Integración del servidor de administración de eventos e información de seguridad (SIEM) con aplicaciones y servicios de Microsoft 365

Sugerencia

¿Sabía que puede probar las características de Microsoft Defender XDR para Office 365 Plan 2 de forma gratuita? Use la prueba de Defender para Office 365 de 90 días en el centro de pruebas del portal de Microsoft Defender. Obtenga información sobre quién puede registrarse y los términos de prueba aquí.

Resumen

¿Su organización usa o planea obtener un servidor de administración de eventos e información de seguridad (SIEM)? Es posible que se pregunte cómo se integra con Microsoft 365 o Office 365. En este artículo se proporciona una lista de recursos que puede usar para integrar el servidor SIEM con aplicaciones y servicios de Microsoft 365.

Sugerencia

Si aún no tiene un servidor SIEM y está explorando sus opciones, considere la posibilidad de usar Microsoft Sentinel.

¿Necesito un servidor SIEM?

Si necesita un servidor SIEM depende de muchos factores, como los requisitos de seguridad de su organización y dónde residen los datos. Microsoft 365 incluye una amplia variedad de características de seguridad que satisfacen las necesidades de seguridad de muchas organizaciones sin servidores adicionales, como un servidor SIEM. Algunas organizaciones tienen circunstancias especiales que requieren el uso de un servidor SIEM. Estos son algunos ejemplos:

  • Fabrikam tiene contenido y aplicaciones locales, y otras en la nube (tienen una implementación de nube híbrida). Para obtener informes de seguridad de todo su contenido y aplicaciones, Fabrikam implementó un servidor SIEM.
  • Contoso es una organización de servicios financieros que tiene estrictos requisitos de seguridad. Agregaron un servidor SIEM a su entorno para aprovechar las protecciones de seguridad adicionales que requieren.

Integración del servidor SIEM con Microsoft 365

Un servidor SIEM puede recibir datos de una amplia variedad de servicios y aplicaciones de Microsoft 365. En la tabla siguiente se enumeran varios servicios y aplicaciones de Microsoft 365, junto con entradas y recursos del servidor SIEM para obtener más información.

Servicio o aplicación de Microsoft 365 Métodos o entradas del servidor SIEM Recursos para obtener más información
Microsoft Defender para Office 365 Registros de auditoría Integración de SIEM con Microsoft Defender para Office 365
Microsoft Defender para punto de conexión Punto de conexión HTTPS hospedado en Azure

API de REST

 Extracción de alertas en las herramientas SIEM
Microsoft Defender for Cloud Apps Integración de registros Integración de SIEM con Microsoft Defender for Cloud Apps

Sugerencia

Eche un vistazo a Microsoft Sentinel. Microsoft Sentinel incluye conectores para soluciones de Microsoft. Estos conectores están disponibles "de forma inmediata" y proporcionan integración en tiempo real. Puede usar Microsoft Sentinel con sus soluciones de Microsoft Defender XDR y servicios de Microsoft 365, incluidos Office 365, Microsoft Entra ID, Microsoft Defender for Identity, Microsoft Defender for Cloud Apps, y mucho más.

El registro de auditoría debe estar activado

Asegúrese de que el registro de auditoría está activado antes de configurar la integración del servidor SIEM:

Pasos de integración si siem es Microsoft Sentinel

Compruebe los siguientes requisitos:

  • La suscripción actual de Microsoft 365 (por ejemplo, Microsoft Defender para Office 365 plan 2) permite la integración de Microsoft Sentinel.
  • La cuenta de Microsoft Defender para Office 365 o Microsoft Defender XDR es administrador de seguridad.
  • Compruebe que tiene permisos de escritura en Microsoft Sentinel.

  1. Vaya a Microsoft Sentinel.

  2. En la navegación a la izquierda de la pantallaConectores de datos de configuración>.

  3. Búsqueda para Microsoft Defender XDR y seleccione el conector Microsoft Defender XDR (versión preliminar).

  4. A la derecha de la pantalla, seleccione Abrir página del conector.

  5. En Configuración> , seleccione Conectar incidentes & alertas

    Desactive todas las reglas de creación de incidentes de Microsoft para los productos seleccionados actualmente.

  6. Desplácese hasta Microsoft Defender para Office 365 en la sección Conectar eventos de la página.

    Puede elegir tablas de cualquier otro producto Microsoft Defender que encuentre útil y aplicable al completar el siguiente paso final:

  7. Seleccione EmailEvents, EmailUrlInfo, EmailAttachmentInfo y EmailPostDeliveryEvents> y Aplicar cambios.

Más recursos

Integración de soluciones de seguridad en Microsoft Defender for Cloud

Integrar las alertas de la API de seguridad de Microsoft Graph con un SIEM