener más información.

Vulnerabilidades detectadas

La pestaña Vulnerabilidades detectadas muestra el nombre, la gravedad y la información sobre amenazas de las vulnerabilidades detectadas en el dispositivo. Si selecciona una vulnerabilidad específica, verá una descripción y detalles.

KB que faltan

En la pestaña Missing KBs (Faltan KBs ) se enumeran las actualizaciones de seguridad que faltan para el dispositivo.

Tarjetas

Alertas activas

La tarjeta Azure Protección contra amenazas avanzada muestra información general de alto nivel de las alertas relacionadas con el dispositivo y su nivel de riesgo, si usa la característica Microsoft Defender for Identity y hay alertas activas. Hay más información disponible en la exploración en profundidad de alertas .

Usuarios que han iniciado sesión

La tarjeta Usuarios conectados muestra cuántos usuarios han iniciado sesión en los últimos 30 días, junto con los usuarios más y menos frecuentes. Al seleccionar el vínculo Ver todos los usuarios , se abre el panel de detalles, que muestra información como el tipo de usuario, el tipo de inicio de sesión y la primera y última vez que se vio al usuario. Para obtener más información, vea Investigar entidades de usuario.

Evaluaciones de seguridad

La tarjeta Evaluaciones de seguridad muestra el nivel de exposición general, las recomendaciones de seguridad, el software instalado y las vulnerabilidades detectadas. El nivel de exposición de un dispositivo viene determinado por el impacto acumulativo de sus recomendaciones de seguridad pendientes.

Estado de mantenimiento del dispositivo

La tarjeta estado de mantenimiento del dispositivo muestra un informe de estado resumido para el dispositivo específico. Uno de los siguientes mensajes se muestra en la parte superior de la tarjeta para indicar el estado general del dispositivo (en orden de mayor a menor prioridad):

• Antivirus de Defender no está activo
• La inteligencia de seguridad no está actualizada
• El motor no está actualizado
• Error en el examen rápido
• Error en el examen completo
• La plataforma no está actualizada
• El estado de actualización de inteligencia de seguridad es desconocido
• El estado de actualización del motor es desconocido
• El estado del examen rápido es desconocido
• El estado del examen completo es desconocido
• El estado de actualización de la plataforma es desconocido
• El dispositivo está actualizado
• Estado no disponible para macOS & Linux

Otra información de la tarjeta incluye: el último examen completo, el último examen rápido, la versión de actualización de inteligencia de seguridad, la versión de actualización del motor, la versión de actualización de la plataforma y el modo Antivirus de Defender.

Un círculo gris indica que los datos son desconocidos.

Para obtener una vista detallada del informe de estado del dispositivo, puede ir a Informes > del estado de los dispositivos. Para obtener más información, consulte Informe de cumplimiento y estado del dispositivo en Microsoft Defender para punto de conexión.

Investigar escala de tiempo del dispositivo

La escala de tiempo del dispositivo proporciona una vista cronológica de los eventos y las alertas asociadas observadas en un dispositivo, lo que le ayuda a investigar comportamientos anómalos y posibles ataques. Puede explorar eventos específicos, revisar MITRE ATT&técnicas de CK, usar árboles de proceso y marcar eventos para el seguimiento.

Para acceder a la escala de tiempo del dispositivo:

1. Vaya a la página del dispositivo desde:
   • Inventario dedispositivos (dispositivos activos>)
   • Una alerta en la cola de alertas
   • Un incidente en las alertas de incidentes &
2. Seleccione la pestaña Escala de tiempo .

