Objetivos oficiales del examen

Temario del examen SC-200

Habilidades evaluadas por Microsoft, organizadas en tres dominios ponderados y nueve grupos funcionales.

Abrir temario oficial ↗
Vigente desde 28 de julio de 202654 objetivos3 dominios ponderados

Abrí un grupo funcional para explorar sus objetivos. Las notas de las rutas de aprendizaje están vinculadas directamente y el material complementario aparece dentro de los objetivos que necesitan contenido adicional.

01

Administrar un entorno de operaciones de seguridad

Automatización, configuración de Sentinel, ingesta e ingeniería de detecciones

40–45% · 27 objetivos
Configurar la automatización para Microsoft Defender XDR y Microsoft Sentinel11 objetivos

Configurar notificaciones por correo electrónico en Microsoft Defender XDR, incluidos incidentes, acciones y análisis de amenazas.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Microsoft Defender XDR puede enviar notificaciones por correo independientes para incidentes nuevos, acciones de respuesta completadas o con errores e informes de análisis de amenazas nuevos o actualizados. Cada tipo tiene su propia regla, ámbito, destinatarios y flujo de prueba en Configuración > Microsoft Defender XDR > Notificaciones por correo electrónico.

Conceptos clave

  • Las reglas de incidentes pueden filtrar por gravedad, origen de detección y grupo de dispositivos. Defender envía un correo por cada incidente nuevo coincidente, no por cada alerta que contiene.
  • Las reglas de acciones de respuesta filtran acciones manuales o automatizadas por tipo, grupo de dispositivos y estado de finalización. Las detecciones personalizadas con acciones de respuesta no admiten estas notificaciones.
  • Las reglas de análisis de amenazas pueden informar sobre todos los reportes nuevos o actualizados, o sólo sobre tipos de amenaza y etiquetas seleccionados.
  • Los vínculos son específicos del tenant y su acceso depende de los permisos del portal y el ámbito del rol. Crear reglas requiere permiso para administrar la configuración de seguridad.

Lista de comprobación del examen

  • Elegir la categoría de notificación correcta para un incidente, una acción de respuesta o un informe de inteligencia sobre amenazas.
  • Configurar nombre, ámbito o filtros, destinatarios y frecuencia cuando esté disponible.
  • Reconocer el efecto de los filtros de gravedad, origen, grupo, estado, tipo de amenaza y etiqueta.
  • Enviar una prueba y verificar tanto la entrega como la autorización del destinatario para abrir el registro vinculado.

Ejercicio práctico

Crear y validar tres reglas de notificación de Defender XDR

  1. Abrir Configuración > Microsoft Defender XDR > Notificaciones por correo electrónico y revisar las pestañas Incidentes, Acciones y Análisis de amenazas.
  2. Crear una regla de incidentes de ámbito reducido para incidentes de gravedad alta de orígenes seleccionados y agregar un destinatario de prueba.
  3. Diseñar reglas equivalentes para acciones de respuesta con errores y tipos o etiquetas seleccionados de informes de amenazas.
  4. Usar la función de prueba, confirmar la entrega y documentar qué eventos activan y cuáles no activan cada regla.

Recursos oficiales de Microsoft

Recibir notificaciones por correo sobre incidentes ↗Recibir notificaciones por correo sobre acciones de respuesta ↗Recibir notificaciones por correo sobre análisis de amenazas ↗

Notas relacionadas de las rutas de aprendizaje

Configurar notificaciones de alertas en Microsoft Defender XDR, incluidos el ajuste, la supresión y la correlación.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

El comportamiento de las alertas en Microsoft Defender XDR se controla mediante directivas de alertas, ajuste de alertas, configuración de detecciones personalizadas y correlación. El objetivo es reducir el ruido benigno conocido sin ocultar evidencia relevante ni impedir que alertas relacionadas formen un incidente coherente.

Conceptos clave

  • Una directiva de alertas define la actividad y las condiciones desencadenantes, umbrales o comportamiento inusual, gravedad, categoría, agregación y notificaciones opcionales.
  • Las reglas de ajuste suprimen escenarios benignos conocidos para alertas integradas compatibles. Deben usar evidencia precisa y revisarse para no ocultar positivos verdaderos.
  • Ajustar una alerta integrada no deshabilita la investigación y respuesta automatizadas; un resultado malicioso o sospechoso puede reactivar la alerta.
  • Las reglas de análisis de Sentinel pueden incluirse o excluirse del motor de correlación de Defender XDR. Las excluidas usan su propia agrupación de incidentes.
  • Las reglas de detección personalizadas se pueden habilitar, deshabilitar, editar, ejecutar e incluir o excluir explícitamente de la correlación.

Lista de comprobación del examen

  • Distinguir generación de alertas, notificación por correo, supresión o ajuste y correlación de incidentes.
  • Crear condiciones de ajuste precisas a partir de un falso positivo revisado y prever qué alertas futuras se ocultarán.
  • Explicar cómo una investigación automatizada puede invalidar la supresión al encontrar evidencia sospechosa o maliciosa.
  • Decidir si una regla de Sentinel o una detección personalizada debe participar en la correlación de XDR.

Ejercicio práctico

Ajustar una alerta benigna y verificar la correlación de incidentes

  1. Elegir una alerta benigna recurrente y registrar los atributos estables que la distinguen de actividad maliciosa.
  2. Crear una regla de ajuste con las condiciones más precisas posibles y documentar responsable y fecha de revisión.
  3. Inspeccionar la detección personalizada o regla de Sentinel y verificar si participa en la correlación de XDR.
  4. Generar actividad coincidente y no coincidente, y comprobar visibilidad, notificaciones y agrupación de incidentes.

