Nuevas directivas de alerta en Microsoft Defender para Office 365

Microsoft Defender para Office 365 está introduciendo directivas de alerta nuevas y mejoradas relacionadas con las detección posterior a la entrega. Esto incluye mejoras en las guías de Investigación y respuesta automatizadas (AIR) asociados a ellas. Además, estamos modificando la clasificación de gravedad para seis directivas de alerta predeterminadas para alinear mejor las alertas generadas por estas directivas con su impacto en la organización.

Sugerencia

Si no es cliente de E5, use la prueba de soluciones de Microsoft Purview de 90 días para explorar cómo las funcionalidades adicionales de Purview pueden ayudar a su organización a administrar las necesidades de cumplimiento y seguridad de datos. Comience ahora en el centro de pruebas de portal de cumplimiento Microsoft Purview. Obtenga más información sobre los términos de suscripción y evaluación.

Detecciones posteriores a la entrega

Vamos a introducir cuatro nuevas directivas de alerta predeterminadas relacionadas con las detección posterior a la entrega después de que la purga automática (ZAP) de Microsoft Defender para Office 365 quite los mensajes de una bandeja de entrada. Estas cuatro directivas de alerta nuevas reemplazarán a las dos directivas de alerta predeterminadas existentes que abarcan escenarios de ZAP y proporcionarán a las organizaciones detalles mejorados sobre la detección subyacente y los indicadores relacionados. Estas alertas (y las guías de AIR que se activarán a partir de estas alertas) capturarán con precisión las amenazas de los correos electrónicos y entidades, incluyendo si la dirección URL apunta a un archivo malintencionado o si el archivo contiene una dirección URL malintencionada.

En la tabla siguiente se enumeran las nuevas directivas de alerta y las directivas de alerta existentes que se quitarán. Consulte la secciónCómo afectará esto a su organización para ver más información sobre la implementación.

Directiva de alerta nueva o existente	Nombre de la directiva de alerta	Id. de directiva de alerta
Nueva	Mensajes de correo electrónico que contienen direcciones URL malintencionadas quitados después de la entrega	8e6ba277-ef39-404e-aaf1-294f6d9a2b88
Nueva	Mensajes de correo electrónico que contienen archivos malintencionados quitados después de la entrega	4b1820ec-39dc-45f3-abf6-5ee80df51fd2
Nueva	Mensajes de correo electrónico de una campaña se entregaron y se quitaron más tarde	c8522cbb-9368-4e25-4ee9-08d8d899dfab
Nuevo	Mensajes de correo electrónico quitados después de la entrega	b8f6b088-5487-4c70-037c-08d8d71a43fe
Existente (se quitará)	Mensajes de correo electrónico que contienen direcciones URL de cebo quitados después de la entrega	EA8169FA-0678-4751-8854-AEBEA7ADECEB
Existente (se quitará)	Mensajes de correo electrónico que contienen malware quitados después de la entrega	0179B3F7-3FDA-40C3-8F24-278563978DBB

Mejoras de gravedad de las alertas

En la tabla siguiente se identifican las directivas de alerta predeterminadas cuyas clasificaciones de gravedad se van a modificar. Estamos cambiando la clasificación de gravedad de estas directivas de alerta para que se alineen mejor con el posible riesgo e impacto en su organización, y para ayudar a sus equipos de seguridad a clasificar por orden de prioridad las alertas generadas por estas directivas.

Alerta	Id. de directiva de alerta	Gravedad anterior	Nueva gravedad
Actividad de reenvío de correo electrónico sospechoso	BFD48F06-0865-41A6-85FF-ADB746423EBF	Mediano	Alto
Correo electrónico notificado por el usuario como malware o cebo	B26A5770-0C38-434A-9380-3A3C2C27BBB3	Informativo	Bajo
Aumento inusual en el correo electrónico notificado como cebo	A00D8C62-9320-4EEA-A7E5-966B9AC09558	Alto	Medio
Resultado de envío de administrador completado	AE9B83DD-6039-4EA9-B675-6B0AC3BF4A41	Bajo	Informativo
Creación de una regla de reenvío o redirección	D59A8FD4-1272-41EE-9408-86F7BCF72479	Bajo	Informativo
Búsqueda de eDiscovery iniciada o exportada	6FDC5710-3998-47F0-AFBB-57CEFD7378A	Medio	Informativo

¿Cuándo se realizarán estos cambios?

En la tabla siguiente se indica cuándo las nuevas directivas de alertas empezarán a desencadenar alertas posteriores a la entrega. La tabla también indica cuándo se quitarán las dos directivas de alerta existentes.