Funcionalidades clave de escala de tiempo

La escala de tiempo del dispositivo incluye varias características que le ayudarán a investigar eventos de forma eficaz:

Eventos de búsqueda, filtrado y exportación

• Buscar eventos específicos: use la barra de búsqueda para buscar eventos de escala de tiempo específicos.
• Filtrar eventos de una fecha específica: seleccione el icono de calendario en la parte superior izquierda de la tabla para mostrar los eventos del último día, semana, 30 días o intervalo personalizado. De forma predeterminada, la escala de tiempo del dispositivo muestra los eventos de los últimos 30 días. Use la escala de tiempo para ir a un momento específico en el tiempo resaltando la sección. Las flechas de la escala de tiempo identifican las investigaciones automatizadas.
• Exportar eventos detallados de escala de tiempo del dispositivo: exporte la escala de tiempo del dispositivo para la fecha actual o un intervalo de fechas especificado de hasta siete días.

En la sección Información adicional aparecen más detalles sobre determinados eventos. Estos detalles varían en función del tipo de evento, por ejemplo:

• Contenido en Application Guard: el evento del explorador web estaba restringido por un contenedor aislado
• Se detectó una amenaza activa: la detección de amenazas se produjo mientras se estaba ejecutando la amenaza.
• Corrección incorrecta: se invocó un intento de corregir la amenaza detectada, pero se produjo un error
• Corrección correcta: la amenaza detectada se ha detenido y limpiado.
• Advertencia omitida por el usuario: la advertencia SmartScreen de Windows Defender fue descartada y reemplazada por un usuario.
• Script sospechoso detectado: se encontró un script potencialmente malintencionado en ejecución
• Categoría de alerta: si el evento produjo la generación de una alerta, se proporciona la categoría de alerta (movimiento lateral, por ejemplo).

Detalles del evento

Seleccione un evento para ver los detalles pertinentes sobre ese evento. Un panel muestra información general del evento. Cuando corresponda y los datos estén disponibles, también se muestra un gráfico que muestra las entidades relacionadas y sus relaciones.

Para inspeccionar aún más el evento y los eventos relacionados, puede ejecutar rápidamente una consulta de búsqueda avanzada seleccionando Buscar eventos relacionados. La consulta devuelve el evento seleccionado y la lista de otros eventos que se produjeron aproximadamente al mismo tiempo en el mismo punto de conexión.

Técnicas de MITRE ATT&CK en la escala de tiempo del dispositivo

Las técnicas son un tipo de datos adicional en la escala de tiempo de eventos que proporciona más información sobre las actividades asociadas a MITRE ATT& técnicas de CK o subtecniques. Esta característica simplifica la experiencia de investigación al ayudar a los analistas a comprender las actividades que se observaron en un dispositivo.

Las técnicas se resaltan en negrita y aparecen con un icono azul a la izquierda. El id. de CK y el nombre de la técnica de MITRE AT&T correspondientes también aparecen como etiquetas en Información adicional. Las opciones de búsqueda y exportación también están disponibles para Técnicas.

Seleccione una técnica para abrir su panel lateral correspondiente. Aquí puede ver información adicional e información, como técnicas, tácticas y descripciones relacionadas con ATT&CK. Seleccione la técnica de ataque específica para abrir la página de técnica de ATT&CK relacionada, donde puede encontrar más información al respecto.

Puede copiar los detalles de una entidad cuando vea un icono azul a la derecha. Por ejemplo, para copiar sha1 de un archivo relacionado, seleccione el icono de página azul.

Puede hacer lo mismo con las líneas de comandos.

Para usar la búsqueda avanzada para buscar eventos relacionados con la técnica seleccionada, seleccione Buscar eventos relacionados. Esto conduce a la página de búsqueda avanzada con una consulta para buscar eventos relacionados con la técnica.

Cliente EDR (MsSense.exe) Resource Manager

Cuando el cliente EDR de un dispositivo se está quedando sin recursos, entra en modo crítico para mantener el funcionamiento normal del dispositivo. El dispositivo no procesará nuevos eventos hasta que el cliente de EDR vuelva a un estado normal. Aparece un nuevo evento en la escala de tiempo de ese dispositivo que indica que el cliente EDR cambió al modo crítico .