Recursos oficiales de Microsoft

Directivas de alertas en Microsoft Defender XDR ↗Ajuste de directivas de alertas integradas ↗Incluir o excluir reglas de Sentinel de la correlación de XDR ↗Administrar reglas de detección personalizadas ↗

Notas relacionadas de las rutas de aprendizaje

Configurar las características avanzadas de Microsoft Defender for Endpoint.

Notas relacionadas de las rutas de aprendizaje

Configurar las opciones de las reglas en Microsoft Defender for Endpoint.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

La configuración de seguridad de Microsoft Defender for Endpoint puede administrarse desde el portal de Defender mediante directivas de seguridad de endpoints. Una directiva combina plataforma y plantilla, opciones de configuración y asignaciones; su aplicación también depende de precedencia, inscripción, licencias, permisos y conectividad.

Conceptos clave

  • En Endpoints > Administración de configuración > Directivas de seguridad de endpoints se eligen plataforma y plantilla, se configuran opciones, se asignan grupos y se revisa la directiva.
  • Administrar directivas requiere acceso a todos los dispositivos y el permiso Configuración de seguridad principal (administrar). El rol y los grupos de dispositivos limitan lo visible y modificable.
  • Las directivas existentes pueden editarse por secciones. Los cambios deben validarse en los dispositivos de destino y no asumirse a partir del estado del portal.
  • Los conflictos pueden proceder de varias autoridades o directivas; se debe identificar el origen ganador y la precedencia compatible.

Lista de comprobación del examen

  • Identificar requisitos previos y permisos para administrar la configuración de seguridad de Defender.
  • Crear una directiva con plataforma, plantilla, configuración y ámbito de asignación correctos.
  • Editar opciones o asignaciones y verificar la implementación y el estado efectivo en dispositivos representativos.
  • Solucionar conflictos revisando orígenes, precedencia, incorporación o inscripción y conectividad.

Ejercicio práctico

Configurar y solucionar problemas de una directiva de seguridad de endpoints

  1. Crear un grupo pequeño de dispositivos de prueba y confirmar permisos y licencias.
  2. Crear una directiva desde una plataforma y plantilla adecuadas, cambiar una opción auditable y asignarla sólo al grupo de prueba.
  3. Revisar el estado de implementación y confirmar el valor efectivo en un dispositivo con diagnósticos compatibles.
  4. Introducir o inspeccionar una directiva en conflicto, identificar el origen efectivo y documentar la resolución segura.

Recursos oficiales de Microsoft

Administrar directivas de seguridad de endpoints en Microsoft Defender ↗Solucionar problemas de configuración de Microsoft Defender for Endpoint ↗Configurar y administrar la automatización de Defender for Endpoint ↗

Notas relacionadas de las rutas de aprendizaje

Configurar la recopilación de datos personalizada en Microsoft Defender for Endpoint.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

La recopilación de datos personalizada de Microsoft Defender for Endpoint usa filtros basados en reglas para seleccionar eventos de procesos, carga de imágenes, archivos, red o scripts y enviarlos a un área de trabajo de Microsoft Sentinel conectada. Complementa la telemetría predeterminada y debe reservarse para casos específicos.

Conceptos clave

  • Las reglas filtran por atributos como ruta de carpeta, nombre de proceso o conexión de red y escriben en la tabla DeviceCustom*Events correspondiente.
  • Los destinos admitidos son DeviceCustomProcessEvents, DeviceCustomImageLoadEvents, DeviceCustomFileEvents, DeviceCustomNetworkEvents y DeviceCustomScriptEvents.
  • Se requieren Defender for Endpoint Plan 2 y un área de trabajo de Sentinel conectada; la versión preliminar admite un área conectada por tenant.
  • Las asignaciones usan etiquetas dinámicas de dispositivos que deben haberse evaluado al menos una vez.
  • La propagación puede tardar entre 20 minutos y una hora; hay que considerar volumen, costo, sistemas compatibles y limitaciones de versión preliminar.

Lista de comprobación del examen

  • Relacionar cada tipo de evento con la tabla DeviceCustom*Events correcta.
  • Verificar licencias, conexión con Sentinel, endpoints compatibles y etiquetas dinámicas antes de crear la regla.
  • Crear filtros y un ámbito precisos que capturen la evidencia necesaria sin volumen innecesario.
  • Esperar la propagación, consultar la tabla de destino y distinguir eventos personalizados de la telemetría estándar.

Ejercicio práctico

Recopilar un conjunto específico de eventos de endpoint en Sentinel

  1. Definir un escenario de prueba y elegir la tabla de eventos personalizados correspondiente.
  2. Verificar la conexión con Sentinel y crear o confirmar una etiqueta dinámica para un ámbito reducido.
  3. Crear una regla con filtros precisos, asignar la etiqueta y esperar la propagación.
  4. Generar el evento, consultar DeviceCustom*Events y registrar latencia, volumen y ajustes necesarios.

Recursos oficiales de Microsoft

Recopilación de datos personalizada en Defender for Endpoint ↗Crear reglas de recopilación de datos personalizadas ↗

Notas relacionadas de las rutas de aprendizaje

Configurar directivas de seguridad para Microsoft Defender for Endpoint, incluidas las reglas de reducción de la superficie expuesta a ataques.

Notas relacionadas de las rutas de aprendizaje

Administrar las capacidades de investigación y respuesta automatizadas en Microsoft Defender XDR.

Notas relacionadas de las rutas de aprendizaje

Configurar la interrupción automática de ataques en Microsoft Defender XDR.

Notas relacionadas de las rutas de aprendizaje

Configurar y administrar grupos de dispositivos, permisos y niveles de automatización en Microsoft Defender for Endpoint.

Notas relacionadas de las rutas de aprendizaje

Crear y configurar reglas de automatización en Microsoft Sentinel.

Notas relacionadas de las rutas de aprendizaje

Crear y configurar cuadernos de estrategias de Microsoft Sentinel.

