Microsoft Defender for Cloud

Microsoft Defender for Cloud es una plataforma unificada de administración de la posición de seguridad en la nube (CSPM) y protección de cargas de trabajo. Supervisa continuamente los recursos de Azure, los servidores híbridos y los entornos multinube (AWS, GCP) en busca de configuraciones incorrectas de seguridad, amenazas y vulnerabilidades. Proporciona una lista priorizada de recomendaciones para reforzar el entorno y detecta activamente los ataques en curso.

Defender for Cloud funciona en torno a dos pilares principales. Cloud Security Posture Management (CSPM) evalúa las configuraciones de los recursos frente a las prácticas recomendadas de seguridad y los marcos de cumplimiento, y asigna una Secure Score a la suscripción. Cloud Workload Protection (CWP) —habilitado mediante los planes de Defender— añade detección activa de amenazas, análisis de vulnerabilidades y acceso Just-In-Time a máquinas virtuales para proteger las cargas de trabajo en ejecución.

La Secure Score es una métrica numérica (0-100) que refleja la posición de seguridad de la suscripción. Cada recomendación de seguridad tiene un impacto sobre la puntuación; corregir las recomendaciones de mayor impacto mejora más la puntuación. Los análisis comparativos de Microsoft muestran que los clientes con puntuaciones Secure Score más altas sufren menos incidentes de seguridad. El panel de puntuación desglosa los resultados por área de control de seguridad (identidad, red, datos, etc.), lo que le ayuda a priorizar las tareas de corrección.

Defender for Cloud ofrece un nivel gratuito básico de CSPM (siempre activo) y planes de Defender de pago para tipos de recursos específicos. Los planes incluyen Defender for Servers (detección de amenazas en los puntos de conexión de las máquinas virtuales), Defender for Containers (detección de amenazas en Kubernetes y análisis de imágenes), Defender for Databases (detección de inyecciones de SQL y de accesos anómalos), Defender for Key Vault, entre otros. Cada plan se factura por recurso.

Cuando Defender for Cloud detecta una configuración incorrecta, crea una recomendación de seguridad. Cada recomendación incluye: una descripción del problema, la lista de recursos afectados, la gravedad (alta/media/baja), el posible aumento de Secure Score si se corrige y los pasos de corrección, con un botón de Quick Fix para corregir problemas sencillos con un solo clic. Las recomendaciones se asignan a Microsoft Cloud Security Benchmark (MCSB).

Cuando Defender for Cloud detecta una amenaza activa, genera una alerta de seguridad que describe el ataque, los recursos afectados y los pasos de respuesta recomendados. Las alertas relacionadas con la misma campaña de ataque se correlacionan automáticamente en un incidente de seguridad, lo que le proporciona una vista unificada de la progresión de un ataque (la cadena de ataque) en lugar de decenas de alertas aisladas. Las alertas se pueden enrutar a Microsoft Sentinel, Logic Apps o el correo electrónico.

El acceso Just-In-Time (JIT) a máquinas virtuales (disponible en Defender for Servers) bloquea los puertos de administración, como RDP (3389) y SSH (22), en el nivel de NSG cuando no están en uso. Cuando un administrador necesita acceder, solicita el acceso durante un intervalo de tiempo específico (por ejemplo, 3 horas), desde una dirección IP de origen específica y a través de Defender for Cloud. La regla de NSG se crea para ese intervalo y se quita automáticamente después, lo que elimina la superficie de ataque de los puertos de administración siempre abiertos.

Adaptive Application Controls usa aprendizaje automático para analizar qué aplicaciones se ejecutan en sus máquinas virtuales y generar una lista de permitidos recomendada. Usted revisa y aprueba la lista, y Defender for Cloud crea reglas de Windows AppLocker o reglas de auditoría de Linux para marcar o bloquear las aplicaciones que no estén en el conjunto aprobado. Esta herramienta es muy eficaz contra el malware y el ransomware que explotan software no aprobado.

Defender for Cloud incluye un panel de cumplimiento normativo que asigna su postura de seguridad a marcos específicos, como ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 y CIS Benchmarks. Cada control del marco se asigna a una o varias recomendaciones de Defender for Cloud. Los auditores pueden consultar el panel para ver cuántos controles cumplen los requisitos y cuáles necesitan corrección, lo que agiliza considerablemente la recopilación de evidencias de cumplimiento.

Defender for Cloud se extiende más allá de Azure para proporcionar cobertura de seguridad para recursos de AWS y GCP mediante conectores de nube, y para servidores locales mediante el agente de Azure Arc. Esto ofrece una vista de seguridad unificada en un único panel para entornos híbridos y multinube. Las recomendaciones y Secure Score también incluyen recursos que no son de Azure, lo que convierte a Defender for Cloud en una plataforma de administración de seguridad verdaderamente unificada.

El flujo de trabajo habitual de Defender for Cloud es el siguiente: Evaluar: revise Secure Score y abra las recomendaciones; Proteger: corrija las recomendaciones empezando por las que tengan mayor impacto; Defender: habilite los planes de Defender para detectar y responder a las amenazas en tiempo real. Este ciclo iterativo mejora continuamente su postura de seguridad y reduce con el tiempo la probabilidad y el impacto de los incidentes de seguridad.

Compruebe su comprensión de los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que Defender for Cloud proporciona administración de la postura mediante CSPM a través de Secure Score y protección contra amenazas activas mediante los planes de Defender, que el acceso Just-In-Time a máquinas virtuales cierra los puertos de administración y los abre solo cuando se solicitan y que el panel de cumplimiento normativo asigna su postura a marcos como ISO 27001 y PCI DSS. A continuación, exploraremos Azure Key Vault para la administración de secretos y certificados.