Cuando el uso de recursos del cliente EDR vuelve a los niveles normales, vuelve automáticamente al modo normal.

Marca de eventos para seguimiento

Las marcas de eventos en la escala de tiempo del dispositivo ayudan a filtrar y organizar eventos específicos al investigar posibles ataques.

Después de pasar por una escala de tiempo del dispositivo, puede ordenar, filtrar y exportar los eventos específicos que ha marcado. Puede establecer marcas de eventos mediante:

• Resaltar los eventos más importantes
• Marcado de eventos que requieren un análisis profundo
• Creación de una escala de tiempo de infracción limpia

Para marcar un evento:

1. Busque el evento que desea marcar.
2. Seleccione el icono de marca en la columna Marca.

Para ver eventos marcados:

1. En la sección Filtros de escala de tiempo, habilite Eventos marcados.
2. Seleccione Aplicar. Solo se muestran los eventos marcados.

Puede aplicar más filtros haciendo clic en la barra de tiempo. Esto solo muestra los eventos anteriores al evento marcado.

Personalización de la escala de tiempo del dispositivo

En la parte superior derecha de la escala de tiempo del dispositivo, puede elegir un intervalo de fechas para limitar el número de eventos y técnicas en la escala de tiempo. Puede personalizar qué columnas se van a exponer y filtrar para los eventos marcados por tipo de datos o por grupo de eventos.

Para ver solo eventos o técnicas, seleccione Filtros en la escala de tiempo del dispositivo y elija el tipo de datos que quiera ver.

Retención de datos de escala de tiempo

Los eventos de escala de tiempo del dispositivo en Microsoft Defender para punto de conexión se conservan según la directiva de retención de datos de la organización configurada en el portal de seguridad y la configuración del área de trabajo subyacente. De forma predeterminada, los datos de eventos de seguridad (incluidos los elementos de escala de tiempo del dispositivo) en Defender para punto de conexión se conservan durante 90 días. Si el inquilino envía registros a una Microsoft Sentinel conectada o un área de trabajo de Log Analytics con un período de retención personalizado, es posible que los eventos de escala de tiempo retenidos allí estén disponibles durante más tiempo, tal como se define en esa configuración de retención.

Investigación de dispositivos accesibles desde Internet

Los dispositivos accesibles desde Internet se pueden conectar o acceder desde el exterior, lo que supone una amenaza significativa para la organización. La asignación de la superficie expuesta a ataques externos de la organización es una parte clave de la administración de la posición de seguridad. Microsoft Defender para punto de conexión identifica y marca automáticamente los dispositivos incorporados, expuestos y accesibles desde Internet en el portal de Microsoft Defender.

Cómo se marcan los dispositivos como accesibles desde Internet

Los dispositivos que se conectan correctamente a través de TCP o que se identifican como host accesibles a través de UDP se marcan como accesibles desde Internet. Defender para punto de conexión usa dos orígenes de datos:

Los dispositivos se pueden marcar cuando una directiva de firewall configurada (regla de firewall de host o regla de firewall de empresa) permite la comunicación entrante de Internet. Comprender la directiva de firewall y distinguir los dispositivos que están orientados intencionadamente a Internet de aquellos que podrían poner en peligro la organización proporcionan información crítica para asignar la superficie expuesta a ataques externos.

Visualización de dispositivos accesibles desde Internet

Para ver dispositivos accesibles desde Internet en el portal de Microsoft Defender:

1. Vaya a Dispositivo de recursos> en el portal de Microsoft Defender.

   

2. Busque dispositivos con la etiqueta de conexión a Internet en la columna Etiquetas .

3. Mantenga el puntero sobre la etiqueta para ver por qué se aplicó:

   • Este dispositivo se detectó mediante un examen externo
   • Este dispositivo recibió comunicación entrante externa

En la parte superior de la página, puede ver un contador que muestra el número de dispositivos identificados como accesibles desde Internet y potencialmente menos seguros.

Filtro para dispositivos accesibles desde Internet

Use filtros para centrarse en los dispositivos accesibles desde Internet e investigar el riesgo que pueden presentar:

La etiqueta de dispositivo accesible desde Internet también aparece en Administración de vulnerabilidades de Microsoft Defender, lo que le permite filtrar los dispositivos accesibles desde Internet desde las páginas de puntos débiles y recomendaciones de seguridad del portal de Microsoft Defender.

Investigación de un dispositivo accesible desde Internet

Para ver información detallada sobre un dispositivo accesible desde Internet, seleccione el dispositivo en el inventario de dispositivos para abrir su panel flotante:

El control flotante incluye:

Uso de consultas de búsqueda avanzadas

Use consultas de búsqueda avanzadas para obtener visibilidad e información sobre los dispositivos accesibles desde Internet en su organización.

Obtener todos los dispositivos accesibles desde Internet

Use esta consulta para buscar todos los dispositivos accesibles desde Internet:

// Find all devices that are internet-facing
DeviceInfo
| where Timestamp > ago(7d)
| where IsInternetFacing
| extend InternetFacingInfo = AdditionalFields
| extend InternetFacingReason = extractjson("$.InternetFacingReason", InternetFacingInfo, typeof(string)), InternetFacingLocalPort = extractjson("$.InternetFacingLocalPort", InternetFacingInfo, typeof(int)), InternetFacingScannedPublicPort = extractjson("$.InternetFacingPublicScannedPort", InternetFacingInfo, typeof(int)), InternetFacingScannedPublicIp = extractjson("$.InternetFacingPublicScannedIp", InternetFacingInfo, typeof(string)), InternetFacingLocalIp = extractjson("$.InternetFacingLocalIp", InternetFacingInfo, typeof(string)),   InternetFacingTransportProtocol=extractjson("$.InternetFacingTransportProtocol", InternetFacingInfo, typeof(string)), InternetFacingLastSeen = extractjson("$.InternetFacingLastSeen", InternetFacingInfo, typeof(datetime))
| summarize arg_max(Timestamp, *) by DeviceId

Esta consulta devuelve los campos siguientes para cada dispositivo accesible desde Internet:

Obtener información sobre las conexiones entrantes

En el caso de las conexiones TCP, obtenga información sobre las aplicaciones o servicios identificados como escuchas en un dispositivo consultando DeviceNetworkEvents.

Si las consultas anteriores no proporcionan las conexiones pertinentes, puede usar métodos de colección de socket para recuperar el proceso de origen. Para obtener más información sobre las distintas herramientas y funcionalidades disponibles para ello, consulte:

• Respuesta dinámica de Defender para punto de conexión
• Microsoft Network Monitor
• Netstat para Windows

Imprecisión del informe

Si un dispositivo tiene información incorrecta orientada a Internet, puede notificar una imprecisión:

1. Abra el control flotante del dispositivo desde la página Inventario de dispositivos.
2. Seleccione Notificar imprecisión del dispositivo.
3. En la lista desplegable Qué parte es inexacta , seleccione Información del dispositivo.
4. En Qué información es inexacta , seleccione la casilla de clasificación accesible desde Internet en la lista desplegable.
5. Rellene los detalles solicitados sobre cuál debe ser la información correcta.
6. Proporcione una dirección de correo electrónico (opcional).
7. Seleccione Enviar informe.

Artículos relacionados

• Ver y organizar la cola de alertas de Microsoft Defender para punto de conexión
• Administrar alertas de Microsoft Defender para punto de conexión
• Investigar alertas de Microsoft Defender para punto de conexión
• Investigación de un archivo asociado a una alerta de Defender para punto de conexión
• Investigación de una dirección IP asociada a una alerta de Defender para punto de conexión
• Investigación de un dominio asociado a una alerta de Defender para punto de conexión
• Investigación de una cuenta de usuario en Defender para punto de conexión
• Recomendación de seguridad
• Inventario de software