Workshop myCloudDoor:  

Microsoft Sentinel y Microsoft Defender XDR

Existen numerosas herramientas de ciberseguridad diseñadas para ayudar a las organizaciones a proteger sus datos, personas y sistemas de información. En el mercado, podemos encontrar herramientas que analizan correos electrónicos para detectar intentos de phishing, protegen infraestructuras TIC y entornos en la nube, y proporcionan IA generativa para detectar amenazas avanzadas y elevar el nivel de respuesta más allá de la capacidad humana. Aunque cada una de estas herramientas es valiosa por sí misma, cada una solo desempeña una parte en la gestión general de la ciberseguridad de una organización. El enfoque más efectivo para proteger tu organización es implementar una plataforma unificada en el Centro de Operaciones de Seguridad (SOC), combinando todas estas funciones de ciberseguridad en una sola. Microsoft ha priorizado los esfuerzos para unificar estas herramientas y ahora está dando el siguiente paso en la consolidación. 

En el evento Microsoft Ignite 2023, Microsoft anunció que están unificando Microsoft Sentinel, que ofrece análisis avanzados de amenazas e inteligencia de amenazas, con Microsoft Defender XDR, la solución de detección y respuesta extendida (XDR), en una plataforma unificada de operaciones de seguridad. Esta plataforma ofrece características más completas, automatización, experiencias guiadas y una inteligencia de amenazas más precisa. 

Durante el Workshop de myCloudDoor sobre Microsoft Sentinel y Microsoft Defender XDR, exploramos las capacidades SOC de Microsoft Sentinel, una solución escalable y nativa de la nube que proporciona tanto Gestión de Información y Eventos de Seguridad (SIEM) como Orquestación, Automatización y Respuesta de Seguridad (SOAR). Además, exploramos la última tecnología alrededor de la solución SIEM y XDR integrada de Microsoft y cómo puede proteger tu entorno y protegerte de adversarios. 

Además, compartimos que Microsoft Security Copilot es una experiencia integrada en la plataforma, beneficiando a las organizaciones con sus capacidades de IA generativa. 

¿Cómo puede la combinación de varias herramientas de ciberseguridad en una plataforma unificada de operaciones de seguridad ayudar a tu organización y cómo puede beneficiar a un SOC moderno? 

• ¿Qué es una plataforma SOC unificada? 

Una plataforma SOC unificada es un conjunto totalmente integrado de herramientas que permiten a los equipos de seguridad prevenir, detectar, investigar y responder a amenazas de ciberseguridad dentro de su organización. Esto significa ofrecer lo mejor de las capacidades SIEM, una plataforma XDR, SOAR y la gestión adecuada de posturas e inteligencia de amenazas con IA generativa avanzada en una sola plataforma. 

Esto protegerá mejor a tu organización y todos sus componentes, incluyendo identidades híbridas, endpoints, aplicaciones en la nube, aplicaciones empresariales, correos electrónicos y documentos, el Internet de las Cosas (IoT), la red, tecnología operativa (OT), infraestructura y cargas de trabajo en la nube, con las capacidades de una plataforma de seguridad unificada. Y esto te permite proteger todo de manera más eficiente. Microsoft tiene la única plataforma unificada de operaciones de seguridad que ofrece capacidades SIEM, SOAR y XDR con funcionalidades y capacidades completas. 

1.Unificar conocimientos

Uno de los principales problemas con un enfoque no unificado de la ciberseguridad es que los datos están dispersos en varios registros y herramientas de seguridad. Esto supone un obstáculo al intentar extraer información de los datos lo suficientemente temprano para anticiparse mejor a las amenazas cibernéticas y defenderse contra ellas. Otro desafío de no tener una solución unificada es que es casi imposible ver cómo un atacante cibernético se mueve a través de los diferentes vectores de un ataque. Dado que los atacantes cibernéticos pueden moverse lateralmente a través de la red de una organización y establecer persistencia, es imperativo detectarlos de manera ágil y eficiente, sin dejar ningún "punto ciego". 

Al unificar la búsqueda, los incidentes, los modelos de datos y otras funciones de protección contra amenazas en SIEM, SOAR y XDR, es posible buscar todo en un solo lugar, sin necesidad de recordar dónde están almacenados los datos, ejecutar dos consultas de búsqueda diferentes o normalizar datos en varias herramientas. Los incidentes unificados proporcionan una vista holística y centralizada de todas las amenazas, ya que toda la información está ubicada en un solo lugar, resultando en una mejor inteligencia de amenazas. El resultado de tener esta visión general de lo que está sucediendo en tu organización es un ahorro de tiempo para los analistas y un aumento de la confianza en tu protección. 

Es posible mantener la organización segura mientras los analistas se benefician al enfocarse en señales de riesgo reales, pasando menos tiempo correlacionando alertas, abordando falsos positivos y acelerando el tiempo promedio de respuesta y recuperación. El tiempo es crucial cuando se trata de mantener la seguridad de tu organización, y una solución unificada permite a los analistas adelantarse a los ciberataques. 

2.Lograr una mejor protección

Con un enfoque unificado de la seguridad corporativa, obtienes lo mejor de ambos mundos. Ganas toda la flexibilidad de un SIEM con la profundidad de protección, capacidad de respuesta automatizada y valor inmediato de un XDR. Este aspecto de flexibilidad comienza con la elección de cómo desplegar una plataforma unificada, haciéndolo de una manera que se ajuste a tus necesidades, prioridades y presupuesto. Cuando múltiples capacidades de seguridad se distribuyen a través de múltiples soluciones en una sola plataforma, tu organización permanece más segura al ganar flexibilidad de almacenamiento y contención automática contra ataques. 

Además, la optimización del SOC es una nueva característica, que ofrece recomendaciones para asegurar que el valor de la seguridad se maximice; por ejemplo, almacenando datos en el nivel de registro más eficiente, logrando detecciones en todos tus datos y manteniendo una postura de detección fuerte. 

Una vez desplegada dicha plataforma unificada, es importante tener capacidad y flexibilidad en el almacenamiento de datos y funciones de seguridad avanzadas. Con el almacenamiento de datos de Microsoft Sentinel, tendremos flexibilidad en la retención de datos, con un valor predeterminado de 90 días sin costo. Además, con la capacidad extendida para la contención y disrupción contra ataques de Microsoft Defender XDR, en los datos ingeridos a través de Microsoft Sentinel, como datos SAP®, aumenta la inmunidad contra ciberataques, conteniendo incidentes antes de que puedan propagarse por toda tu organización.

3. Mejorar la investigación de amenazas con IA generativa 

Con el aumento del número y la complejidad de los ciberataques, los equipos de seguridad pueden sentirse abrumados. Aquí es donde la ayuda de la IA puede entrar en juego, detectando amenazas que los equipos de seguridad podrían pasar por alto. Una plataforma unificada que incluya IA generativa puede ayudar al equipo de seguridad a lograr mejores resultados de seguridad. Por ejemplo, la IA generativa puede asistir con investigaciones guiadas, búsqueda en lenguaje natural, recomendaciones de prescripción y acción, y resúmenes sencillos. 

Microsoft Security Copilot, la solución de seguridad generativa de Microsoft impulsada por IA, está disponible para compra adicional para fortalecer aún más la plataforma SOC unificada. Security Copilot aprovecha la IA para asistir a los analistas con flujos de trabajo complejos y lentos diarios, incluyendo: 

• Investigación y respuesta de incidentes de extremo a extremo con narrativas de ciberataques claramente descritas. 

• Orientación sobre medidas correctivas paso a paso. 

• Informes resumidos de actividad de incidentes, búsqueda en lenguaje natural con Kusto Query Language (KQL) y análisis de código experto, optimizando la eficiencia del SOC a través de los datos de Microsoft Sentinel y Defender XDR. 

Security Copilot facilita más que nunca a los profesionales experimentados tomar cada paso de seguridad necesario, acelerar tareas como escribir KQL y decodificar scripts, y ayuda a capacitar a nuevos empleados con una guía intuitiva paso a paso. 

4.Conoce y prueba la plataforma SOC unificada de Microsoft

myCloudDoor ofrece un taller que te permite conocer y desplegar la plataforma unificada de Microsoft Sentinel y Microsoft XDR. De esta manera, obtendrás una comprensión profunda de la plataforma, la integración lista para usar de SIEM, SOAR y XDR, afinando los casos de uso más importantes, y una visión del valor que el servicio y la plataforma aportan a tu organización. 

Si un enfoque de plataforma unificada para SecOps moderno suena interesante, podemos ayudarte a verificar que tener Microsoft Sentinel, Defender XDR, Security Copilot y un servicio gestionado de detección y respuesta 24x7 puede beneficiar a tu organización con un enfoque integral de seguridad. 

Miguel Monedero
Security Director en myCloudDoor