Notas relacionadas de las rutas de aprendizaje

Configurar el SIEM y la plataforma de Microsoft Sentinel4 objetivos

Especificar roles de Microsoft Sentinel.

Notas relacionadas de las rutas de aprendizaje

Administrar la retención de datos para las tablas de XDR y Microsoft Sentinel, incluidos los niveles Analytics, Data Lake y XDR.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

La retención en la plataforma unificada de operaciones de seguridad separa el acceso rápido e interactivo del nivel Analytics, el almacenamiento a largo plazo en Data Lake y la ventana de Búsqueda avanzada de Defender XDR. Los planes de tabla y la retención deben configurarse según velocidad de investigación, dependencias, cumplimiento y costo.

Conceptos clave

  • El nivel Analytics admite reglas en tiempo real, búsquedas, libros y consultas interactivas. Las tablas de Sentinel y XDR suelen comenzar con 30 días; algunas tablas de soluciones de Sentinel reciben hasta 90 días sin cargo de retención.
  • La retención de Analytics puede ampliarse hasta dos años y la retención total conserva datos antiguos en Data Lake hasta 12 años.
  • Los datos exclusivos de Data Lake sirven para almacenamiento histórico económico y análisis asincrónico con trabajos KQL, cuadernos o reglas de resumen; no están disponibles para análisis en tiempo real ni Búsqueda avanzada.
  • Búsqueda avanzada de Defender XDR tiene una ventana predeterminada de 30 días. Algunas tablas XDR pueden extender Analytics a 90 días y usar retención total más larga.
  • Reducir la retención total espera 30 días antes de eliminar datos; los cambios de Analytics son inmediatos. Sacar una tabla de Analytics puede romper detecciones y búsquedas dependientes.

Lista de comprobación del examen

  • Diferenciar retención de Analytics, retención total, almacenamiento exclusivo de Data Lake y la ventana de Búsqueda avanzada.
  • Elegir nivel y período según detección en tiempo real, investigación interactiva, análisis histórico, cumplimiento y costo.
  • Predecir el impacto de mover una tabla de Analytics a Data Lake sobre reglas, detecciones, búsquedas y libros.
  • Configurar retención por tabla y considerar los efectos inmediatos o diferidos de los cambios.

Ejercicio práctico

Diseñar y validar una directiva de retención por niveles

  1. Seleccionar tres tablas: una para detección en tiempo real, una para investigación frecuente y una para historial de cumplimiento.
  2. Documentar retención de Analytics y total, plan, uso, dependencias y volumen estimado de cada tabla.
  3. Proponer cambios y verificar que ninguna regla, detección, libro o consulta pierda el acceso necesario.
  4. Aplicar el plan en un entorno de prueba y confirmar consultas recientes y el método de acceso histórico.

Recursos oficiales de Microsoft

Introducción a los niveles y la retención de datos de Microsoft Sentinel ↗Administrar niveles y retención de tablas ↗Introducción a Búsqueda avanzada ↗

Notas relacionadas de las rutas de aprendizaje

Crear y configurar libros de Microsoft Sentinel.

Notas relacionadas de las rutas de aprendizaje

Optimizar la plataforma de Microsoft Sentinel, incluidas las recomendaciones de optimización del SOC.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

La optimización del SOC convierte la telemetría del área de trabajo en recomendaciones para mejorar la cobertura de amenazas, el valor de los datos y la eficiencia operativa. Compara los datos ingeridos y las detecciones habilitadas con los controles necesarios para amenazas y riesgos relevantes.

Conceptos clave

  • Las recomendaciones de valor de datos identifican tablas facturables sin uso o infrautilizadas y proponen habilitar detecciones, cambiar el plan, detener la ingesta o ajustar la retención.
  • Las recomendaciones de cobertura identifican detecciones u orígenes ausentes y pueden proponer plantillas de reglas, conectores o soluciones completas de Sentinel.
  • También pueden incluir etiquetado MITRE ATT&CK asistido por IA y recomendaciones basadas en riesgos; la disponibilidad preliminar puede variar.
  • Una recomendación aporta evidencia para decidir, no una instrucción automática. Hay que validar detección, cumplimiento, retención y costo.

Lista de comprobación del examen

  • Distinguir optimización del valor de los datos de optimización de cobertura.
  • Reconocer la respuesta ante datos sin detecciones, detecciones sin datos o ausencia de ambos.
  • Saber que la optimización evalúa ingesta reciente y análisis habilitados para generar recomendaciones accionables.
  • Revisar una recomendación, validar su impacto, implementarla y comprobar que se resolvió el problema.

Ejercicio práctico

Revisar y resolver una recomendación de optimización del SOC

  1. Abrir Microsoft Sentinel en el portal de Defender y localizar Optimización del SOC.
  2. Elegir una recomendación y registrar evidencia, tablas o detecciones afectadas y acción propuesta.
  3. Clasificarla como implementar, aplazar o descartar y documentar la justificación de seguridad, costo y cumplimiento.
  4. Aplicarla en un área de prueba y confirmar el estado resultante del conector, regla, plan o retención.

Recursos oficiales de Microsoft

Referencia de recomendaciones de optimización del SOC ↗Acceder a Optimización del SOC ↗
Ingerir datos en el SIEM y la plataforma de Microsoft Sentinel7 objetivos

Seleccionar conectores de datos según los requisitos del origen de datos, incluidos los registros de Windows y los eventos de seguridad.

Notas relacionadas de las rutas de aprendizaje

Configurar eventos de seguridad de Windows mediante AMA, incluidas las reglas de recopilación de datos.

Notas relacionadas de las rutas de aprendizaje

Planear y configurar eventos de seguridad de Windows mediante el reenvío de eventos de Windows.

Notas relacionadas de las rutas de aprendizaje

Planear y configurar los conectores Syslog mediante AMA y Common Event Format mediante AMA.

Notas relacionadas de las rutas de aprendizaje

Configurar la recopilación de actividades de Azure mediante Azure Policy y la configuración de diagnóstico de recursos.

Notas relacionadas de las rutas de aprendizaje

Ingerir indicadores de amenazas en Microsoft Sentinel.

Notas relacionadas de las rutas de aprendizaje

Crear tablas de registros personalizadas en el área de trabajo para almacenar los datos ingeridos.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Una tabla personalizada de Log Analytics almacena datos que no encajan en un esquema integrado. Su esquema, destino y transformación se definen mediante una regla de recopilación de datos (DCR), y el método de ingesta debe enviar registros que cumplan ese contrato.

Conceptos clave

  • Los nombres de tablas personalizadas usan el sufijo _CL y requieren una columna TimeGenerated. Sólo deben agregarse campos con una necesidad clara de detección, investigación, informes o retención.
  • Una DCR define flujo de entrada, transformación, área de trabajo y tabla de destino. El portal puede inferir un esquema y una transformación iniciales desde datos de muestra.
  • Si cambia el esquema de la tabla también debe actualizarse la DCR; Azure Monitor no sincroniza el cambio automáticamente.
  • Logs Ingestion API autentica una aplicación y envía datos a través de un endpoint DCR. Las transformaciones pueden analizar, filtrar, enriquecer y normalizar antes del almacenamiento.
  • Administrar tablas suele requerir Log Analytics Contributor o permisos equivalentes. Antes de producción se validan esquema, acceso, salud, volumen y costo.

Lista de comprobación del examen

  • Diseñar un esquema con sufijo _CL, TimeGenerated, tipos correctos y sólo campos útiles.
  • Explicar la relación entre carga de origen, endpoint, declaración de flujo DCR, transformación, área y tabla.
  • Elegir un método de ingesta y configurar identidad y permisos.
  • Probar registros, consultar la tabla, resolver discrepancias y actualizar tabla y DCR cuando evolucione el esquema.

Ejercicio práctico

Crear y completar una tabla personalizada de registros de seguridad

  1. Preparar una muestra JSON con marca de tiempo, origen, acción, resultado e identificador de investigación.
  2. Crear una tabla personalizada, revisar el esquema inferido y confirmar el nombre _CL y el mapeo de TimeGenerated.
  3. Revisar o crear la DCR y la transformación, y enviar muestras mediante el conector o Logs Ingestion API.
  4. Consultar la tabla, validar valores y tiempos, inspeccionar errores y documentar cómo agregar una columna.

Recursos oficiales de Microsoft

Crear una tabla personalizada en Registros de Azure Monitor ↗Introducción a Logs Ingestion API ↗Transformar o personalizar datos ingeridos en Sentinel ↗Administrar tablas en un área de trabajo de Log Analytics ↗

Notas relacionadas de las rutas de aprendizaje

Configurar detecciones5 objetivos

Crear reglas de detección personalizadas mediante Búsqueda avanzada en Microsoft Defender XDR.

Notas relacionadas de las rutas de aprendizaje

Administrar reglas de detección personalizadas en Microsoft Defender XDR.

Notas relacionadas de las rutas de aprendizaje

Configurar y administrar reglas de análisis de Microsoft Sentinel, incluidas las programadas, NRT, de inteligencia sobre amenazas y de aprendizaje automático.

Notas relacionadas de las rutas de aprendizaje

Analizar la cobertura de vectores de ataque mediante la matriz MITRE ATT&CK.

Notas relacionadas de las rutas de aprendizaje

Configurar anomalías en Microsoft Sentinel.

Notas relacionadas de las rutas de aprendizaje

02

Responder a incidentes de seguridad

Investigación entre dominios, respuesta de endpoints, Purview y actividad de Microsoft 365

35–40% · 17 objetivos
Responder a alertas e incidentes en Microsoft Defender XDR10 objetivos

Investigar y corregir amenazas mediante Microsoft Defender for Office 365, incluida la interrupción automática de ataques.

Notas relacionadas de las rutas de aprendizaje

Investigar y corregir amenazas o entidades comprometidas identificadas por Microsoft Purview.

Notas relacionadas de las rutas de aprendizaje

Investigar y corregir alertas e incidentes identificados por las protecciones de cargas de trabajo de Microsoft Defender for Cloud.

Notas relacionadas de las rutas de aprendizaje

Investigar y corregir riesgos de seguridad identificados por Microsoft Defender for Cloud Apps.

Notas relacionadas de las rutas de aprendizaje

Investigar y corregir identidades comprometidas identificadas por Microsoft Entra ID.

Notas relacionadas de las rutas de aprendizaje

Investigar y corregir alertas de seguridad de Microsoft Defender for Identity.

Notas relacionadas de las rutas de aprendizaje

Investigar y corregir alertas e incidentes identificados por Microsoft Sentinel.

Notas relacionadas de las rutas de aprendizaje

Investigar incidentes mediante IA agéntica, incluido Microsoft Security Copilot integrado.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

La IA agéntica y Microsoft Security Copilot integrado aceleran la investigación en el portal de Defender al resumir evidencia correlacionada, recomendar próximos pasos y automatizar ciertos flujos de triaje. El analista sigue siendo responsable de validar las conclusiones contra alertas, entidades, cronologías y procedimientos.

