Directivas de alerta en el portal de Microsoft Defender

Puede usar directivas de alertas y el panel de alertas en el portal de Microsoft Defender para crear directivas de alertas y, a continuación, ver las alertas que se generan cuando los usuarios realizan actividades que cumplen las condiciones de una directiva de alertas. Hay varias directivas de alerta predeterminadas que le ayudan a supervisar actividades, como asignar privilegios de administrador en Exchange Online, ataques de malware, campañas de suplantación de identidad (phishing) y niveles inusuales de eliminaciones de archivos o uso compartido externo.

Las directivas de alerta le permiten clasificar las alertas que desencadena una directiva, aplicar la directiva a todos los usuarios de la organización, establecer un umbral para cuándo se desencadena una alerta y decidir si se van a recibir notificaciones por correo electrónico cuando se desencadenan alertas. También hay una página Alertas donde puede ver y filtrar alertas, establecer un estado para gestionarlas y descartarlas una vez que haya atendido o resuelto el incidente subyacente.

Cómo funcionan las directivas de alerta

Esta es una introducción rápida sobre cómo funcionan las directivas de alertas y las alertas que se desencadenan cuando la actividad del usuario o administrador coincide con las condiciones de una directiva de alerta.

1. Un administrador de la organización crea, configura y activa una directiva de alerta mediante la página Directivas de alerta del portal de cumplimiento o el portal de Microsoft Defender. También puedes crear directivas de alerta usando el cmdlet New-ProtectionAlert en Security & Compliance PowerShell.

   Para crear directivas de alerta, debe tener asignado el rol Administrar alertas o el rol Configuración de la organización en el portal de cumplimiento o en el portal de Defender.

   Nota:

   Después de crear o actualizar una directiva de alertas, pueden transcurrir hasta 24 horas antes de que la directiva pueda desencadenar alertas. Esto se debe a que la directiva debe sincronizarse con el motor de detección de alertas.

2. Un usuario realiza una actividad que coincide con las condiciones de una directiva de alerta. En el caso de ataques de malware, los mensajes de correo electrónico infectados enviados a los usuarios de la organización desencadenan una alerta.

3. Microsoft 365 genera una alerta que se muestra en la página Alertas del portal de Microsoft Defender. Además, si las notificaciones por correo electrónico están habilitadas para la directiva de alertas, Microsoft envía una notificación a una lista de destinatarios. Las alertas que un administrador u otros usuarios pueden ver en la página Alertas vienen determinadas por los roles asignados al usuario. Para obtener más información, consulte Permisos de RBAC necesarios para ver las alertas.

4. Un administrador administra las alertas en el portal de Microsoft Defender. La administración de alertas consiste en asignar un estado de alerta para ayudar a realizar un seguimiento y administrar cualquier investigación.

Configuración de la directiva de alerta

Una directiva de alerta consta de un conjunto de reglas y condiciones que definen la actividad de usuario o administrador que genera una alerta, una lista de usuarios que desencadenan la alerta si realizan la actividad y un umbral que define cuántas veces debe producirse la actividad antes de que se desencadene una alerta. También categoriza la directiva y le asigna un nivel de gravedad. Estas dos opciones de configuración le ayudan a administrar las directivas de alertas (y las alertas que se desencadenan cuando se cumplen las condiciones de la directiva), ya que puede filtrar por esta configuración al administrar directivas y ver alertas en el portal de Microsoft Defender. Por ejemplo, puede ver alertas que coinciden con las condiciones de la misma categoría o ver alertas con el mismo nivel de gravedad.

Para ver y crear directivas de alerta, en el portal de Microsoft Defender, en Correo electrónico y colaboración seleccione Directivas y reglas>Directiva de alerta. O puede ir directamente a https://security.microsoft.com/alertpolicies.

Una directiva de alerta consta de las siguientes configuraciones y condiciones.

• Actividad sobre la que la alerta está realizando un seguimiento. Crea una directiva para realizar un seguimiento de una actividad o, en algunos casos, algunas actividades relacionadas, como compartir un archivo con un usuario externo compartiéndolo, asignando permisos de acceso o creando un vínculo anónimo. Cuando un usuario realiza la actividad definida por la directiva, se desencadena una alerta en función de la configuración del umbral de alerta.

  Nota:

  Las actividades que puede supervisar dependen del plan Office 365 Enterprise o Office 365 Administración Pública para Estados Unidos de su organización. En general, las actividades relacionadas con campañas de malware y ataques de suplantación de identidad requieren una suscripción E5/G5 o una suscripción E1/F1/G1 o E3/F3/G3 con una suscripción complementaria de Defender para Office 365 Plan 2.

• Condiciones de actividad. Para la mayoría de las actividades, puede definir condiciones adicionales que deben cumplirse para desencadenar una alerta. Las condiciones comunes incluyen direcciones IP (para que se desencadene una alerta cuando el usuario realice la actividad en un ordenador con una dirección IP específica o dentro de un rango de direcciones IP), si se desencadena una alerta cuando un usuario o usuarios específicos realizan esa actividad, y si la actividad se realiza en un nombre de archivo o dirección URL específicos. También puede configurar una condición que desencadene una alerta cuando cualquier usuario de la organización realice la actividad. Las condiciones disponibles dependen de la actividad seleccionada.

También puede definir etiquetas de usuario como una condición de una directiva de alerta. Esta definición da como resultado las alertas desencadenadas por la directiva para incluir el contexto del usuario afectado. Puede usar etiquetas de usuario del sistema o etiquetas de usuario personalizadas. Para obtener más información, vea Etiquetas de usuario en Microsoft Defender para Office 365.

• Cuando se desencadena la alerta. Puede configurar un valor que defina la frecuencia con la que se puede producir una actividad antes de que se desencadene una alerta. Esto le permite configurar una directiva para generar una alerta cada vez que una actividad coincida con las condiciones de la directiva, cuando se supere un umbral determinado o cuando la frecuencia de la actividad sobre la que la alerta realiza un seguimiento se vuelva inusual para su organización.

  

  Si selecciona la configuración en función de una actividad inusual, Microsoft establece un valor de línea base que define la frecuencia normal de la actividad seleccionada. Esta línea base tarda hasta siete días en establecerse, durante los cuales no se generan alertas. Una vez establecida la línea base, se desencadena una alerta cuando la frecuencia de la actividad de la que realiza un seguimiento la directiva de alerta supera considerablemente el valor de línea base. En el caso de las actividades relacionadas con la auditoría (como las actividades de archivos y carpetas), puede establecer una línea base basada en un único usuario o en todos los usuarios de la organización; para actividades relacionadas con malware, puede establecer una línea base basada en una sola familia de malware, un único destinatario o todos los mensajes de su organización.

  Nota:

  La capacidad de configurar directivas de alerta basadas en un umbral o en función de una actividad inusual requiere una suscripción E5/G5, o una suscripción E1/F1/G1 o E3/F3/G3 con una suscripción complementaria de Microsoft Defender para Office 365 P2, Cumplimiento de Microsoft 365 E5 o Microsoft 365 eDiscovery y Auditoría. Las organizaciones con una suscripción E1/F1/G1 y E3/F3/G3 solo pueden crear directivas de alerta en las que se desencadene una alerta cada vez que se produzca una actividad.

• Categoría de alerta. Para ayudar con el seguimiento y la administración de las alertas generadas por una directiva, puede asignar una de las siguientes categorías a una directiva.

  • Prevención de pérdida de datos
  • Información de gobierno
  • Flujo del correo
  • Permissions
  • Administración de amenazas
  • Otros

  Cuando se produce una actividad que coincide con las condiciones de la directiva de alertas, la alerta generada se etiqueta con la categoría definida en esta configuración. Esto le permite realizar un seguimiento y gestionar alertas que tienen la misma categoría en la página Alertas del portal de Microsoft Defender, ya que puede ordenar y filtrar las alertas según la categoría.

• Gravedad de la alerta. De forma similar a la categoría de la alerta, asigna un atributo de gravedad (Bajo, Medio, Alto o Informativo) a las directivas de alerta. Al igual que la categoría de alerta, cuando se produce una actividad que coincide con las condiciones de la directiva de alerta, la alerta generada se etiqueta con el mismo nivel de gravedad que se establece para la directiva de alerta. De nuevo, esto le permite realizar un seguimiento y administrar las alertas que tienen la misma configuración de gravedad en la página Alertas. Por ejemplo, puede filtrar la lista de alertas para que solo se muestren las alertas con una gravedad alta.

