Prepará SC-200 con una referencia que recuerda tu progreso.

Microsoft Defender XDR es un conjunto integrado de protección contra amenazas. Detecta actividad en cuatro dominios: endpoints, identidad, correo electrónico y aplicaciones. La correlación transforma señales separadas en una historia completa de la cadena de ataque y ayuda a determinar la secuencia, el alcance, las entidades afectadas y la corrección.

Un archivo adjunto malintencionado puede llegar por correo personal o USB y eludir el flujo protegido de la organización. Cuando se ejecuta, Defender for Endpoint todavía puede detectar la carga. Esto demuestra la defensa en profundidad: un dominio puede detectar un ataque que ingresó por otra ruta.

Modos de corrección

• Corrección totalmente automatizada
• Corrección automatizada con aprobación del analista
• Investigación y corrección manuales

La información de amenazas también puede enriquecer Microsoft Threat Intelligence y ayudar a detectar variantes relacionadas. La evaluación continua de acceso (CAE) puede aplicar cambios a sesiones activas compatibles.

Defender XDR proporciona detección y respuesta integradas entre los dominios de seguridad de Microsoft; Microsoft Sentinel aporta visibilidad y contexto SIEM más amplios. La estructura depende del tamaño de la organización y los niveles describen funciones especializadas, no una jerarquía de valor.

Microsoft recomienda un flujo de alertas de alta calidad, aproximadamente 90 % de verdaderos positivos para alertas que requieren respuesta del analista. La automatización reduce tareas repetitivas y la integración ofrece una consola única.

Microsoft Graph es un modelo de programación unificado para datos de Microsoft 365, Windows y Enterprise Mobility + Security. Las API REST y los SDK usan el endpoint https://graph.microsoft.com.

Microsoft Graph Security API funciona como intermediario: distribuye una solicitud a los proveedores de seguridad aplicables, agrega sus respuestas y devuelve un esquema común. Permite correlación de alertas, transmisión a SIEM, envío de indicadores, contexto de investigación, informes y automatización SecOps.

• v1.0: superficie estable para producción.
• beta: capacidades en versión preliminar que pueden cambiar.

Búsqueda avanzada mediante Microsoft Graph

POST https://graph.microsoft.com/v1.0/security/runHuntingQuery
{
  "Query": "DeviceProcessEvents | where InitiatingProcessFileName =~ "powershell.exe" | project Timestamp, FileName, InitiatingProcessFileName | order by Timestamp desc | limit 2"
}

La consulta KQL busca eventos de proceso, filtra PowerShell como proceso iniciador, selecciona tres campos, ordena del más reciente al más antiguo y devuelve dos filas.

Esta unidad delega su contenido práctico en una guía interactiva de Microsoft. Demuestra cómo Defender XDR y Microsoft Sentinel trabajan juntos durante una investigación en un entorno híbrido.

1. Revisá el incidente unificado y sus alertas.
2. Examiná la escala de tiempo, la evidencia y las entidades afectadas.
3. Determiná alcance, punto de entrada y estado actual.
4. Usá datos de Sentinel cuando necesites contexto híbrido más amplio.
5. Contené y corregí la amenaza, documentá hallazgos y cerrá o escalá.

• Defender XDR correlaciona señales de endpoints, identidades, correo y aplicaciones.
• Los incidentes unificados ofrecen una historia más clara y mejoran la respuesta.
• Un SOC moderno combina triage, investigación, búsqueda e inteligencia sobre amenazas.
• Sentinel puede agregar visibilidad SIEM más amplia.
• Microsoft Graph habilita integración y automatización programáticas.