Conceptos clave

  • Copilot integrado puede resumir cronología, recursos, indicadores y amenazas, y ofrecer respuestas guiadas para triaje, contención, investigación y corrección.
  • También resume identidades y dispositivos, analiza scripts y archivos, genera consultas de Búsqueda avanzada desde lenguaje natural y crea informes de incidentes.
  • Agentes como Security Alert Triage aplican razonamiento autónomo a alertas compatibles y devuelven veredictos con evidencia. Operan dentro de identidad, permisos, desencadenadores y ámbito configurados.
  • El acceso requiere capacidad de Security Copilot y permisos de Defender. Se aplica mínimo privilegio y se consideran variables las funciones preliminares.
  • La salida de IA puede ser incompleta o incorrecta: hay que verificar afirmaciones y exigir aprobación humana antes de acciones de impacto.

Lista de comprobación del examen

  • Distinguir asistencia de Copilot integrado de flujos agénticos autónomos.
  • Usar resúmenes, respuestas guiadas, análisis y consultas generadas como aceleradores, no como conclusiones finales.
  • Validar cronologías, veredictos, indicadores y recomendaciones contra la evidencia original.
  • Considerar aprovisionamiento, RBAC, ámbito de datos, estado preliminar y supervisión humana.

Ejercicio práctico

Validar una investigación de incidentes asistida por IA

  1. Abrir un incidente con varias alertas y registrar una evaluación propia de cronología, recursos y ruta probable.
  2. Revisar el resumen y las respuestas de Copilot, y rastrear cada afirmación relevante hasta su registro de origen.
  3. Usar una función de análisis o consulta generada para investigar una entidad y documentar conclusiones no respaldadas o contradictorias.
  4. Decidir qué acciones aceptar, modificar o rechazar, explicar el límite de aprobación humana y producir un traspaso respaldado por evidencia.

Recursos oficiales de Microsoft

Microsoft Security Copilot en Microsoft Defender ↗Tarjeta de aplicaciones de Microsoft Copilot en Defender ↗Agente de triaje de alertas de seguridad en Microsoft Defender ↗

Notas relacionadas de las rutas de aprendizaje

Investigar ataques complejos, incluidos los de varias fases, varios dominios y movimiento lateral.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Un ataque complejo abarca varias fases, dominios o entidades y puede producir alertas aparentemente inconexas. Defender XDR correlaciona las señales; la historia del ataque, los pivotes, Búsqueda avanzada y el análisis del radio de impacto permiten reconstruir la cronología, identificar movimiento lateral y determinar el impacto.

Conceptos clave

  • Comenzar por prioridad, alertas correlacionadas, recursos afectados e historia del ataque para establecer entrada, técnicas, entidades, persistencia, movimiento lateral y respuestas observadas.
  • Pivotar entre usuarios, dispositivos, buzones, aplicaciones, IP, archivos, URL y recursos de nube. Usar páginas de entidad y Go hunt para probar relaciones y vincular resultados.
  • El grafo del incidente muestra evidencia observada; el radio de impacto agrega rutas posibles hacia objetivos críticos para priorizar por impacto empresarial.
  • Las rutas son pistas, no prueba de actividad. Dependen de permisos, actualidad de datos, vectores modelados y longitud; deben corroborarse con eventos y consultas.
  • Contener sin perder evidencia de causa raíz, coordinar acciones entre dominios, verificar resultados y reevaluar el alcance.

Lista de comprobación del examen

  • Reconstruir un ataque multifase correlacionando tiempos, tácticas, entidades y dominios.
  • Usar grafo, páginas de entidad, cronologías, Go hunt y Búsqueda avanzada para investigar movimiento lateral.
  • Diferenciar relaciones observadas de rutas posibles del radio de impacto y explicar limitaciones.
  • Priorizar contención y corrección por confianza, fase, exposición crítica y riesgo de propagación.

Ejercicio práctico

Reconstruir y contener un ataque entre múltiples dominios

  1. Elegir un incidente simulado de al menos dos dominios y construir una cronología con entrada, entidades, tácticas y respuestas.
  2. Recorrer el grafo y las entidades, y usar Go hunt o Búsqueda avanzada para probar una relación de movimiento lateral.
  3. Revisar el radio de impacto, separar compromiso observado de rutas posibles e identificar el recurso alcanzable de mayor impacto.
  4. Redactar un plan secuenciado, verificar el resultado esperado y enumerar la evidencia necesaria para cerrar.

Recursos oficiales de Microsoft

Investigar incidentes en el portal de Microsoft Defender ↗Investigar y responder mediante Microsoft Defender XDR ↗Vincular resultados de Búsqueda avanzada con un incidente ↗

Notas relacionadas de las rutas de aprendizaje

Administrar incidentes de seguridad mediante la gestión de casos.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

La gestión de casos del portal de Microsoft Defender da seguimiento a trabajo que puede abarcar varios incidentes, hallazgos, indicadores y equipos. Un caso tiene prioridad, estado, propietario, vencimiento, tareas, comentarios, adjuntos, objetos vinculados e historial propios, conservando cada incidente como registro separado.

Conceptos clave

  • Un incidente correlaciona alertas y evidencia; un caso coordina trabajo más amplio. Se usa cuando hay varios incidentes, escalación, colaboración, una búsqueda o un actor que requieren un flujo duradero.
  • Se requiere un área de trabajo de Microsoft Sentinel conectada. Los casos se administran en Defender y no son visibles en el portal de Azure.
  • La cola admite filtros, orden y búsqueda. Los detalles incluyen prioridad, estado, responsable, descripción, vencimiento, incidentes, tareas, comentarios, adjuntos y registro de actividad.
  • Vincular un incidente agrega contexto sin combinarlo ni reemplazarlo. Pueden vincularse varios incidentes de una campaña o escalación.
  • El acceso usa RBAC unificado de Defender XDR o roles de Sentinel: Reader ve, Responder crea y administra, y Contributor personaliza estados según el mapeo documentado.

Lista de comprobación del examen

  • Elegir correctamente entre administrar un incidente y crear un caso transversal.
  • Mantener prioridad, estado, asignación, vencimiento, tareas, comentarios, adjuntos, vínculos e historial.
  • Vincular o desvincular incidentes preservando el propósito y ciclo de vida de cada elemento.
  • Reconocer el requisito del área conectada y mapear capacidades a permisos RBAC o roles de Sentinel.

Ejercicio práctico

Coordinar un caso de SecOps entre varios incidentes

  1. Crear un caso para una campaña simulada con dos incidentes y definir prioridad, propietario, estado, descripción y vencimiento.
  2. Vincular ambos incidentes, agregar tareas de investigación y contención con responsables y registrar la relación.
  3. Adjuntar o referenciar evidencia no sensible, actualizar tarea y estado y revisar que los cambios sean auditables.
  4. Cerrar el caso con un resultado conciso y explicar por qué los incidentes conservaron evidencia, clasificación y ciclo propios.

Recursos oficiales de Microsoft

Administrar casos de operaciones de seguridad en el portal de Defender ↗Administrar incidentes en Microsoft Defender ↗Optimizar la respuesta a incidentes mediante tareas ↗

Notas relacionadas de las rutas de aprendizaje

Responder a alertas e incidentes en Microsoft Defender for Endpoint4 objetivos

Investigar escalas de tiempo de dispositivos.

Notas relacionadas de las rutas de aprendizaje

Realizar acciones en dispositivos, incluidas la respuesta en vivo y la recopilación de paquetes de investigación.

Notas relacionadas de las rutas de aprendizaje

Investigar evidencias y entidades.

Notas relacionadas de las rutas de aprendizaje

Investigar y corregir incidentes identificados por la interrupción automática de ataques.

Notas relacionadas de las rutas de aprendizaje

Investigar actividades de Microsoft 365 para identificar amenazas3 objetivos

Investigar amenazas mediante Auditoría de Microsoft Purview.

Notas relacionadas de las rutas de aprendizaje

Investigar amenazas mediante la búsqueda de contenido en Microsoft Purview eDiscovery.

Notas relacionadas de las rutas de aprendizaje

Investigar amenazas mediante los registros de actividad de Microsoft Graph.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Los registros de actividad de Microsoft Graph registran solicitudes HTTP realizadas a Microsoft Graph para recursos del tenant. En Sentinel, MicrosoftGraphActivityLogs puede revelar patrones inusuales de acceso de aplicaciones, entidades de servicio y usuarios que los registros de inicio de sesión no explican por completo.

Conceptos clave

  • El conector de Microsoft Entra ID puede ingerir registros de actividad de Microsoft Graph en Microsoft Sentinel.
  • Los campos útiles incluyen AppId, ServicePrincipalId, UserId, RequestUri, RequestMethod, ResponseStatusCode, IPAddress, UserAgent y RequestId.
  • La investigación debe establecer quién llamó a Graph, qué endpoint accedió, si tuvo éxito, desde dónde y si el volumen o momento es anómalo.
  • Las solicitudes deben correlacionarse con inicios de sesión, auditoría, riesgo de identidad y Defender XDR; una solicitud aislada no prueba actividad maliciosa.

Lista de comprobación del examen

  • Conocer el propósito de MicrosoftGraphActivityLogs y cómo llegan los datos a Sentinel.
  • Pivotar entre AppId, entidad de servicio, usuario, IP, URI de solicitud y código de respuesta.
  • Identificar enumeración, errores de autorización repetidos, endpoints inusuales o nuevos autores sobre recursos sensibles.
  • Usar RequestId y ventanas temporales para correlacionar con telemetría de Entra y Microsoft 365.

Ejercicio práctico

Investigar un autor inusual de llamadas a Microsoft Graph

  1. Confirmar que los registros de actividad estén habilitados mediante el conector de Microsoft Entra ID.
  2. Resumir solicitudes por AppId, ServicePrincipalId, UserId, RequestUri y ResponseStatusCode en una ventana definida.
  3. Elegir un autor inusual y crear una cronología de endpoints, IP, agentes de usuario, errores y éxitos.
  4. Correlacionarlo con inicios de sesión y auditoría de Entra y clasificar la actividad.

Recursos oficiales de Microsoft

Enviar datos de Microsoft Entra ID a Sentinel ↗Referencia de la tabla MicrosoftGraphActivityLogs ↗Ejemplos de consultas de MicrosoftGraphActivityLogs ↗
03

Realizar búsqueda de amenazas

KQL, Búsqueda avanzada, grafos, Data Lake, tablas de resumen y cuadernos

20–25% · 10 objetivos
Detectar amenazas mediante Microsoft Defender XDR6 objetivos

Identificar la tabla adecuada para usar en una consulta KQL.

Notas relacionadas de las rutas de aprendizaje

Identificar amenazas mediante el lenguaje de consulta Kusto (KQL).

Notas relacionadas de las rutas de aprendizaje

Crear consultas de Búsqueda avanzada.

Notas relacionadas de las rutas de aprendizaje

Interpretar el análisis de amenazas en Microsoft Defender XDR.

Notas relacionadas de las rutas de aprendizaje

Crear grafos de búsqueda, incluido el radio de impacto.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

El grafo de búsqueda de Búsqueda avanzada de Microsoft Defender representa entidades de seguridad y sus relaciones en un grafo interactivo. Se crea eligiendo un escenario, proporcionando entidades, aplicando filtros y explorando rutas posibles, puntos de control, exposición y conexiones con recursos críticos.

Conceptos clave

  • Se abre desde Investigación y respuesta > Búsqueda > Búsqueda avanzada. Requiere el rol de Entra adecuado, incorporación a Data Lake de Sentinel y acceso de lectura a Security Exposure Management.
  • Los escenarios predefinidos responden preguntas sobre rutas hacia recursos críticos, relaciones, rutas entre entidades, acceso sensible o puntos de control mediante consultas integradas.
  • Los nodos representan usuarios, dispositivos, IP, aplicaciones o recursos; las aristas dirigidas describen pertenencia, permisos, autenticación, rutas, propiedad o ejecución.
  • El escenario se refina con filtros de origen, destino, tipo y dirección de arista, riesgo, vulnerabilidad, exposición o ruta más corta, además de capas visuales.
  • Los grafos sirven para explorar rutas posibles; el radio de impacto de un incidente estima alcance actual y potencial, pero no demuestra que se usaran todas las rutas.
  • Los resultados dependen de datos, clasificación, actualidad, relaciones modeladas, permisos y límites. Las relaciones importantes deben corroborarse con evidencia de eventos.

Lista de comprobación del examen

  • Crear un grafo, elegir el escenario adecuado, proporcionar entidades, aplicar filtros y representarlo.
  • Interpretar tipos de nodo, dirección y relación de aristas, agrupaciones, rutas cortas, recursos críticos, vulnerabilidades y puntos de control.
  • Diferenciar grafos proactivos, historia del ataque, radio de impacto y análisis personalizado de Sentinel Graph con GQL.
  • Validar rutas contra evidencia y considerar requisitos, RBAC, datos incompletos, actualidad y límites de ruta.

Ejercicio práctico

Crear y validar un grafo de búsqueda hacia un recurso crítico

  1. Definir una hipótesis con una identidad o dispositivo potencialmente comprometido y un objetivo crítico, y registrar evidencia y permisos necesarios.
  2. Crear un grafo y ejecutar Rutas entre dos entidades o Rutas de ataque a un recurso crítico.
  3. Filtrar las rutas relevantes y examinar nodos y aristas para identificar exposición, vulnerabilidades y un punto de control.
  4. Corroborar relaciones con páginas de entidad o una consulta, separar alcance posible de actividad observada y justificar una acción.

Recursos oficiales de Microsoft

Buscar amenazas mediante el grafo de búsqueda ↗Comprender los iconos y visualizaciones del grafo ↗Investigar incidentes y el radio de impacto ↗Trabajar con resultados de consultas de Búsqueda avanzada ↗

Notas relacionadas de las rutas de aprendizaje

Analizar las relaciones entre entidades mediante Sentinel Graph.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Microsoft Sentinel Graph modela los datos de seguridad como nodos y relaciones dirigidas en lugar de filas aisladas. Los analistas usan experiencias gráficas y Graph Query Language (GQL) para rastrear rutas de acceso, movimiento lateral, radio de impacto y conexiones con recursos críticos.

Conceptos clave

  • Los nodos representan identidades, dispositivos, archivos y recursos; las aristas representan acceso, pertenencia, propiedad o actividad.
  • Los grafos predefinidos admiten rutas de ataque de identidad, hunting, exposición y análisis del radio de impacto.
  • Los grafos personalizados pueden modelar Data Lake de Sentinel y datos ajenos a Microsoft para investigaciones específicas.
  • La visualización permite inspeccionar esquemas, detalles, conexiones, filtros, validación tabular y exportación.

Lista de comprobación del examen

  • Explicar por qué un grafo revela relaciones difíciles de encontrar con consultas tabulares.
  • Identificar nodos, aristas, dirección, propiedades, rutas y radio de impacto.
  • Usar el esquema antes de escribir GQL y validar la visualización en la vista de tabla.
  • Distinguir análisis proactivo de rutas de investigación del radio de impacto posterior al compromiso.

Ejercicio práctico

Rastrear una ruta de identidad hacia un recurso crítico

  1. Abrir Microsoft Sentinel > Grafos y elegir un grafo predefinido o personalizado.
  2. Inspeccionar el esquema para identificar identidades, recursos y relaciones relevantes.
  3. Partir de una consulta predefinida o un patrón GQL de un salto y filtrar por una identidad o recurso crítico.
  4. Recorrer recursos conectados, validar la ruta en tabla y registrar la ruta riesgosa más corta y una corrección.

Recursos oficiales de Microsoft

Introducción a Microsoft Sentinel Graph ↗Grafo de ataques de identidad ↗Visualizar grafos en Microsoft Sentinel ↗
Detectar amenazas mediante la plataforma de Microsoft Sentinel4 objetivos

Crear y supervisar consultas de búsqueda.

Notas relacionadas de las rutas de aprendizaje

Crear y administrar trabajos de KQL en Data Lake.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Los trabajos KQL son consultas asincrónicas únicas o programadas sobre datos de Data Lake de Microsoft Sentinel y tablas federadas. Admiten investigaciones largas, joins y unions entre tablas, análisis histórico, enriquecimiento y promoción selectiva de resultados a otro nivel.

Conceptos clave

  • El área de trabajo debe estar incorporada a Data Lake de Sentinel antes de ejecutar trabajos KQL.
  • Un trabajo define consulta, áreas de origen, área y tabla de destino, y una programación única o recurrente.
  • Los resultados pueden escribirse en una tabla nueva o agregarse a una existente con esquema compatible en Analytics o Data Lake.
  • Hay que considerar latencia de ingesta, tiempo de espera, costo de destino, compatibilidad de esquema y campos u operadores no admitidos.

Lista de comprobación del examen

  • Elegir un trabajo KQL para cargas históricas, multitabla, joins/unions, programadas o de enriquecimiento.
  • Conocer incorporación a Data Lake, roles y acceso de identidad administrada para tablas de Analytics.
  • Configurar destino, ámbito, programación y retraso o solapamiento para datos tardíos.
  • Diferenciar trabajos KQL, reglas de resumen y trabajos de búsqueda por origen, capacidad, programación y destino.

Ejercicio práctico

Diseñar un trabajo de enriquecimiento histórico programado

  1. Elegir una investigación histórica que requiera join o union entre dos tablas.
  2. Probar una consulta que proyecte sólo columnas necesarias y conserve el tiempo original.
  3. Crear un trabajo programado con tabla de destino y retraso apropiado para la disponibilidad de datos.
  4. Revisar estado y salida, verificar el esquema y documentar cómo ayudan los resultados al hunting o análisis.

Recursos oficiales de Microsoft

Crear trabajos KQL en Data Lake de Sentinel ↗Comparar trabajos KQL, reglas de resumen y trabajos de búsqueda ↗

Crear y administrar tablas de reglas de resumen para realizar consultas.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Las reglas de resumen ejecutan agregaciones KQL programadas en segundo plano y almacenan resultados compactos en tablas personalizadas del nivel Analytics. Mejoran el rendimiento y controlan costos cuando se consultan repetidamente datos voluminosos o de niveles económicos.

Conceptos clave

  • Una regla consta de una agregación KQL, tabla de destino, tamaño de intervalo o frecuencia, retraso y hora de inicio.
  • Los resultados usan una tabla personalizada nueva o existente, normalmente con sufijo _CL, y alimentan búsquedas, libros, informes o reglas.
  • Se prueban consulta y esquema antes de crearla; se reduce intervalo, filas o campos voluminosos si se acercan límites.
  • Se supervisan estado e historial de ejecución y se habilitan diagnósticos SummaryLogs para investigar fallos.

Lista de comprobación del examen

  • Elegir reglas de resumen para agregación frecuente de datos voluminosos y análisis repetido rápido.
  • Configurar consulta, tabla de destino, frecuencia, retraso e inicio.
  • Explicar cómo los datos resumidos en Analytics evitan escaneos repetidos de Basic, Auxiliary o Data Lake.
  • Administrar una regla revisando resultados e historial y habilitándola, editándola, deshabilitándola o eliminándola.

Ejercicio práctico

Crear y validar una regla de resumen

  1. Seleccionar una tabla detallada y definir una métrica de seguridad horaria de uso frecuente.
  2. Probar una consulta KQL con summarize y verificar esquema e intervalos temporales.
  3. Crear una regla hacia una tabla personalizada nueva y configurar frecuencia y retraso de ingesta.
  4. Consultar el destino, revisar historial o SummaryLogs y describir un uso en hunting o análisis.

Recursos oficiales de Microsoft

Agregar datos de Sentinel mediante reglas de resumen ↗Comparar trabajos KQL, reglas de resumen y trabajos de búsqueda ↗

Buscar amenazas mediante cuadernos, incluida la conexión con Sentinel MCP Server.

Notas y prácticaResumen · conceptos · lista de comprobación · ejercicio

Resumen de estudio

Microsoft Sentinel admite flujos de hunting basados en código y en lenguaje natural. Los cuadernos Jupyter ofrecen un entorno reproducible para adquisición, enriquecimiento, visualización, estadística y machine learning; Sentinel MCP Server expone herramientas de seguridad a clientes de IA compatibles mediante conexiones autenticadas con Microsoft Entra.

Conceptos clave

  • Se elige un cuaderno cuando se necesita Python personalizado, transformaciones repetibles, enriquecimiento externo, visualización compleja, estadística, machine learning o un registro duradero de código, resultados y razonamiento.
  • MSTICPy agrega proveedores, consultas, enriquecimiento, inteligencia sobre amenazas, geolocalización, cronologías y árboles de procesos. Los secretos se protegen en Key Vault y el proceso se detiene cuando no se usa.
  • Sentinel MCP Server es una interfaz hospedada con identidad de Entra; un host y cliente MCP compatibles se conectan a colecciones para exploración, triaje, hunting o agentes.
  • Las herramientas MCP operan con los permisos y ámbito del usuario. Se selecciona el área correcta, se aplica mínimo privilegio y se mantiene compatibilidad de autorización.
  • Los resultados de cuadernos y MCP son candidatos de evidencia: se validan tablas, tiempos, lógica, entidades, citas y actualidad, y se conservan las consultas finales.
  • Las capacidades, límites, clientes y estado preliminar pueden cambiar. Se usan prompts en inglés según el soporte actual y se prueban los flujos antes de producción.

Lista de comprobación del examen

  • Elegir cuadernos para análisis programable y reproducible, y MCP para acceso gobernado en lenguaje natural.
  • Configurar el entorno, autenticar, consultar con Kqlmagic o MSTICPy, enriquecer y visualizar, proteger secretos y controlar costos.
  • Explicar la relación host-cliente-servidor MCP, elegir una colección, autenticar con Entra y definir área y ámbito.
  • Validar resultados contra datos de origen, considerar permisos, actualidad, límites y vista previa, y conservar evidencia reproducible.

Ejercicio práctico

Ejecutar y validar una búsqueda híbrida con cuaderno y MCP

  1. Definir una hipótesis acotada y registrar área, tablas, entidades, permisos y evidencia esperada.
  2. En un cuaderno, recuperar eventos con Kqlmagic o MSTICPy, normalizarlos, enriquecer una entidad y crear una visualización.
  3. Desde un cliente conectado a Sentinel MCP, enviar un prompt específico en inglés para el mismo ámbito y registrar herramientas, área, tablas y tiempo.
  4. Comparar resultados, investigar discrepancias, guardar consulta y narrativa, retirar secretos y documentar una conclusión respaldada.

Recursos oficiales de Microsoft

Cuadernos Jupyter con capacidades de hunting de Sentinel ↗Introducción a cuadernos Jupyter y MSTICPy ↗Compatibilidad de Microsoft Sentinel con MCP ↗Introducción a Microsoft Sentinel MCP Server ↗Colecciones de herramientas de Sentinel MCP ↗Prácticas recomendadas y solución de problemas de Sentinel MCP ↗

Notas relacionadas de las rutas de aprendizaje

↑