  Sugerencia

  Al configurar una directiva de alertas, considere la posibilidad de asignar una gravedad mayor a las actividades que pueden dar lugar a consecuencias gravemente negativas, como la detección de malware después de la entrega a los usuarios, la visualización de datos confidenciales o clasificados, el uso compartido de datos con usuarios externos u otras actividades que pueden provocar la pérdida de datos o amenazas de seguridad. Esto puede ayudarle a priorizar las alertas y las acciones que realice para investigar y resolver las causas subyacentes.

• Investigaciones automatizadas. Algunas alertas desencadenan investigaciones automatizadas para identificar posibles amenazas y riesgos que necesitan corrección o mitigación. En la mayoría de los casos, estas alertas se desencadenan mediante la detección de correos electrónicos o actividades malintencionados, pero en algunos casos las alertas se desencadenan mediante acciones del administrador en el portal de seguridad. Para obtener más información sobre las investigaciones automatizadas, vea Investigación y respuesta automatizadas (AIR) en Microsoft Defender para Office 365.

• Notificaciones por correo electrónico. Puede configurar la directiva para que las notificaciones de correo electrónico se envíen (o no se envíen) a una lista de usuarios cuando se desencadene una alerta. También puede establecer un límite diario de notificaciones para que, una vez alcanzado el número máximo de notificaciones, no se envíen más notificaciones para la alerta durante ese día. Además de las notificaciones por correo electrónico, usted u otros administradores pueden ver las alertas que desencadena una directiva en la página Alertas. Considere la posibilidad de habilitar las notificaciones por correo electrónico para las directivas de alerta de una categoría específica o que tengan una configuración de gravedad mayor.

Directivas de alerta predeterminadas

Microsoft proporciona directivas de alerta integradas que ayudan a identificar el abuso de permisos de administrador de Exchange, la actividad de malware, las posibles amenazas internas y externas, y los riesgos de gobernanza de la información. En la página Directivas de alerta, los nombres de estas directivas integradas están en negrita y el tipo de directiva se define como Sistema. Estas directivas están activadas de forma predeterminada. Puede desactivar estas directivas (o volver a activarlas), configurar una lista de destinatarios para enviar notificaciones por correo electrónico y establecer un límite diario de notificaciones. No se puede editar la otra configuración de estas directivas.

Las siguientes tablas enumeran y describen las directivas de alerta predeterminadas disponibles y la categoría a la que se asigna cada directiva. La categoría se usa para determinar qué alertas puede ver un usuario en la página Alertas. Para obtener más información, consulte Permisos de RBAC necesarios para ver las alertas.

Las tablas también indican el plan de Office 365 Enterprise y Office 365 Administración Pública para Estados Unidos necesario para cada uno de ellos. Algunas directivas de alerta predeterminadas están disponibles si su organización tiene la suscripción complementaria adecuada además de una suscripción E1/F1/G1 o E3/F3/G3.

Directivas de alerta de gobierno de información

Directivas de alerta de flujo de correo

Directivas de alerta de permisos

Directivas de alerta de administración de amenazas

¹ Esta directiva de alerta forma parte de la funcionalidad de sustitución de las directivas de alerta de cebo entregado debido a la invalidación del inquilino o del usuario y de cebo de suplantación de identidad del usuario entregado en la bandeja de entrada/carpeta, que se eliminaron en función de los comentarios de los usuarios. Para obtener más información sobre la protección contra la suplantación de identidad (anti-phishing) en Office 365, vea Directivas antiphishing.

Ver alertas

Cuando una actividad realizada por usuarios de su organización coincide con la configuración de una directiva de alertas, se genera una alerta que se muestra en la página Alertas del portal de Microsoft Defender. Según la configuración de una directiva de alertas, también se envía una notificación por correo electrónico a una lista de usuarios especificados cuando se desencadena una alerta. Para cada alerta, el panel de la página Alertas muestra el nombre de la directiva de alerta correspondiente, la gravedad y categoría de la alerta (definida en la directiva de alertas) y el número de veces que se ha producido una actividad que ha provocado la generación de la alerta. Este valor se basa en la configuración de umbral de la directiva de alerta. El panel también muestra el estado de cada alerta. Para obtener más información sobre el uso de la propiedad de estado para administrar alertas, vea Administrar alertas.

Para ver las alertas, en el portal de Microsoft Defender, seleccione Incidentes y alertas>Alertas. O puede ir directamente a https://security.microsoft.com/alerts.

Puede usar los siguientes filtros para ver un subconjunto de todas las alertas en la página Alertas:

• Gravedad: muestra las alertas asignadas a una gravedad específica.
• Estado: muestra las alertas a las que se asigna un estado determinado. El estado predeterminado es Nuevo. Usted u otros administradores pueden cambiar el valor del estado.
• Categorías: mostrar alertas de una o varias categorías de alertas.
• Orígenes de servicio y detección: use este filtro para mostrar las alertas desencadenadas por las directivas de alerta en un servicio o origen de detección específico. Por ejemplo, puede mostrar alertas desencadenadas por directivas de alerta en Microsoft Defender para Office 365 o Microsoft Defender for Identity.
• Etiquetas: mostrar alertas de una o varias etiquetas de usuario.
• Regla de directiva o directiva: mostrar las alertas que coinciden con la configuración de una o varias directivas de alertas. O bien, puede mostrar todas las alertas de todas las directivas de alerta.
• Tipo de alerta: mostrar las alertas que se generaron en función de un tipo de alerta específico.
• Nombre del producto: mostrar las alertas de un producto de seguridad específico de Microsoft.
• Id. de suscripción de alerta: muestra las alertas generadas por un id. de suscripción de alerta específico.
• Entidades: mostrar las alertas asociadas a una entidad específica.
• Estado de investigación automatizada: muestra las alertas que se encuentran en un estado de investigación automatizado específico.
• Área de trabajo: mostrar las alertas asociadas a un área de trabajo específica. Esto solo se aplica si tiene una o varias áreas de trabajo en su organización.
• Flujo de datos: mostrar las alertas asociadas a un flujo de datos específico. Por ejemplo, puede mostrar alertas asociadas a los flujos de datos de Microsoft OneDrive y Microsoft Exchange.

Agregación de alerta

Cuando varios eventos que cumplen las condiciones de una directiva de alertas ocurren en un corto período, se agregan a una alerta existente mediante un proceso llamado agregación de alertas. Cuando un evento desencadena una alerta, la alerta se genera y se muestra en la página Alertas y se envía una notificación. Si el mismo evento se produce dentro del intervalo de agregación, Microsoft 365 agrega detalles sobre el nuevo evento a la alerta existente en lugar de desencadenar una nueva alerta. El objetivo de la agregación de alertas es reducir la "fatiga" por alertas y permitir que se concentre y actúe sobre menos alertas para el mismo evento.

La longitud del intervalo de agregación depende de su suscripción de Office 365 o Microsoft 365.

Cuando se producen eventos que coinciden con la misma directiva de alerta dentro del intervalo de agregación, se agregan detalles sobre el evento posterior a la alerta original. Para todos los eventos, la información sobre los eventos agregados se muestra en el campo de detalles y el número de veces que se produjo un evento con el intervalo de agregación se muestra en el campo de recuento de actividad/visitas. Puede ver más información sobre todas las instancias de eventos agregados consultando la lista de actividades.

En el recorte de pantalla siguiente se muestra una alerta con cuatro eventos agregados. La lista de actividades contiene información sobre los cuatro mensajes de correo electrónico relevantes para la alerta.

Tenga en cuenta lo siguiente sobre la agregación de alertas:

• Las alertas desencadenadas por la directiva de alerta predeterminadaSe ha detectado un clic en una dirección URL potencialmente maliciosa no se agregan. Este comportamiento se produce porque las alertas desencadenadas por esta directiva son únicas para cada usuario y mensaje de correo electrónico.

• Actualmente, la propiedad de alerta Número de aciertos no indica el número de eventos agregados para todas las directivas de alerta. Para las alertas desencadenadas por estas directivas de alerta, puede ver los eventos agregados haciendo clic en Ver lista de mensajes o Ver actividad en la alerta. Estamos trabajando para que el número de eventos agregados enumerados en la propiedad de alerta Número de llamadas esté disponible para todas las directivas de alerta.

Permisos RBAC necesarios para ver alertas

Los permisos de control de acceso basado en roles (RBAC) asignados a los usuarios de la organización determinan qué alertas puede ver un usuario en la página Alertas. ¿Cómo se consigue esto? Los roles de administración asignados a los usuarios (en función de su pertenencia a grupos de roles en el portal de Microsoft Defender) determinan qué categorías de alerta puede ver un usuario en la página Alertas. Estos son algunos ejemplos:

• Los miembros del grupo de rol Administración de registros solo pueden ver las alertas generadas por las directivas de alerta a las que se asigna la categoría Gobierno de información.
• Los miembros del grupo de rol Administrador de cumplimiento no pueden ver las alertas generadas por las directivas de alerta a las que se asigna la categoría Administración de amenazas.
• Los miembros del grupo de rol Administrador de exhibición de documentos electrónicos no pueden ver ninguna alerta porque ninguno de los roles asignados proporciona permiso para ver las alertas de cualquier categoría de alerta.

Este diseño (basado en permisos RBAC) le permite determinar qué alertas pueden ver (y administrar) los usuarios en roles de trabajo específicos de su organización.

En la tabla siguiente se enumeran los roles necesarios para ver alertas de las seis categorías de alertas diferentes. Una marca de verificación indica que un usuario asignado a ese rol puede ver alertas de la categoría de alerta correspondiente que aparece en la fila de título.

Para ver a qué categoría se asigna una directiva de alerta predeterminada, consulte las tablas en Directivas de alertas predeterminadas.

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

Administrar alertas

Una vez generadas y mostradas las alertas en la página Alertas del portal de Microsoft Defender, puede realizar una evaluación de prioridades, investigarlas y resolverlas. Los mismos permisos RBAC que proporcionan a los usuarios acceso a las alertas también les permiten administrar alertas.

Estas son algunas tareas que puede realizar para administrar alertas.

• Asignar un estado a las alertas: puede asignar uno de los siguientes estados a las alertas: Nueva (el valor predeterminado), En curso o Resuelta. A continuación, puede filtrar por esta configuración para mostrar las alertas con la misma configuración de estado. Esta configuración de estado puede ayudar a realizar un seguimiento del proceso de administración de alertas.

• Asignar una alerta a un usuario: puede asignar una alerta a un usuario de su organización. Esta acción puede ayudar a garantizar que la persona adecuada revise y resuelva la alerta.

• Clasificar alertas: puede asignar una clasificación a una alerta. Las clasificaciones se usan para clasificar las alertas en función del tipo de actividad que desencadenó la alerta. Por ejemplo, puede clasificar una alerta como Verdadero positivo o Información.

• Ver detalles de la alerta: puede seleccionar una alerta para mostrar una página de control flotante con detalles sobre ella. La información detallada depende de la directiva de alerta correspondiente, pero normalmente incluye la siguiente información:

  • Nombre de la operación real que desencadenó la alerta, como un cmdlet o una operación de registro de auditoría.
  • Descripción de la actividad que desencadenó la alerta.
  • Usuario (o lista de usuarios) que desencadenó la alerta. Esto solo se incluye para las directivas de alerta que están configuradas para realizar un seguimiento de un solo usuario o una sola actividad.
  • Número de veces que se realizó el seguimiento de la actividad de la alerta. Es posible que este número no coincida con el número real de alertas relacionadas enumeradas en la página Alertas porque es posible que se hayan desencadenado más alertas.
  • Vínculo a una lista de actividades que incluye un elemento para cada actividad realizada que desencadenó la alerta. Cada entrada de esta lista identifica cuándo se produjo la actividad, el nombre de la operación real (como "FileDeleted"), el usuario que realizó la actividad, el objeto (como un archivo, un caso de eDiscovery o un buzón) en el que se realizó la actividad y la dirección IP del equipo del usuario. En el caso de las alertas relacionadas con malware, se vincula a una lista de mensajes.
  • Nombre (y vínculo) de la directiva de alerta correspondiente.
  • Incidente en el que se agrega la alerta.

• Ajustar una alerta: puede establecer propiedades, condiciones y acciones para ocultar o resolver una alerta.

• Cambiar el nivel de gravedad de una directiva de alerta

  1. Inicie sesión en el portal de Microsoft Defender con las credenciales de una cuenta de administrador de su organización de Microsoft 365.
  2. Navega a la página Correo electrónico y colaboración > Directivas y reglas y, a continuación, seleccione la directiva de alertas.
  3. Seleccione la directiva que desea actualizar de la lista. En la columna Acciones, seleccione los tres puntos y luego elija Editar.
  4. En el panel Editar directiva, seleccione el menú desplegable para ajustar el nivel de Gravedad. Si procede, también puede modificar la Configuración del desencadenador para la directiva.
  5. Seleccione Siguiente para continuar con el resto de los pasos.
  6. Seleccione Enviar para aplicar los nuevos cambios a la directiva y, a continuación, seleccione Listo para finalizar la edición.