Exportación continua de datos de Microsoft Defender for Cloud
Microsoft Defender for Cloud genera recomendaciones y alertas de seguridad detalladas. Puede verlas en el portal o mediante herramientas de programación. También puede que deba exportar parte o la totalidad de esta información para realizar el seguimiento con otras herramientas de supervisión de su entorno.
Con la exportación continua, puede personalizar completamente qué se va a exportar y dónde irá. Por ejemplo, puede configurarla para que:
- Todas las alertas de gravedad alta se envíen a una instancia de Azure Event Hubs.
- Todos los hallazgos de gravedad media o superior de los exámenes de evaluación de vulnerabilidades de los servidores SQL Server se envíen a un área de trabajo de Log Analytics específica.
- Se entreguen recomendaciones específicas a un centro de eventos o área de trabajo de Log Analytics cada vez que se generen.
- La puntuación segura para una suscripción se envía a un área de trabajo de Log Analytics cada vez que la puntuación de un control cambia en 0,01 o más.
Aunque la característica se denomina continua, también hay una opción para exportar instantáneas semanales.
En este artículo se describe cómo configurar la exportación continua a áreas de trabajo de Log Analytics o a Azure Event Hubs.
Nota
Si necesita integrar Defender for Cloud con un SIEM, consulte Transmisión de alertas a una solución de administración de servicios de TI, SIEM o SOAR.
Sugerencia
Defender for Cloud también ofrece la opción de realizar una exportación manual única a CSV. Obtenga más información en Exportación manual de un solo uso de alertas y recomendaciones.
Disponibilidad
| Aspecto | Detalles |
|---|---|
| Estado de la versión: | Disponibilidad general (GA) |
| Precios: | Gratuito |
| Roles y permisos necesarios: |
|
| Nubes: |  Nubes comerciales Nacionales (Azure Government, Azure China 21Vianet) |
¿Qué tipos de datos se pueden exportar?
La exportación continua puede exportar los siguientes tipos de datos siempre que cambien:
- Alertas de seguridad.
- Recomendaciones de seguridad.
- Conclusiones de seguridad. Se puede pensar en ellas como en recomendaciones "secundarias" que pertenecen a una recomendación "principal". Por ejemplo:
- Cada recomendación Las actualizaciones del sistema deben instalarse en sus máquinas (con tecnología de Update Center) y Las actualizaciones del sistema deben estar instaladas en las máquinas tiene una recomendación "secundaria" para cada actualización pendiente del sistema.
- La recomendación Machines should have vulnerability findings resolved (Las máquinas deben tener resueltos los hallazgos de vulnerabilidades) tiene una recomendación "secundaria" para cada vulnerabilidad identificada mediante el analizador de vulnerabilidades.
Nota
Si va a configurar una exportación continua con la API REST, incluya siempre el elemento primario con los resultados.
- Puntuación segura por suscripción o por control.
- Datos de cumplimiento normativo.
Configuración de una exportación continua
Puede configurar la exportación continua desde las páginas de Microsoft Defender for Cloud en Azure Portal, a través de la API de REST o a gran escala con las plantillas de Azure Policy proporcionadas. Seleccione la pestaña correspondiente a continuación para obtener detalles de cada una de las opciones.
Configuración de la exportación continua desde las páginas de Defender for Cloud en Azure Portal
Los pasos siguientes son necesarios si va a configurar una exportación continua a las área de trabajo de Log Analytics o a Azure Event Hubs.
En el menú de Defender for Cloud, abra Parámetros del entorno.
Seleccione la suscripción específica para la que quiere configurar la exportación de datos.
En la barra lateral de la página de configuración de esa suscripción, seleccione Exportación continua.
Aquí verá las opciones de exportación. Hay una pestaña para cada destino de exportación disponible.
Seleccione el tipo de datos que quiere exportar y elija los filtros que quiera de cada tipo (por ejemplo, exportar solo alertas de gravedad alta).
Seleccione la frecuencia de exportación adecuada:
- Streaming: las evaluaciones se enviarán cuando se actualice el estado de mantenimiento de un recurso (si no se produce ninguna actualización, no se enviarán datos).
- Instantáneas: se enviará una vez a la semana por suscripción una instantánea del estado actual de los tipos de datos seleccionados. Para identificar los datos de la instantánea, busque el campo
IsSnapshot.
Opcionalmente, si la selección incluye una de estas recomendaciones, puede incluir los resultados de la evaluación de vulnerabilidades junto con ellas:
- Las bases de datos SQL deben tener resueltos los hallazgos de vulnerabilidades.
- Los servidores SQL de las máquinas deben tener resueltos los hallazgos de vulnerabilidades.
- Container registry images should have vulnerability findings resolved (powered by Qualys) (Las imágenes del registro de contenedores deben tener resueltos los hallazgos de vulnerabilidades [con tecnología de Qualys])
- Machines should have vulnerability findings resolved (Las máquinas deben tener resueltos los hallazgos de vulnerabilidades)
- Se deben instalar actualizaciones del sistema en las máquinas
Para incluir los resultados con estas recomendaciones, habilite la opción de incluir resultados de seguridad.
En el área "Destino de exportación", elija dónde quiere guardar los datos. Los datos se pueden guardar en el destino de una suscripción diferente (por ejemplo, en una instancia central del Centro de eventos o en un área de trabajo central de Log Analytics).
Seleccione Guardar.
Nota:
Log Analytics solo admite registros con un tamaño de hasta 32 KB. Cuando se alcance el límite de datos, verá una alerta que le indica Data limit has been exceeded.
Información sobre la exportación a un área de trabajo de Log Analytics
Si quiere analizar datos de Microsoft Defender for Cloud dentro de un área de trabajo de Log Analytics o usar alertas de Azure junto con alertas de Defender for Cloud, configure la exportación continua al área de trabajo de Log Analytics.
Tablas y esquemas de Log Analytics
Las alertas y recomendaciones de seguridad se almacenan en las tablas SecurityAlert y SecurityRecommendation respectivamente.
El nombre de la solución de Log Analytics que contiene estas tablas depende de si ha habilitado las características de seguridad mejorada: Seguridad ("Seguridad y auditoría") o SecurityCenterFree.
Sugerencia
Para ver los datos en el área de trabajo de destino, debe habilitar una de estas soluciones: Security and Audit o SecurityCenterFree.
Para ver los esquemas de eventos de los tipos de datos exportados, visite el artículo sobre los esquemas de tabla de Log Analytics.
Visualización de las recomendaciones y alertas exportadas en Azure Monitor
También puede elegir ver las alertas o las recomendaciones de seguridad exportadas en Azure Monitor.
Azure Monitor proporciona un conjunto de alertas unificadas que consta de varias alertas de Azure, como el registro de diagnóstico, las alertas de métricas y las alertas personalizadas basadas en las consultas del área de trabajo de Log Analytics.
Para ver las alertas y recomendaciones de Defender for Cloud en Azure Monitor, configure una regla de alerta basada en consultas de Log Analytics (Alerta de registro):
En la página Alertasde Azure Monitor, seleccione Nueva regla de alerta.
En la página de creación de reglas, configure la nueva regla (de la misma manera que configuraría una regla de alertas de registro en Azure Monitor):
En Recurso, seleccione el área de trabajo de Log Analytics a la que exportó las recomendaciones y las alertas de seguridad.
En Condición, seleccione Custom log search (Búsqueda de registros personalizada). En la página que aparece, configure la consulta, el período de retrospectiva y el período de frecuencia. En la consulta de búsqueda, puede escribir SecurityAlert o SecurityRecommendation para consultar los tipos de datos que Defender for Cloud exporta continuamente al habilitar la característica de exportación continua a Log Analytics.
Opcionalmente, en Grupo de acciones, configure el grupo de acciones que desea desencadenar. Los grupos de acciones pueden desencadenar el envío de correo electrónico, los vales de ITSM, los webhooks, etc.
Ahora verá las nuevas alertas o recomendaciones de Microsoft Defender for Cloud (según las reglas de exportación continua configuradas y la condición definida en la regla de alerta de Azure Monitor) en las alertas de Azure Monitor, con el desencadenamiento automático de un grupo de acciones (si se proporciona).
Exportación manual de un solo uso de alertas y recomendaciones
Para descargar un informe en formato CSV con alertas o recomendaciones, abra las páginas Alertas de seguridad o Recomendaciones y seleccione el botón para Download CSV report (Descargar informe en CSV).
Sugerencia
Debido a las limitaciones de Azure Resource Graph, los informes se limitan a un tamaño de archivo de 13 000 filas. Si observa errores relacionados con la exportación de demasiados datos, intente limitar la salida seleccionando un conjunto más pequeño de suscripciones para exportar.
Nota
Estos informes contienen alertas y recomendaciones para los recursos de las suscripciones seleccionadas actualmente.
Preguntas frecuentes: exportación continua
¿Cuáles son los costos de la exportación de datos?
La habilitación de una exportación continua no tiene costo alguno. Sin embargo, la ingesta y retención de datos del área de trabajo de Log Analytics, pueden tener costo, en función de la configuración.
Obtenga más información sobre los precios del área de trabajo de Log Analytics.
Obtenga más información sobre los precios de Azure Event Hubs.
¿La exportación incluye datos sobre el estado actual de todos los recursos?
No. La exportación continua se creó para la transmisión de eventos:
- Las alertas recibidas antes de habilitar la exportación no se exportarán.
- Se envían recomendaciones cuando cambia el estado de cumplimiento de un recurso. Por ejemplo, cuando un recurso pasa de un estado correcto a otro incorrecto. Por lo tanto, como sucede con las alertas, no se exportarán las recomendaciones para los recursos que no hayan cambiado de estado desde que se habilitó la exportación.
- La puntuación de seguridad por control de seguridad o suscripción se envía cuando cambia la puntuación de un control de seguridad en 0,01 o más.
- El estado de cumplimiento normativo se envía cuando cambia el estado del cumplimiento del recurso.
¿Por qué se envían recomendaciones en distintos intervalos?
Las distintas recomendaciones tienen intervalos de valoración de cumplimiento diferentes, que pueden variar de unos minutos a cada pocos días. Por lo tanto, la cantidad de tiempo que las recomendaciones tardan en aparecer en las exportaciones es distinta.
¿La exportación continua es compatible con los escenarios de continuidad del negocio o recuperación ante desastres (BCDR)?
Al preparar el entorno para escenarios de BCDR, en los que el recurso de destino está experimentando una interrupción u otro desastre, la organización tiene la responsabilidad de evitar la pérdida de datos mediante la preparación de copias de seguridad de acuerdo con las instrucciones de Azure Event Hubs, el área de trabajo de Log Analytics y la aplicación lógica.
Obtenga más información en Recuperación ante desastres geográfica de Azure Event Hubs.
¿La exportación continua está disponible de forma gratuita?
Sí. Tenga en cuenta que muchas alertas solo se proporcionan cuando se han habilitado protecciones avanzadas. Un buen método para obtener una vista previa de las alertas que obtendrá en los datos exportados consiste en ver las alertas que se muestran en las páginas de Defender for Cloud en Azure Portal.
Pasos siguientes
En este artículo, ha aprendido a configurar exportaciones continuas de sus recomendaciones y alertas. También aprendió a descargar los datos de alertas como un archivo CSV.
Para obtener material relacionado, consulte la documentación siguiente: