Prepará SC-200 con una referencia que recuerda tu progreso.

Microsoft Defender for Endpoint es una plataforma empresarial para prevención, detección, investigación y respuesta. Su canal de telemetría combina sensores de comportamiento integrados, análisis de seguridad en la nube e inteligencia sobre amenazas de Microsoft.

• Sensores: recopilan señales del sistema operativo y las envían al servicio aislado del tenant.
• Análisis en la nube: convierten telemetría en detecciones, conclusiones y acciones recomendadas.
• Inteligencia: reconoce herramientas, técnicas, procedimientos e infraestructura de atacantes.

El sensor se comunica como LocalSystem mediante WinHTTP. La configuración de proxy WinHTTP es independiente de WinINet del navegador.

La búsqueda avanzada usa KQL para consultar proactivamente telemetría de endpoints y otros dominios. Los resultados revelan indicadores, entidades, patrones y candidatos para reglas de detección personalizadas.

DeviceProcessEvents
| where Timestamp > ago(7d)
| where FileName =~ "powershell.exe"
| where ProcessCommandLine has_any ("downloadstring", "invoke-webrequest")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine
| top 100 by Timestamp desc

• Filtrá pronto por tiempo y columnas selectivas.
• Preferí has para tokens completos frente a contains.
• Proyectá solo las columnas necesarias antes de joins.
• Colocá la tabla más pequeña a la izquierda del join.

Revisá la arquitectura sensor-nube-inteligencia, las seis áreas principales de MDE, la correlación de incidentes y el rol de KQL en la búsqueda avanzada.