Directiva de alerta	Fecha
Mensajes de correo electrónico que contienen direcciones URL malintencionadas quitados después de la entrega (nueva)	Las alertas se empezarán a desencadenar el 11 de abril de 2021
Mensajes de correo electrónico que contienen archivos malintencionados quitados después de la entrega (nueva)	Las alertas se empezarán a desencadenar el 11 de abril de 2021
Mensajes de correo electrónico de una campaña se entregaron y se quitaron más tarde (nueva)	Las alertas empezarán a desencadenarse el 28 de mayo de 2021
Correos electrónicos malintencionados que se entregaron y se quitaron posteriormente (nueva)	Las alertas empezarán a desencadenarse el 28 de mayo de 2021
Mensajes de correo electrónico que contienen direcciones URL de cebo quitados después de la entrega (existente, va a eliminarse)	La directiva de alertas se ha quitado en junio de 2021. Vea la sección Lo que tiene que hacer para prepararse para estos cambios.
Mensajes de correo electrónico que contienen malware quitados después de la entrega (existente, va a eliminarse)	La directiva de alertas se ha quitado en junio de 2021. Vea la sección Lo que tiene que hacer para prepararse para estos cambios.

Los cambios de gravedad de las alertas se implantarán en todas las organizaciones antes del 14 de mayo de 2021.

Cómo afectará esto a su organización

Las nuevas alertas empezarán a activarse y desencadenarán investigaciones de AIR en su organización en las fechas indicadas anteriormente. Para reducir el impacto en las organizaciones de seguridad que han operacionalizado las dos alertas que se van a quitar, verá las alertas desencadenadas por las directivas de alerta existentes y las alertas desencadenadas por las nuevas directivas de alerta entre el 5 de abril de 2021 y el 28 de mayo de 2021. De esta forma, los equipos de seguridad disponen de tiempo para afrontar los cambios necesarios. Para ayudar a los equipos de seguridad con el aumento del volumen de alertas durante esta breve duración, tanto las alertas existentes como las nuevas se correlacionarán en la misma investigación de AIR y en un mismo incidente. Más concretamente, se incluye el comportamiento siguiente para alertas, investigaciones de AIR e incidentes:

• Alertas: por diseño, verá los siguientes pares de alertas en las alertas existentes y nuevas:

  • Mensajes de correo electrónico que contienen direcciones URL de cebo quitados después de la entrega Y Mensajes de correo electrónico que contienen direcciones URL malintencionadas quitados después de la entrega

  • Mensajes de correo electrónico que contienen malware quitados después de la entrega Y Mensajes de correo electrónico que contienen archivos malintencionados quitados después de la entrega

  

  Para más información acerca de la administración de estos pares de alertas, consulte la sección Lo que tiene que hacer para prepararse para estos cambios.

• Investigaciones de AIR: las alertas se correlacionarán en una sola investigación de AIR, con una de las alertas clasificada como "desencadenante" y la otra como "repetida".

  

• Incidentes: ambas alertas se correlacionarán en el mismo incidente

  

Lo que tiene que hacer para prepararse para estos cambios

La manera en que su organización utiliza estas alertas determina lo que necesita hacer para prepararse. Si ha operacionalizado las alertas y las usa o las consume a través de una API, una notificación por correo electrónico de alerta o en el portal de cumplimiento Microsoft Purview o el portal de Microsoft Defender, tendrá que modificar los flujos de trabajo.

Si no ha puesto en funcionamiento estas alertas, puede seguir uno de estos procedimientos:

• Deshabilite las siguientes directivas de alerta (que se quitarán) para reducir el volumen de alertas en su organización:

  • Mensajes de correo electrónico que contienen direcciones URL de cebo quitados después de la entrega

  • Mensajes de correo electrónico que contienen malware quitados después de la entrega

• No haga nada. Deshabilitaremos las directivas de alerta existentes el 28 de mayo de 2021.

Si ha puesto en funcionamiento estas alertas:

• Empiece a usar las nuevas alertas como parte de sus flujos de trabajo como preparación para la eliminación de la directiva de alerta existente el 28 de mayo de 2021. Si tiene lógica personalizada en el sistema de vales, un buzón de seguridad donde recibe notificaciones por correo electrónico de alerta o una solución SIEM que depende del nombre de la alerta o del identificador de directiva de alerta (CorrelationId), deberá modificar la lógica para adaptarse al cambio.

  Nota:

  La información de las alertas, las investigaciones y los incidentes no ha cambiado. De hecho, esta información se ha mejorado con detalles adicionales sobre las amenazas asociadas con ellas.

• Después de realizar las modificaciones, puede deshabilitar las directivas de alerta existentes para reducir el volumen de alertas en la organización:

  • Mensajes de correo electrónico que contienen direcciones URL de cebo quitados después de la entrega

  • Mensajes de correo electrónico que contienen malware quitados después de la entrega

  Como alternativa, puede dejar estas directivas de alerta habilitadas hasta que las eliminemos el 28 de mayo de 2021.