Integración de Microsoft Defender for Cloud con Azure VMware Solution

  • Artículo
  • Tiempo de lectura: 5 minutos

Microsoft Defender for Cloud proporciona protección contra amenazas avanzada en las máquinas virtuales (VM) de Azure VMware Solution y del entorno local. Evalúa la vulnerabilidad de las máquinas virtuales de Azure VMware Solution y genera alertas según sea necesario. Estas alertas de seguridad se pueden reenviar a Azure Monitor para su resolución. En Microsoft Defender for Cloud, puede definir directivas de seguridad. Para más información, consulte Administrar directivas de seguridad.

Microsoft Defender for Cloud ofrece muchas características, entre las que se incluyen las siguientes:

  • Supervisión de la integridad de los archivos
  • Detección de ataques sin archivos
  • Evaluación de revisiones del sistema operativo
  • Evaluación de configuraciones de seguridad incorrectas
  • Evaluación de EndPoint Protection

En el diagrama se muestra la arquitectura de supervisión integrada de la seguridad integrada de las máquinas virtuales de Azure VMware Solution.

Diagram showing the architecture of Azure Integrated Security.

El agente de Log Analytics recopila datos de registro de Azure, Azure VMware Solution y las máquinas virtuales locales. Los datos de registro se envían a los registros de Azure Monitor y se almacenan en un área de trabajo de Log Analytics. Cada área de trabajo tiene su propio repositorio de datos y configuración para almacenar datos. Una vez recopilados los registros, Microsoft Defender for Cloud evalúa el estado de vulnerabilidad de las máquinas virtuales de Azure VMware Solution y genera una alerta si detecta alguna vulnerabilidad crítica. Tras la evaluación, Microsoft Defender for Cloud reenvía el estado de vulnerabilidad a Microsoft Sentinel para crear un incidente y asignarlo junto con otras amenazas. Microsoft Defender for Cloud se conecta a Microsoft Sentinel mediante el conector de Microsoft Defender for Cloud.

Requisitos previos

Adición de máquinas virtuales de Azure VMware Solution a Defender for Cloud

  1. En Azure Portal, busque Azure Arc y selecciónelo.

  2. En Recursos, seleccione Servidores y, después, +Agregar.

    Screenshot showing Azure Arc Servers page for adding an Azure VMware Solution VM to Azure.

  3. Seleccione Generar scripts.

    Screenshot of Azure Arc page showing option for adding a server using interactive script.

  4. En la pestaña Requisitos previos, seleccione Siguiente.

  5. En la pestaña Detalles del recurso, rellene los detalles siguientes y, a continuación, seleccione Siguiente: Etiquetas.

    • Subscription

    • Grupo de recursos

    • Region

    • Sistema operativo

    • Detalles del servidor proxy

  6. En la pestaña Etiquetas, seleccione Siguiente.

  7. En la pestaña Descargar y ejecutar el script, seleccione Descargar.

  8. Especifique el sistema operativo y ejecute el script en la máquina virtual de Azure VMware Solution.

Visualización de recomendaciones y evaluaciones superadas

Las recomendaciones y evaluaciones proporcionan los detalles sobre el estado de seguridad del recurso.

  1. En Microsoft Defender for Cloud, seleccione Inventario en el panel izquierdo.

  2. En Tipo de recurso, seleccione Servidores: Azure Arc.

    Screenshot showing the Microsoft Defender for Cloud Inventory page with the Servers - Azure Arc selected under Resource type.

  3. Seleccione el nombre del recurso. Se abre una página que muestra los detalles del estado de seguridad del recurso.

  4. En Lista de recomendaciones, seleccione las pestañas Recomendaciones, Evaluaciones correctas, y Evaluaciones no disponibles para ver estos detalles.

    Screenshot showing the Microsoft Defender for Cloud security recommendations and assessments.

Implementación de un área de trabajo de Microsoft Sentinel

Microsoft Sentinel proporciona análisis de seguridad, detección de alertas y respuesta automática a amenazas en todo un entorno. Se trata de una solución de administración de eventos e información de seguridad (SIEM) nativa de la nube que se basa en un área de trabajo de Log Analytics.

Dado que Microsoft Sentinel se basa en un área de trabajo de Log Analytics, solo tiene que seleccionar el área de trabajo que desea usar.

  1. En Azure Portal, busque Microsoft Sentinel y selecciónelo.

  2. En la página Áreas de trabajo de Microsoft Sentinel, seleccione +Agregar.

  3. Seleccione el área de trabajo de Log Analytics y, después, Agregar.

Habilitación del recopilador de datos para eventos de seguridad

  1. En la página Áreas de trabajo de Microsoft Sentinel, seleccione el área de trabajo configurada.

  2. En Configuración, seleccione Conectores de datos.

  3. En la columna Nombre del conector, seleccione Eventos de seguridad en la lista y, después, seleccione Abrir página del conector.

  4. En la página del conector, seleccione los eventos que desea transmitir y, después, seleccione Aplicar cambios.

    Screenshot of Security Events page in Microsoft Sentinel where you can select which events to stream.

Conexión de Microsoft Sentinel con Microsoft Defender for Cloud

  1. En la página Áreas de trabajo de Microsoft Sentinel, seleccione el área de trabajo configurada.

  2. En Configuración, seleccione Conectores de datos.

  3. Elija Microsoft Defender for Cloud en la lista y seleccione Open connector page (Abrir página del conector).

    Screenshot of Data connectors page in Microsoft Sentinel showing selection to connect Microsoft Defender for Cloud with Microsoft Sentinel.

  4. Seleccione Conectar para conectar Microsoft Defender for Cloud con Microsoft Sentinel.

  5. Habilite Crear incidente para que se genere un incidente para Microsoft Defender for Cloud.

Creación de reglas para identificar amenazas de seguridad

Después de conectar los orígenes de datos a Microsoft Sentinel, puede crear reglas que generen alertas para las amenazas detectadas. En el ejemplo siguiente, crearemos una regla para los intentos de inicio de sesión en Windows Server con una contraseña incorrecta.

  1. En la página de información general de Microsoft Sentinel, en Configuraciones, seleccione Analytics.

  2. En Configuraciones, seleccione Analytics.

  3. Seleccione +Crear y, en el menú desplegable, seleccione Regla de consulta programada.

  4. En la pestaña General, escriba la información necesaria y seleccione Siguiente: Establecer lógica de regla.

    • Nombre

    • Descripción

    • Tácticas

    • Gravedad

    • Status

  5. En la pestaña Establecer la lógica de la regla, escriba la información necesaria y seleccione Siguiente.

    • Consulta de la regla (aquí se muestra nuestra consulta de ejemplo)

      SecurityEvent
|where Activity startswith '4625'
|summarize count () by IpAddress,Computer
|where count_ > 3

    • Asignar entidades

    • Programación de consultas

    • Umbral de alerta

    • Agrupación de eventos

    • Supresión

  6. En la pestaña Configuración de los incidentes, habilite Crear incidentes a partir de las alertas desencadenadas por esta regla de análisis y seleccione Siguiente: Respuesta automatizada.

    Screenshot showing the Analytic rule wizard for creating a new rule in Microsoft Sentinel.

  7. Seleccione Siguiente: Review (Siguiente: revisar).

  8. En la pestaña Revisar y crear, revise la información y seleccione Crear.

Sugerencia

Después del tercer intento fallido de iniciar sesión en Windows Server, la regla creada desencadena un incidente para cada intento fallido.

Visualización de alertas

Puede ver los incidentes generados con Microsoft Sentinel. También puede asignar incidentes y cerrarlos una vez resueltos, todo ello desde Microsoft Sentinel.

  1. Vaya a la página de información general de Microsoft Sentinel.

  2. En Administración de amenazas, seleccione Incidentes.

  3. Seleccione un incidente y, a continuación, asígnelo a un equipo para su resolución.

    Screenshot of Microsoft Sentinel Incidents page with incident selected and option to assign the incident for resolution.

Sugerencia

Después de resolver el problema, puede cerrarlo.

Búsqueda de amenazas de seguridad con consultas

Puede crear consultas o usar la consulta predefinida disponible en Microsoft Sentinel para identificar amenazas en su entorno. En los pasos siguientes, se ejecuta una consulta predefinida.

  1. En la página de información general de Microsoft Sentinel, en Administración de amenazas, seleccione Búsqueda. Se muestra una lista de consultas predefinidas.

    Sugerencia

    También puede crear una nueva consulta seleccionando Nueva consulta.

    Screenshot of Microsoft Sentinel Hunting page with + New Query highlighted.

  2. Seleccione una consulta y, después, seleccione Ejecutar consulta.

  3. Seleccione Ver resultados para comprobar los resultados.

Pasos siguientes

Ahora que se ha explicado cómo proteger las máquinas virtuales de Azure VMware Solution, puede que quiera obtener información sobre: