Categoría: seguridad

El fraude por correo electrónico comercial continúa aumentando, con la Oficina Federal de Investigaciones (FBI) reportando más de 21,000 quejas con pérdidas ajustadas de más de $ 2.7 mil millones. Microsoft ha observado un aumento en la sofisticación y las tácticas de los actores de amenazas especializados en el compromiso del correo electrónico empresarial (BEC), incluido el aprovechamiento de las direcciones de protocolo de Internet (IP) residenciales para hacer que las campañas de ataque parezcan generadas localmente.

Esta nueva táctica está ayudando a los delincuentes a monetizar aún más el cibercrimen como servicio (CaaS) y ha llamado la atención de la policía federal porque permite a los ciberdelincuentes evadir las alertas de «viaje imposible» utilizadas para identificar y bloquear intentos de inicio de sesión anómalos y otras actividades sospechosas de la cuenta.

Todos somos defensores de la ciberseguridad.

La Unidad de Delitos Digitales de Microsoft ha observado un aumento del 38 por ciento en el cibercrimen como servicio dirigido al correo electrónico empresarial entre 2019 y 2022.

Información sobre amenazas

Dentro del auge del servicio BEC a escala industrial de BulletProftLink

La actividad cibercriminal en torno al compromiso del correo electrónico empresarial se está acelerando. Microsoft observa una tendencia significativa en el uso de plataformas por parte de los atacantes, como BulletProftLink, una plataforma popular para crear campañas de correo malicioso a escala industrial. BulletProftLink vende un servicio de extremo a extremo que incluye plantillas, alojamiento y servicios automatizados para BEC. Los adversarios que utilizan este CaaS reciben credenciales y la dirección IP de la víctima.

Los actores de amenazas BEC luego compran direcciones IP de servicios de IP residenciales que coinciden con la ubicación de la víctima, creando proxies de IP residenciales que permiten a los ciberdelincuentes enmascarar su origen. Ahora, armados con espacio de direcciones localizado para respaldar sus actividades maliciosas, además de nombres de usuario y contraseñas, los atacantes BEC pueden ocultar movimientos, eludir banderas de «viaje imposible» y abrir una puerta de entrada para realizar más ataques. Microsoft ha observado que los actores de amenazas en Asia y una nación de Europa del Este implementan con mayor frecuencia esta táctica.

Viaje imposible es una detección utilizada para indicar que una cuenta de usuario podría estar comprometida. Estas alertas marcan las restricciones físicas que indican que una tarea se está realizando en dos ubicaciones, sin la cantidad adecuada de tiempo para viajar de una ubicación a otra.

La especialización y consolidación de este sector de la economía del cibercrimen podría escalar el uso de direcciones IP residenciales para evadir la detección. Las direcciones IP residenciales asignadas a ubicaciones a escala brindan la capacidad y la oportunidad para que los ciberdelincuentes reúnan grandes volúmenes de credenciales comprometidas y accedan a cuentas. Los actores de amenazas están utilizando servicios de IP / proxy que los especialistas en marketing y otros pueden usar para la investigación para escalar estos ataques. Un proveedor de servicios IP, por ejemplo, tiene 100 millones de direcciones IP que se pueden rotar o cambiar cada segundo.

Mientras que los actores de amenazas utilizan phishing como servicio como Evil Proxy, Naked Pages y Caffeine para implementar campañas de phishing y obtener credenciales comprometidas, BulletProftLink ofrece un diseño de puerta de enlace descentralizada, que incluye nodos de cadena de bloques públicos de Internet Computer para alojar sitios de phishing y BEC, creando una oferta web descentralizada aún más sofisticada que es mucho más difícil de interrumpir. La distribución de la infraestructura de estos sitios a través de la complejidad y el crecimiento evolutivo de las cadenas de bloques públicas hace que identificarlos y alinear las acciones de eliminación sea más complejo. Si bien puede eliminar un enlace de phishing, el contenido permanece en línea y los ciberdelincuentes vuelven a crear un nuevo enlace al contenido CaaS existente.

Los ataques BEC exitosos cuestan a las organizaciones cientos de millones de dólares al año. En 2022, el Equipo de Activos de Recuperación del FBI inició la Cadena de Eliminación de Fraude Financiero en 2,838 quejas de BEC que involucran transacciones nacionales con pérdidas potenciales de más de $ 590 millones.

Aunque las implicaciones financieras son significativas, los daños a largo plazo más amplios pueden incluir el robo de identidad si la información de identificación personal (PII) se ve comprometida, o la pérdida de datos confidenciales si la correspondencia confidencial o la propiedad intelectual están expuestas en el tráfico malicioso de correo electrónico y mensajes.

El correo electrónico empresarial compromete el correo de phishing por tipo

^{Los datos representan una instantánea de la suplantación de identidad (phishing) de BEC por tipo desde enero de 2023 hasta abril de 2023}

Los principales objetivos de BEC son ejecutivos y otros líderes sénior, gerentes de finanzas, personal de recursos humanos con acceso a registros de empleados como números de Seguro Social, declaraciones de impuestos u otra PII. Los nuevos empleados, tal vez menos propensos a verificar solicitudes de correo electrónico desconocidas, también son el objetivo. Casi todas las formas de ataques BEC están en aumento. Las principales tendencias para BEC dirigido incluyen señuelo, nómina, factura, tarjeta de regalo e información comercial.

Los ataques BEC se distinguen en la industria del cibercrimen por su énfasis en la ingeniería social y el arte del engaño. En lugar de explotar vulnerabilidades en dispositivos sin parches, los operadores de BEC buscan explotar el mar diario de tráfico de correo electrónico y otros mensajes para atraer a las víctimas a proporcionar información financiera, o tomar una acción directa como enviar fondos sin saberlo a cuentas de mulas de dinero, que ayudan a los delincuentes a realizar transferencias de dinero fraudulentas.

A diferencia de un ataque de ransomware «ruidoso» con mensajes de extorsión disruptivos, los operadores de BEC juegan un juego de confianza silenciosa utilizando plazos artificiales y urgencia para estimular a los destinatarios, que pueden estar distraídos o acostumbrados a este tipo de solicitudes urgentes. En lugar de malware novedoso, los adversarios de BEC alinean sus tácticas para centrarse en herramientas que mejoren la escala, la plausibilidad y la tasa de éxito de la bandeja de entrada de los mensajes maliciosos.

Aunque ha habido varios ataques de alto perfil que aprovechan las direcciones IP residenciales, Microsoft comparte la preocupación de las fuerzas del orden y otras organizaciones de que esta tendencia se puede escalar rápidamente, lo que dificulta en más casos la detección de actividad con alarmas o notificaciones tradicionales.

Las variaciones en las ubicaciones de inicio de sesión no son inherentemente maliciosas. Por ejemplo, un usuario puede acceder a aplicaciones empresariales con una computadora portátil a través de Wi-Fi local y, simultáneamente, iniciar sesión en las mismas aplicaciones de trabajo en su teléfono inteligente a través de una red celular. Por esta razón, las organizaciones pueden adaptar umbrales de bandera de viaje imposibles en función de su tolerancia al riesgo. Sin embargo, la escala industrial de la dirección IP localizada para los ataques BEC crea nuevos riesgos para las empresas, ya que BEC adaptable y otros atacantes toman cada vez más la opción de enrutar el correo malicioso y otras actividades a través del espacio de direcciones cerca de sus objetivos.

Recomendaciones:

• Maximice la configuración de seguridad protegiendo su bandeja de entrada: Las empresas pueden configurar sus sistemas de correo para marcar los mensajes enviados por terceros. Habilite las notificaciones para cuando no se verifiquen los remitentes de correo. Bloquee a los remitentes con identidades que no puede confirmar de forma independiente y denuncie sus correos como phishing o spam en aplicaciones de correo electrónico.
• Configurar la autenticación segura: Haga que el correo electrónico sea más difícil de comprometer activando la autenticación multifactor, que requiere un código, PIN o huella digital para iniciar sesión, así como su contraseña. Las cuentas habilitadas para MFA son más resistentes al riesgo de credenciales comprometidas e intentos de inicio de sesión de fuerza bruta, independientemente del espacio de direcciones que utilicen los atacantes.
• Capacite a los empleados para detectar señales de advertencia: eduque a los empleados para detectar correos electrónicos fraudulentos y otros correos electrónicos maliciosos, como una falta de coincidencia en el dominio y las direcciones de correo electrónico, y el riesgo y el costo asociados con los ataques BEC exitosos.

Defensa contra ataques

Luchar contra el compromiso del correo electrónico empresarial requiere vigilancia y conciencia

Aunque los actores de amenazas han creado herramientas especializadas para facilitar el BEC, incluidos kits de phishing y listas de direcciones de correo electrónico verificadas dirigidas a líderes de C-Suite, clientes potenciales de cuentas por pagar y otros roles específicos, las empresas pueden emplear métodos para prevenir ataques y mitigar el riesgo.

Por ejemplo, una directiva de «rechazo» de autenticación, generación de informes y conformidad de mensajes basada en dominio (DMARC) proporciona la protección más sólida contra el correo electrónico falsificado, lo que garantiza que los mensajes no autenticados se rechacen en el servidor de correo, incluso antes de la entrega. Además, los informes DMARC proporcionan un mecanismo para que una organización conozca la fuente de una aparente falsificación, información que normalmente no recibirían.

Aunque las organizaciones llevan algunos años administrando fuerzas de trabajo totalmente remotas o híbridas, aún es necesario repensar la conciencia de seguridad en la era del trabajo híbrido. Debido a que los empleados están trabajando con más proveedores y contratistas, recibiendo así más correos electrónicos «vistos por primera vez», es imperativo ser consciente de lo que estos cambios en los ritmos de trabajo y la correspondencia significan para su superficie de ataque.

Los intentos BEC de los actores de amenazas pueden tomar muchas formas, incluidas llamadas telefónicas, mensajes de texto, correos electrónicos o mensajes de redes sociales. La suplantación de mensajes de solicitud de autenticación y la suplantación de identidad de individuos y empresas también son tácticas comunes.

Un buen primer paso defensivo es fortalecer las políticas para los departamentos de contabilidad, controles internos, nómina o recursos humanos sobre cómo responder cuando se reciben solicitudes o notificaciones de cambios relacionados con instrumentos de pago, transferencias bancarias o bancarias. Dar un paso atrás para dejar de lado las solicitudes que sospechosamente no siguen las políticas, o ponerse en contacto con una entidad solicitante a través de su sitio legítimo y representantes, puede salvar a las organizaciones de pérdidas asombrosas.

Los ataques BEC ofrecen un gran ejemplo de por qué el riesgo cibernético debe abordarse de manera multifuncional con ejecutivos y líderes, empleados de finanzas, gerentes de recursos humanos y otros con acceso a registros de empleados como números de Seguro Social, declaraciones de impuestos, información de contacto y horarios, en la mesa junto con los oficiales de TI, cumplimiento y riesgo cibernético.

Recomendaciones:

• Utilice una solución de correo electrónico segura: Las plataformas actuales de nube de correo electrónico utilizan capacidades de inteligencia artificial como el aprendizaje automático para mejorar las defensas, agregando protección avanzada contra phishing y detección de reenvío sospechoso. Las aplicaciones en la nube para el correo electrónico y la productividad también ofrecen las ventajas de las actualizaciones de software continuas y automáticas y la gestión centralizada de las políticas de seguridad.
• Identidades seguras para prohibir el movimiento lateral: La protección de las identidades es un pilar clave para combatir el BEC. Controle el acceso a aplicaciones y datos con Zero Trust y gobierno de identidad automatizado.
• Adopte una plataforma de pago segura: Considere cambiar de facturas enviadas por correo electrónico a un sistema diseñado específicamente para autenticar pagos.
• Haga clic en pausa y use una llamada telefónica para verificar las transacciones financieras: Una conversación telefónica rápida para confirmar que algo es legítimo bien vale la pena, en lugar de asumir con una respuesta rápida o un clic, lo que podría conducir al robo. Establezca políticas y expectativas recordando a los empleados que es importante ponerse en contacto directamente con organizaciones o individuos, y no usar la información suministrada en mensajes sospechosos, para verificar las solicitudes financieras y de otro tipo.

Obtenga más información sobre BEC y los actores de amenazas iraníes con información de Simeon Kakpovi, analista sénior de inteligencia de amenazas.

Instantánea de seguridad

Los datos de instantáneas representan el promedio anual y diario de intentos BEC detectados e investigados por Microsoft Threat Intelligence entre abril de 2022 y abril de 2023. Las eliminaciones únicas de URL de phishing dirigidas por la Unidad de Delitos Digitales de Microsoft son entre mayo de 2022 y abril de 2023.¹

35 millones anuales

156.000 diarios

417.678 eliminaciones de URL de phishing

^{1Metodología: Para los datos de instantáneas, las plataformas de Microsoft, incluidas Microsoft Defender for Office, Microsoft Threat Intelligence y Microsoft Digital Crimes Unit (DCU), proporcionaron datos anónimos sobre vulnerabilidades de dispositivos y datos sobre la actividad y las tendencias de los actores de amenazas. Además, los investigadores utilizaron datos de fuentes públicas, como el Informe de Delitos en Internet 2022 de la Oficina Federal de Investigaciones (FBI) y la Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA). La estadística de portada se basa en los compromisos de cibercrimen como servicio de correo electrónico empresarial de Microsoft DCU de 2019 a 2022. Los datos de instantáneas representan los intentos anuales y promedio diarios ajustados de BEC detectados e investigados.}

visítanos cade.com.mx

 Sugerencia

¿Sabía que puede probar las características de Microsoft 365 Defender para Office 365 Plan 2 de forma gratuita? Use la prueba de Defender para Office 365 de 90 días en el centro de pruebas del portal de Microsoft 365 Defender. Obtenga información sobre quién puede registrarse y los términos de prueba aquí.

Se aplica a

• Exchange Online Protection
• Plan 1 y Plan 2 de Microsoft Defender para Office 365
• Microsoft 365 Defender

Microsoft Defender para Office 365 Plan 2 incluye eficaces funcionalidades de investigación y respuesta automatizadas (AIR). Estas funcionalidades pueden ahorrar mucho tiempo y esfuerzo al equipo de operaciones de seguridad frente a amenazas. Microsoft sigue mejorando las funcionalidades de seguridad. Recientemente, las funcionalidades de AIR se han mejorado para incluir un cuaderno de estrategias de seguridad de usuario en peligro (actualmente en versión preliminar). Lea este artículo para obtener más información sobre el cuaderno de estrategias de seguridad de usuario en peligro. Y vea la entrada de blog Acelerar el tiempo para detectar y responder al riesgo del usuario y limitar el ámbito de vulneración con Microsoft Defender para Office 365 para obtener más detalles.

El cuaderno de estrategias de seguridad de usuario en peligro permite al equipo de seguridad de su organización:

• Acelerar la detección de cuentas de usuario en peligro;
• Limitar el ámbito de una infracción cuando una cuenta está en peligro; Y
• Responda a los usuarios en peligro de forma más eficaz y eficaz.

Alertas de usuario en peligro

Cuando una cuenta de usuario está en peligro, se producen comportamientos atípicos o anómalo. Por ejemplo, los mensajes de phishing y correo no deseado se pueden enviar internamente desde una cuenta de usuario de confianza. Defender para Office 365 puede detectar estas anomalías en los patrones de correo electrónico y la actividad de colaboración dentro de Office 365. Cuando esto sucede, se desencadenan alertas y comienza el proceso de mitigación de amenazas.

Por ejemplo, esta es una alerta que se desencadenó debido al envío de correo electrónico sospechoso:

Este es un ejemplo de una alerta que se desencadenó cuando se alcanzó un límite de envío para un usuario:

Investigación y respuesta a un usuario en peligro

Cuando una cuenta de usuario está en peligro, se desencadenan alertas. Y, en algunos casos, esa cuenta de usuario se bloquea e impide el envío de más mensajes de correo electrónico hasta que el equipo de operaciones de seguridad de la organización resuelva el problema. En otros casos, comienza una investigación automatizada que puede dar lugar a acciones recomendadas que el equipo de seguridad debe realizar.

• Visualización e investigación de usuarios restringidos
• Ver detalles sobre las investigaciones automatizadas

 Importante

Debe tener los permisos adecuados para realizar las siguientes tareas. Consulte Permisos necesarios para usar las funcionalidades de AIR.

Vea este breve vídeo para aprender a detectar y responder a los riesgos del usuario en Microsoft Defender para Office 365 mediante la investigación y respuesta automatizadas (AIR) y las alertas de usuario en peligro.

Visualización e investigación de usuarios restringidos

Tiene algunas opciones para navegar a una lista de usuarios restringidos. Por ejemplo, en el portal de Microsoft 365 Defender, puede ir a Email & colaboración>Revisar>usuarios restringidos. En el procedimiento siguiente se describe la navegación mediante el panel Alertas , que es una buena manera de ver varios tipos de alertas que podrían haberse desencadenado.

1. Abra el portal de Microsoft 365 Defender en https://security.microsoft.com y vaya aAlertas de alertas &> de incidentes. O bien, para ir directamente a la página Alertas , use https://security.microsoft.com/alerts.
2. En la página Alertas , filtre los resultados por período de tiempo y la directiva denominada Usuario restringido al envío de correo electrónico.
3. Si selecciona la entrada haciendo clic en el nombre, se abrirá una página Usuario restringido al envío de correo electrónico con detalles adicionales para revisar. Junto al botón Administrar alerta, puede hacer clic en el Más opciones y, a continuación, seleccione Ver detalles de usuario restringido para ir a la página Usuarios restringidos, donde puede liberar al usuario restringido.

Ver detalles sobre las investigaciones automatizadas

Cuando se ha iniciado una investigación automatizada, puede ver sus detalles y resultados en el Centro de acciones en el portal de Microsoft 365 Defender.

Para más información, consulte Visualización de los detalles de una investigación.

Tenga en cuenta los siguientes puntos

• Manténgase al tanto de las alertas. Como sabe, cuanto más tiempo no se detecte un riesgo, mayor será el potencial de impacto y costo generalizados para su organización, clientes y asociados. La detección temprana y la respuesta oportuna son fundamentales para mitigar las amenazas y, especialmente, cuando la cuenta de un usuario está en peligro.
• Automation ayuda, pero no reemplaza, al equipo de operaciones de seguridad. Las funcionalidades automatizadas de investigación y respuesta pueden detectar un usuario en peligro al principio, pero es probable que el equipo de operaciones de seguridad tenga que participar y realizar alguna investigación y corrección. ¿Necesitas ayuda con esto? Consulte Revisar y aprobar acciones.
• No confíe en una alerta de inicio de sesión sospechosa como único indicador. Cuando una cuenta de usuario está en peligro, es posible que desencadene o no una alerta de inicio de sesión sospechosa. A veces es la serie de actividades que se producen después de que una cuenta está en peligro lo que desencadena una alerta. ¿Desea obtener más información sobre las alertas? Consulte Directivas de alerta.

Protección integrada contra amenazas para Office 365

Protección nativa para Office 365

Impulsa la productividad, simplifica la administración y reduce los costos totales de propiedad con protección integrada contra amenazas avanzadas.

Inteligencia artificial y automatización líderes en el sector

Mejora la eficiencia de SecOps con una escala y efectividad inigualables con flujos de trabajo automatizados.

Enfoque integral

Ayuda a proteger a las organizaciones contra los ataques en la cadena de eliminación con una solución completa para la colaboración.

Capacidades

Prevención

Ayuda a evitar una gran variedad de ataques dirigidos y basados en volumen, incluidos el correo empresarial comprometido, la suplantación de identidad con credenciales, el ransomware y el malware avanzado con una sólida pila de filtrado.

rotección contra amenazas integrada con SIEM y XDR

Microsoft equipa a la defensa de tu organización, al poner las herramientas y la inteligencia correctas en manos de las personas adecuadas. Combina la Administración de eventos e información de seguridad (SIEM) y la detección y respuesta extendidas (XDR) para aumentar la eficiencia y eficacia a la vez que proteges tus activos digitales.

Obtén más información sobre la protección contra amenazas

Compara opciones de compra flexibles

Explora las capacidades de seguridad completas que ofrece Microsoft Defender para Office 365 Plan 1 y Microsoft Defender para Office 365 Plan 2. Estas capacidades también se incluyen en la Seguridad de Microsoft 365 E5.

Microsoft Defender para Office 365 Plan 1

Defender para Office 365 Plan 1 ofrece protección contra ataques avanzados en las herramientas de correo electrónico y colaboración de Office 365.

Ponte en contacto con ventas

• Protección contra ataques avanzados como, por ejemplo, la suplantación de identidad, el malware, el spam y el correo electrónico empresarial comprometido
• Protección más allá del correo (Microsoft Teams, SharePoint, OneDrive y aplicaciones de Office)
• Protección de correos internos
• Informes detallados

Microsoft Defender para Office 365 Plan 2

Defender para Office 365 Plan 2 ofrece lo mismo que el Plan 1, más búsqueda avanzada de amenazas, automatización, capacitación de simulación de ataques y capacidades XDR entre dominios.

Ponte en contacto con ventas

• Protección contra ataques avanzados como, por ejemplo, la suplantación de identidad, el malware, el spam y el correo electrónico empresarial comprometido
• Protección más allá del correo (Microsoft Teams, SharePoint, OneDrive y aplicaciones de Office)
• Protección de correos internos
• Informes detallados
• Búsqueda avanzada de amenazas
• Investigación y respuesta automatizadas
• Capacitación de simulación de ataques
• Capacidades de Microsoft 365 Defender (XDR), por ejemplo, búsqueda entre dominios y correlación de incidentes

Mas información cade.com.mx

Más del 80 por ciento de los ataques de ransomware se pueden rastrear a errores de configuración comunes en software y dispositivos.¹

Los ciberdelincuentes se envalentonan por la economía subterránea del ransomware

Si bien el ransomware sigue siendo un tema que acapara los titulares, en última instancia, hay un ecosistema relativamente pequeño y conectado de jugadores que impulsan este sector de la economía del cibercrimen. La especialización y consolidación de la economía de la ciberdelincuencia ha impulsado al ransomware como servicio (RaaS) para que se convierta en un modelo de negocio dominante, permitiendo a una gama más amplia de delincuentes, independientemente de su experiencia técnica, implementar ransomware.

Vea la sesión informativa digital de Cyber Signals donde Vasu Jakkal, CVP de Microsoft Security, entrevista a los principales expertos en inteligencia de amenazas sobre la economía del ransomware y cómo las organizaciones pueden ayudar a protegerse.

ás del 80 por ciento de los ataques de ransomware se pueden rastrear a errores de configuración comunes en software y dispositivos.¹

Los ciberdelincuentes se envalentonan por la economía subterránea del ransomware

Si bien el ransomware sigue siendo un tema que acapara los titulares, en última instancia, hay un ecosistema relativamente pequeño y conectado de jugadores que impulsan este sector de la economía del cibercrimen. La especialización y consolidación de la economía de la ciberdelincuencia ha impulsado al ransomware como servicio (RaaS) para que se convierta en un modelo de negocio dominante, permitiendo a una gama más amplia de delincuentes, independientemente de su experiencia técnica, implementar ransomware.

Vea la sesión informativa digital de Cyber Signals donde Vasu Jakkal, CVP de Microsoft Security, entrevista a los principales expertos en inteligencia de amenazas sobre la economía del ransomware y cómo las organizaciones pueden ayudar a protegerse.

Sesión informativa sobre amenazas

El nuevo modelo de negocio ofrece nuevos conocimientos para los defensores

Así como muchas industrias han cambiado hacia los trabajadores temporales por eficiencia, los ciberdelincuentes están alquilando o vendiendo sus herramientas de ransomware por una parte de las ganancias, en lugar de realizar los ataques ellos mismos.

La economía de Ransomware as a Service permite a los ciberdelincuentes comprar acceso a las cargas útiles de Ransomware y la fuga de datos, así como a la infraestructura de pago. Las «pandillas» de ransomware son en realidad programas RaaS como Conti o REvil, utilizados por muchos actores diferentes que cambian entre programas RaaS y cargas útiles.

RaaS reduce la barrera de entrada y ofusca la identidad de los atacantes detrás del rescate. Algunos programas tienen más de 50 «afiliados», ya que se refieren a los usuarios de su servicio, con diferentes herramientas, oficios y objetivos. Al igual que cualquier persona con un automóvil puede conducir para un servicio de viaje compartido, cualquier persona con una computadora portátil y una tarjeta de crédito dispuesta a buscar en la web oscura herramientas de prueba de penetración o malware listo para usar puede unirse a esta economía.

Esta industrialización del cibercrimen ha creado roles especializados, como los corredores de acceso que venden acceso a las redes. Un solo compromiso a menudo involucra a múltiples ciberdelincuentes en diferentes etapas de la intrusión.

Los kits RaaS son fáciles de encontrar en la web oscura y se anuncian de la misma manera que los productos se anuncian en Internet.

Un kit RaaS puede incluir soporte de servicio al cliente, ofertas agrupadas, reseñas de usuarios, foros y otras características. Los ciberdelincuentes pueden pagar un precio fijo por un kit RaaS, mientras que otros grupos que venden RaaS bajo el modelo de afiliado se llevan un porcentaje de las ganancias.

Más información sobre este diagrama

Los ataques de ransomware implican decisiones basadas en configuraciones de redes y difieren para cada víctima, incluso si la carga útil del ransomware es la misma. El ransomware culmina un ataque que puede incluir la exfiltración de datos y otros impactos. Debido a la naturaleza interconectada de la economía cibercriminal, las intrusiones aparentemente no relacionadas pueden construirse entre sí. El malware Infostealer que roba contraseñas y cookies se trata con menos gravedad, pero los ciberdelincuentes venden estas contraseñas para permitir otros ataques.

Estos ataques siguen una plantilla de acceso inicial a través de la infección de malware o la explotación de una vulnerabilidad y luego el robo de credenciales para elevar los privilegios y moverse lateralmente. La industrialización permite que los ataques de ransomware prolíficos e impactantes sean realizados por atacantes sin sofisticación ni habilidades avanzadas. Desde el cierre de Conti, hemos observado cambios en el panorama del ransomware. Algunos afiliados que estaban desplegando Conti se movieron a cargas útiles de ecosistemas RaaS establecidos como LockBit y Hive, mientras que otros implementaron simultáneamente cargas útiles de múltiples ecosistemas RaaS.

Nuevos RaaS como QuantumLocker y Black Basta están llenando el vacío dejado por el cierre de Conti. Dado que la mayoría de la cobertura de ransomware se centra en las cargas útiles en lugar de los actores, es probable que este cambio de carga útil confunda a los gobiernos, las fuerzas del orden, los medios de comunicación, los investigadores de seguridad y los defensores sobre quién está detrás de los ataques.

Informar sobre ransomware puede parecer un problema de escala sin fin; sin embargo, la realidad es un conjunto finito de actores que utilizan el conjunto de técnicas.

Windows 10 y 11 incluyen Seguridad de Windows, que proporciona la protección antivirus más reciente. Su dispositivo estará protegido activamente desde el momento en que inicie Windows. Seguridad de Windows analiza continuamente en busca demalware(software malicioso), virus y amenazas de seguridad. Además de esta protección en tiempo real, las actualizaciones se descargan automáticamente para ayudar a mantener su dispositivo seguro y protegerlo de amenazas.

Propina: Si eres suscriptor de Microsoft 365 Family o Personal, obtienes Microsoft Defender, nuestro software de seguridad avanzado para Windows, Mac, iOS y Android, como parte de tu suscripción. Obtenga más información en Introducción a Microsoft Defender.

Windows 10 u 11 en modo S

Algunas características serán un poco diferentes si está ejecutando Windows 10 u 11 en modo S. Debido a que este modo está optimizado para una seguridad más estricta, el área de protección contra virus y amenazas tiene menos opciones. Pero no se preocupe: la seguridad incorporada de este modo evita automáticamente que los virus y otras amenazas se ejecuten en su dispositivo, y recibirá actualizaciones de seguridad automáticamente. Para obtener más información, consulta Preguntas más frecuentes sobre Windows 10 u 11 en modo S.

Información de seguridad importante

• La seguridad de Windows está integrada en Windows e incluye un programa antivirus llamado Microsoft Defender Antivirus. (En las primeras versiones de Windows 10, la seguridad de Windows se denomina Centro de seguridad de Windows Defender).
• Si tiene otra aplicación antivirus instalada y activada, Microsoft Defender Antivirus se apagará automáticamente. Si desinstala la otra aplicación, Microsoft Defender Antivirus se volverá a activar automáticamente.
• Si tiene problemas para recibir actualizaciones de seguridad de Windows, consulte Corregir errores de Windows Update y preguntas más frecuentes sobre Windows Update.
• Para obtener información sobre cómo desinstalar una aplicación, consulta Reparar o quitar una aplicación en Windows.
• Para cambiar su cuenta de usuario a una cuenta de administrador, consulte Crear una cuenta de usuario o administrador local en Windows.

Comprender y personalizar las características de seguridad de Windows

Seguridad de Windows es su hogar para administrar las herramientas que protegen su dispositivo y sus datos:

• Protección contra virus y amenazas – Supervise las amenazas a su dispositivo, ejecute análisis y obtenga actualizaciones para ayudar a detectar las amenazas más recientes. (Algunas de estas opciones no están disponibles si está ejecutando Windows 10 en modo S).
• Protección de la cuenta – Acceda a las opciones de inicio de sesión y a la configuración de la cuenta, incluidos Windows Hello y el bloqueo dinámico.
• Firewall y protección de red – Administre la configuración del firewall y supervise lo que está sucediendo con sus redes y conexiones a Internet.
• Control de aplicaciones y navegadores: actualice la configuración de Microsoft Defender SmartScreen para ayudar a proteger su dispositivo contra aplicaciones, archivos, sitios y descargas potencialmente peligrosos. Tendrá protección contra vulnerabilidades y podrá personalizar la configuración de protección para sus dispositivos.
• Seguridad del dispositivo: revise las opciones de seguridad integradas para ayudar a proteger su dispositivo de los ataques de software malintencionado.
• Rendimiento y salud del dispositivo – Consulta la información de estado sobre el estado de rendimiento de tu dispositivo y mantén el dispositivo limpio y actualizado con la versión más reciente de Windows.
• Opciones familiares – Lleve un registro de la actividad en línea de sus hijos y los dispositivos en su hogar.

Para personalizar la forma en que su dispositivo está protegido con estas características de seguridad de Windows, seleccione Iniciar > configuración > Actualización y seguridad > Seguridad de Windows o seleccione el botón a continuación.
Abrir la configuración de seguridad de Windows

Los iconos de estado indican su nivel de seguridad:

• Verde significa que no hay ninguna acción recomendada en este momento.
• Amarillo significa que hay una recomendación de seguridad para usted.
• El rojo es una advertencia de que algo necesita tu atención inmediata.

Ejecutar un análisis de malware manualmente

Si le preocupa un archivo o carpeta específico en su dispositivo local, puede hacer clic con el botón derecho en el archivo o carpeta en el Explorador de archivos y, a continuación, seleccionar Analizar con Microsoft Defender.

Propina: En Windows 11, es posible que tenga que seleccionar Mostrar más opciones después de hacer clic con el botón derecho para ver la opción de escanear el archivo o la carpeta.

Si sospecha que hay malware o un virus en su dispositivo, debe ejecutar inmediatamente un análisis rápido.

Ejecutar un análisis rápido en Seguridad de Windows

Nota: Debido a la seguridad optimizada, esto no está disponible si está ejecutando Windows 10 u 11 en modo S.

1. Seleccione Iniciar > configuración > Actualización y seguridad > Seguridad de Windows y luego Protección contra virus y amenazas.
   Abrir la configuración de seguridad de Windows
2. En Amenazas actuales, selecciona Análisis rápido (o en las primeras versiones de Windows 10, en Historial de amenazas, selecciona Analizar ahora).

Si el escaneo no encuentra ningún problema, pero aún está preocupado, es posible que desee revisar su dispositivo más a fondo.

Ejecutar un análisis avanzado en Seguridad de Windows

1. Seleccione Iniciar > configuración > Actualización y seguridad > Seguridad de Windows y luego Protección contra virus y amenazas.
2. En Amenazas actuales, seleccione Opciones de análisis (o en las primeras versiones de Windows 10, en Historial de amenazas, seleccione Ejecutar un nuevo análisis avanzado).
3. Seleccione una de las opciones de escaneo:
   • Análisis completo (compruebe todos los archivos y programas actualmente en su dispositivo)
   • Análisis personalizado (análisis de archivos o carpetas específicos)
   • Análisis sin conexión de Microsoft Defender (reinicia el equipo y ejecuta un análisis profundo antes de que windows se cargue para detectar malware especialmente furtivo). Más información sobre Microsoft Defender Sin conexión
4. Seleccione Escanear ahora.

Defender for Cloud ofrece una serie de características de seguridad mejoradas que pueden ayudar a proteger a su organización frente a amenazas y ataques.

• Características de seguridad básicas (gratis): al abrir Defender for Cloud en Azure Portal por primera vez o si lo habilita mediante la API, Defender for Cloud está habilitado de forma gratuita en todas las suscripciones de Azure. De forma predeterminada, Defender for Cloud proporciona la puntuación segura, la directiva de seguridad y las recomendaciones básicas y la evaluación de seguridad de red para ayudarle a proteger los recursos de Azure.Si desea probar las características de seguridad mejoradas, habilite las características de seguridad mejoradas de forma gratuita durante los primeros 30 días. Después de 30 días, si decide continuar usando el servicio, empezaremos a cobrar automáticamente el uso. Para más información sobre los precios en la moneda o región local, consulte la página de precios.
• Características de seguridad mejoradas (de pago): al habilitar las características de seguridad mejoradas, Defender for Cloud puede proporcionar administración de seguridad unificada y protección contra amenazas en las cargas de trabajo de nube híbrida, entre las que se incluyen:
  • Microsoft Defender para puntos de conexión: Microsoft Defender para servidores incluye Microsoft Defender para punto de conexión para obtener una completa detección y respuesta de puntos de conexión (EDR). Obtenga más información sobre las ventajas de usar Microsoft Defender para punto de conexión junto con Defender for Cloud en Uso de la solución EDR integrada de Defender for Cloud.
  • Evaluación de vulnerabilidades para máquinas virtuales, registros de contenedor y recursos de SQL : habilite fácilmente soluciones de evaluación de vulnerabilidades para detectar, administrar y resolver puntos vulnerables. Vea, investigue y corrija lo que detecte directamente en Defender for Cloud.
  • Seguridad en varias nubes: conecte las cuentas de Amazon Web Services (AWS) y Google Cloud Platform (GCP) para proteger los recursos y las cargas de trabajo de esas plataformas con una variedad de características de seguridad de Microsoft Defender for Cloud.
  • Seguridad híbrida: Obtenga una vista unificada de la seguridad de todas sus cargas de trabajo locales y en la nube. Aplique directivas de seguridad y evalúe constantemente la seguridad de las cargas de trabajo de nube híbrida para garantizar el cumplimiento normativo con los estándares de seguridad. Recopile, busque y analice datos de seguridad de varios orígenes, incluidos firewalls y otras soluciones de partners.
  • Alertas de protección contra amenazas: el análisis de comportamiento avanzado y Microsoft Intelligent Security Graph proporcionan una ventaja frente a los ataques cibernéticos en evolución. La funcionalidad integrada de análisis del comportamiento y aprendizaje automático puede identificar ataques y vulnerabilidades de seguridad de día cero. Supervise las redes, las máquinas, los almacenes de datos (servidores SQL hospedados dentro y fuera de Azure, bases de datos de Azure SQL, Azure SQL Managed Instance y Azure Storage) y los servicios en la nube para impedir que se produzcan ataques y administrar las actividades que deben emprenderse tras una vulneración. Optimice la investigación con herramientas interactivas e inteligencia de amenazas contextual.
  • Seguimiento del cumplimiento con una gama de estándares: Defender for Cloud evalúa continuamente el entorno de nube híbrida para analizar los factores de riesgo con arreglo a los controles y los procedimientos recomendados que se describen en Punto de referencia de seguridad de Azure. Al habilitar las características de seguridad mejoradas, puede aplicar una variedad de otros estándares del sector, estándares normativos y puntos de referencia según las necesidades de la organización. Agregue estándares y realice un seguimiento del cumplimiento con ellos desde el panel de cumplimiento normativo.
  • Controles de acceso y aplicación: bloquee el malware y otras aplicaciones no deseadas aplicando recomendaciones basadas en el aprendizaje automático adaptadas a sus cargas de trabajo específicas para crear listas de bloqueos y permisos. Reduzca la superficie de la red que está expuesta a ataques mediante un acceso Just-In-Time controlado a los puertos de administración de las VM de Azure. Los controles de acceso y aplicación reducen drásticamente la exposición a ataques por fuerza bruta y a otros ataques de la red.
  • Características de seguridad de contenedor: Aproveche la administración de vulnerabilidades y la protección contra amenazas en tiempo real en los entornos en contenedores. Los cargos se basan en el número de imágenes de contenedor únicas insertadas en el registro conectado. Una vez que se haya analizado una imagen, no se le cobrará de nuevo a menos que se modifique e inserte una vez más.
  • Amplia protección contra amenazas para los recursos conectados al entorno de Azure: medidas de protección contra amenazas nativas de la nube que están incluidas en los servicios de Azure comunes a todos los recursos: Azure Resource Manager, Azure DNS, nivel de red de Azure y Azure Key Vault. Defender for Cloud tiene una visibilidad exclusiva de la capa de administración de Azure y la capa de Azure DNS y, por tanto, puede proteger los recursos en la nube que están conectados a esas capas.

Preguntas frecuentes sobre precios y facturación

• ¿Cómo puedo realizar un seguimiento de quién en mi organización habilitó un plan de Microsoft Defender en Defender for Cloud?
• ¿Cuáles son los planes que ofrece Defender for Cloud?
• ¿Cómo puedo habilitar la seguridad mejorada de Defender for Cloud en la suscripción?
• ¿Puedo habilitar Microsoft Defender para servidores en un subconjunto de servidores?
• Si ya tengo una licencia de Microsoft Defender para punto de conexión, ¿puedo obtener un descuento para Defender para servidores?
• Mi suscripción tiene Microsoft Defender para servidores habilitado, ¿debo pagar por los servidores que no estén en ejecución?
• ¿Se me cobrará por máquinas sin el agente de Log Analytics instalado?
• Si un agente de Log Analytics envía notificaciones a diversas áreas de trabajo, ¿se me cobrará varias veces?
• Si un agente de Log Analytics envía notificaciones a varias áreas de trabajo, ¿la ingesta de datos gratuita de 500 MB estará disponible en todas ellas?
• ¿Se calcula la ingesta de 500 MB de datos gratis para todo el área de trabajo o estrictamente por máquina?
• ¿Qué tipos de datos se incluyen en la asignación diaria de datos de 500 MB?
• ¿Cómo puedo supervisar mi uso diario?

¿Cómo puedo realizar un seguimiento de quién en mi organización habilitó un plan de Microsoft Defender en Defender for Cloud?

Las suscripciones de Azure pueden tener varios administradores con permisos para cambiar la configuración de precios. Para averiguar qué usuario realizó un cambio, use el registro de actividad de Azure.

Si la información del usuario no aparece en la columna Evento iniciado por, explore el JSON del evento para ver los detalles pertinentes.

¿Cuáles son los planes que ofrece Defender for Cloud?

La oferta gratuita de Microsoft Defender for Cloud ofrece la puntuación segura y las herramientas relacionadas. La habilitación de la seguridad mejorada activa todos los planes de Microsoft Defender para proporcionar una variedad de ventajas de seguridad para todos los recursos en entornos de Azure, híbridos y de varias nubes.

¿Cómo puedo habilitar la seguridad mejorada de Defender for Cloud en la suscripción?

Puede usar cualquiera de los siguientes métodos para habilitar la seguridad mejorada en la suscripción:

¿Puedo habilitar Microsoft Defender para servidores en un subconjunto de servidores?

No. Al habilitar Microsoft Defender para servidores en una suscripción de Azure o en una cuenta de AWS conectada, todas las máquinas conectadas estarán protegidas por Defender para servidores.

Una alternativa es habilitar Microsoft Defender para servidores en el nivel de área de trabajo de Log Analytics. Si lo hace, solo se protegerán y facturarán los servidores que envían notificaciones a esa área de trabajo. Sin embargo, varias funcionalidades no estarán disponibles, Entre ellas, Microsoft Defender para punto de conexión, la solución VA (TVM/Qualys), el acceso Just-In-Time a máquinas virtuales, etc.

Si ya tengo una licencia de Microsoft Defender para punto de conexión, ¿puedo obtener un descuento para Defender para servidores?

Si ya tiene una licencia de Plan 2 de Microsoft Defender para puntos de conexión para servidores, no tendrá que pagar esa parte de la licencia de Microsoft Defender para servidores. Obtenga más información sobre esta licencia.

Para solicitar el descuento, póngase en contacto con el equipo de soporte técnico de Defender for Cloud. Tendrá que proporcionar la información pertinente de id. de área de trabajo, región y número de licencias de Microsoft Defender para punto de conexión para servidores aplicadas a las máquinas del área de trabajo determinada.

El descuento será efectivo a partir de la fecha de aprobación y no se aplicará con carácter retroactivo.

Mi suscripción tiene Microsoft Defender para servidores habilitado, ¿debo pagar por los servidores que no estén en ejecución?

No. Si habilita Microsoft Defender para servidores en una suscripción, no se le cobrará por las máquinas que estén en el estado de energía desasignado mientras estén en ese estado. Las máquinas se facturan según su estado de energía, como se muestra en la tabla siguiente:

Si habilito el plan de servidores de Defender for Cloud en el nivel de suscripción, ¿es necesario habilitarlo en el nivel de área de trabajo?

Al habilitar el plan de servidores en el nivel de suscripción, Defender for Cloud habilitará automáticamente el plan de servidores en las áreas de trabajo predeterminadas cuando está habilitado el aprovisionamiento automático. Para habilitar el aprovisionamiento automático en la página Aprovisionamiento automático, seleccione la opción Conexión de máquinas virtuales de Azure a las áreas de trabajo predeterminadas que ha creado Defender for Cloud y después Aplicar.

Sin embargo, si usa un área de trabajo personalizada en lugar del área de trabajo predeterminada, deberá habilitar el plan de servidores en todas las áreas de trabajo personalizadas que no lo tengan habilitado.

Si usa un área de trabajo personalizada y habilita el plan solo en el nivel de suscripción, la recomendación Microsoft Defender for servers should be enabled on workspaces aparecerá en la página Recomendaciones. Esta recomendación le proporcionará la opción de habilitar el plan de servidores en el nivel de área de trabajo con el botón Corregir. Se le cobrará por todas las máquinas virtuales de la suscripción, incluso si el plan de servidores no está habilitado para el área de trabajo. Las máquinas virtuales no se beneficiarán de las características que dependen del área de trabajo de Log Analytics, como Microsoft Defender para punto de conexión, la solución VA (TVM/Qualys) y el acceso a máquinas virtuales Just-In-Time.

Al habilitar el plan de servidores en la suscripción y en sus áreas de trabajo conectadas, no se incurrirá en un doble cargo. El sistema identificará cada máquina virtual única.

Si habilita el plan de servidores en áreas de trabajo entre suscripciones, se facturarán las máquinas virtuales conectadas de todas las suscripciones, incluidas las suscripciones que no tienen habilitado el plan de servidores.

¿Se me cobrará por máquinas sin el agente de Log Analytics instalado?

Sí. Al habilitar Microsoft Defender para servidores en una suscripción de Azure o en una cuenta de AWS conectada, se le cobrará por todas las máquinas conectadas a la suscripción de Azure o a la cuenta de AWS. El término máquinas incluye las máquinas virtuales de Azure, instancias de conjuntos de escalado de máquinas virtuales de Azure y servidores habilitados para Azure Arc. Las máquinas que no tienen Instalado Log Analytics están cubiertas por protecciones que no dependen del agente de Log Analytics.

Si un agente de Log Analytics envía notificaciones a diversas áreas de trabajo, ¿se me cobrará varias veces?

Si una máquina informa a varias áreas de trabajo y todas ellas tienen habilitado Defender para servidores, las máquinas se facturarán por cada área de trabajo asociada.

Si un agente de Log Analytics envía notificaciones a varias áreas de trabajo, ¿la ingesta de datos gratuita de 500 MB estará disponible en todas ellas?

Sí. Si ha configurado el agente de Log Analytics para enviar datos a dos o más áreas de trabajo de Log Analytics diferentes (hospedaje múltiple), obtendrá una ingesta de datos gratuita de 500 MB para cada área de trabajo. Se calcula por nodo, por área de trabajo notificada y por día, y está disponible para cada área de trabajo que tenga instaladas soluciones de seguridad o antimalware. Se le cobrarán los datos ingeridos por encima del límite de 500 MB.

¿Se calcula la ingesta de 500 MB de datos gratis para todo el área de trabajo o estrictamente por máquina?

Obtendrá una ingesta de 500 MB de datos gratis al día para cada una de las máquinas virtuales conectadas al área de trabajo. Específicamente, para los tipos de datos de seguridad recopilados directamente por Defender for Cloud.

Estos datos son una tasa diaria promediada en todos los nodos. El límite total diario gratuito es igual a [número de máquinas] x 500 MB. Por tanto, aunque algunas máquinas envíen 100 MB y otras 800 MB, si el total no supera el límite gratuito diario total, no se le cobrará ningún cargo adicional.

¿Qué tipos de datos se incluyen en la asignación diaria de datos de 500 MB?

La facturación de Defender for Cloud está estrechamente vinculada a la facturación de Log Analytics. Microsoft Defender para servidores asigna 500 MB por nodo y día para las máquinas en el siguiente subconjunto de tipos de datos de seguridad:

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• SysmonEvent
• ProtectionStatus
• Update y UpdateSummary cuando la solución de Update Management no se está ejecutando en el área de trabajo o la selección de soluciones está activada.

Si el área de trabajo está en el plan de tarifa heredado por nodo, las asignaciones de Defender for Cloud y Log Analytics se combinan y se aplican conjuntamente a todos los datos ingeridos facturables.

¿Cómo puedo supervisar mi uso diario?

Puede ver el uso de los datos de dos maneras diferentes, en Azure Portal o mediante la ejecución de un script.

Para ver el uso en Azure Portal:

1. Inicie sesión en Azure Portal.
2. Vaya a Áreas de trabajo de Log Analytics.
3. Seleccione su área de trabajo.
4. Seleccione Uso y costos estimados.

También puede ver los costos estimados en distintos planes de tarifa; para ello, seleccione  para cada plan de tarifa.

Para ver el uso mediante un script:

1. Inicie sesión en Azure Portal.
2. Vaya a Áreas de trabajo de Log Analytics>Registros.
3. Seleccione el intervalo de tiempo. Obtenga información sobre los intervalos de tiempo.
4. Copie y pegue la consulta siguiente en la sección Escriba aquí su consulta.Azure CLICopiarlet Unit= 'GB'; Usage | where IsBillable == 'TRUE' | where DataType in ('SecurityAlert', 'SecurityBaseline', 'SecurityBaselineSummary', 'SecurityDetection', 'SecurityEvent', 'WindowsFirewall', 'MaliciousIPCommunication', 'SysmonEvent', 'ProtectionStatus', 'Update', 'UpdateSummary') | project TimeGenerated, DataType, Solution, Quantity, QuantityUnit | summarize DataConsumedPerDataType = sum(Quantity)/1024 by DataType, DataUnit = Unit | sort by DataConsumedPerDataType desc
5. Seleccione Run (Ejecutar).

Puede obtener información sobre cómo analizar el uso en el área de trabajo de Log Analytics.

En función del uso, no se le facturará hasta que haya usado su asignación diaria. Si recibe una factura, solo será por los datos usados después de que se haya alcanzado el límite de 500 MB, o por otros servicios que no se encuentran bajo la cobertura de Defender for Cloud.

• Microsoft Defender for Cloud es una plataforma de administración de la postura de seguridad en la nube (CSPM) y protección de cargas de trabajo en la nube (CWPP) para todos sus recursos de Azure, locales y multinube (Amazon AWS y Google GCP). Defender for Cloud satisface tres necesidades vitales a medida que administra la seguridad de sus recursos y cargas de trabajo en la nube y en las instalaciones:

La puntuación segura de Defender for Cloud evalúa continuamente su postura de seguridad para que pueda realizar un seguimiento de las nuevas oportunidades de seguridad e informar con precisión sobre el progreso de sus esfuerzos de seguridad.

Las recomendaciones de Defender for Cloud protegen sus cargas de trabajo con acciones paso a paso que protegen sus cargas de trabajo de los riesgos de seguridad conocidos.

Las alertas de Defender for Cloud defienden sus cargas de trabajo en tiempo real para que pueda reaccionar de inmediato y evitar que se desarrollen eventos de seguridad.

Para obtener un tutorial paso a paso de Defender for Cloud, consulte este tutorial interactivo.

Puede obtener más información sobre Defender for Cloud de la mano de un experto en ciberseguridad viendo Lecciones aprendidas en el campo.

Proteja sus recursos y realice un seguimiento de su progreso en materia de seguridad

Las características de Microsoft Defender for Cloud cubren los dos pilares generales de la seguridad en la nube: Cloud Workload Protection Platform (CWPP) y Cloud Security Posture Management (CSPM).

CSPM – Solucione los problemas de seguridad y observe cómo mejora su postura de seguridad

En Defender for Cloud, las funciones de gestión de postura proporcionan:

Guía de endurecimiento: para ayudarle a mejorar su seguridad de manera eficiente y efectiva

Visibilidad: para ayudarle a comprender su situación de seguridad actual

Defender for Cloud evalúa continuamente sus recursos, suscripciones y organización para detectar problemas de seguridad y muestra su postura de seguridad en la puntuación segura, una puntuación agregada de los hallazgos de seguridad que le indica, de un vistazo, su situación de seguridad actual: cuanto mayor sea la puntuación, menor será el nivel de riesgo identificado.

Tan pronto como abra Defender for Cloud por primera vez, Defender for Cloud:

Genera una puntuación segura para las suscripciones basada en una evaluación de los recursos conectados en comparación con las instrucciones de Azure Security Benchmark. Utilice la puntuación para comprender su postura de seguridad y el panel de cumplimiento para revisar su cumplimiento con el punto de referencia incorporado. Cuando haya habilitado las características de seguridad mejoradas, puede personalizar los estándares usados para evaluar el cumplimiento y agregar otras regulaciones (como NIST y Azure CIS) o requisitos de seguridad específicos de la organización. También puede aplicar recomendaciones y puntuar en función de los estándares de prácticas recomendadas de seguridad de AWS Foundational.

Proporciona recomendaciones de refuerzo basadas en cualquier configuración errónea y debilidad de seguridad identificada. Use estas recomendaciones de seguridad para reforzar la postura de seguridad de los recursos de Azure, híbridos y multinube de su organización.

Obtén más información sobre la puntuación segura.

CWP – Identificar requisitos únicos de seguridad de la carga de trabajo

Defender for Cloud ofrece alertas de seguridad con tecnología de Microsoft Threat Intelligence. También incluye una gama de protecciones avanzadas e inteligentes para sus cargas de trabajo. Las protecciones de carga de trabajo se proporcionan a través de planes de Microsoft Defender específicos para los tipos de recursos de las suscripciones. Por ejemplo, puede habilitar Microsoft Defender for Storage para recibir alertas sobre actividades sospechosas relacionadas con sus recursos de almacenamiento.

Proteja todos sus recursos bajo un mismo techo

Dado que Defender for Cloud es un servicio nativo de Azure, muchos servicios de Azure se supervisan y protegen sin necesidad de ninguna implementación, pero también puede agregar recursos locales o en otras nubes públicas.

Cuando sea necesario, Defender for Cloud puede implementar automáticamente un agente de Log Analytics para recopilar datos relacionados con la seguridad. Para las máquinas de Azure, la implementación se controla directamente. Para entornos híbridos y multinube, los planes de Microsoft Defender se extienden a máquinas que no son de Azure con la ayuda de Azure Arc. Las características de CSPM se extienden a máquinas multinube sin necesidad de ningún agente (consulte Defender recursos que se ejecutan en otras nubes).

Defienda sus recursos nativos de Azure

Defender for Cloud le ayuda a detectar amenazas en:

Servicios paaS de Azure: detecte amenazas dirigidas a servicios de Azure, incluidos el Servicio de aplicaciones de Azure, Azure SQL, la cuenta de almacenamiento de Azure y más servicios de datos. También puede realizar la detección de anomalías en los registros de actividad de Azure mediante la integración nativa con Microsoft Defender for Cloud Apps (anteriormente conocida como Microsoft Cloud App Security).

Servicios de datos de Azure: Defender for Cloud incluye funcionalidades que le ayudan a clasificar automáticamente los datos en Azure SQL. También puede obtener evaluaciones de posibles vulnerabilidades en los servicios SQL y Almacenamiento de Azure, así como recomendaciones sobre cómo mitigarlas.

Redes: Defender for Cloud le ayuda a limitar la exposición a ataques de fuerza bruta. Al reducir el acceso a los puertos de la máquina virtual, al usar el acceso justo a tiempo a la máquina virtual, puede reforzar su red evitando el acceso innecesario. Puede establecer directivas de acceso seguro en los puertos seleccionados, solo para usuarios autorizados, intervalos de direcciones IP de origen permitidos o direcciones IP, y durante un período de tiempo limitado.

Defienda sus recursos locales

Además de defender su entorno de Azure, puede agregar funcionalidades de Defender for Cloud a su entorno de nube híbrida para proteger sus servidores que no son de Azure. Para ayudarlo a concentrarse en lo que más importa, obtendrá inteligencia de amenazas personalizada y alertas priorizadas de acuerdo con su entorno específico.

Para ampliar la protección a las máquinas locales, implemente Azure Arc y habilite las características de seguridad mejoradas de Defender for Cloud. Obtenga más información en Agregar máquinas que no sean de Azure con Azure Arc.

Defender los recursos que se ejecutan en otras nubes

Defender for Cloud puede proteger recursos en otras nubes (como AWS y GCP).

Por ejemplo, si ha conectado una cuenta de Amazon Web Services (AWS) a una suscripción de Azure, puede habilitar cualquiera de estas protecciones:

Las características CSPM de Defender for Cloud se extienden a sus recursos de AWS. Este plan sin agente evalúa sus recursos de AWS de acuerdo con las recomendaciones de seguridad específicas de AWS y estas se incluyen en su puntuación segura. Los recursos también se evaluarán para determinar si cumplen con los estándares integrados específicos de AWS (AWS CIS, AWS PCI DSS y AWS Foundational Security Best Practices). La página de inventario de activos de Defender for Cloud es una característica habilitada para múltiples nubes que le ayuda a administrar sus recursos de AWS junto con sus recursos de Azure.

Microsoft Defender para Kubernetes extiende su detección de amenazas de contenedores y defensas avanzadas a sus clústeres de Amazon EKS Linux.

Microsoft Defender for Servers ofrece detección de amenazas y defensas avanzadas a sus instancias EC2 de Windows y Linux. Este plan incluye la licencia integrada para Microsoft Defender for Endpoint, líneas base de seguridad y evaluaciones de nivel de sistema operativo, análisis de evaluación de vulnerabilidades, controles de aplicaciones adaptables (AAC), supervisión de integridad de archivos (FIM) y más.

Obtenga más información sobre cómo conectar sus cuentas de AWS y GCP a Microsoft Defender for Cloud.

Cerrar vulnerabilidades antes de que sean explotadas

Defender for Cloud incluye soluciones de evaluación de vulnerabilidades para sus máquinas virtuales, registros de contenedores y servidores SQL como parte de las características de seguridad mejoradas. Algunos de los escáneres funcionan con Qualys. Pero no necesita una licencia de Qualys, ni siquiera una cuenta de Qualys: todo se maneja sin problemas dentro de Defender for Cloud.

Microsoft Defender for Servers incluye integración automática y nativa con Microsoft Defender for Endpoint. Obtenga más información, proteja sus endpoints con la solución EDR integrada de Defender for Cloud: Microsoft Defender for Endpoint. Con esta integración habilitada, tendrá acceso a los hallazgos de vulnerabilidad de la administración de amenazas y vulnerabilidades de Microsoft. Obtenga más información en Investigar las debilidades con la administración de amenazas y vulnerabilidades de Microsoft Defender for Endpoint.

Revise los hallazgos de estos escáneres de vulnerabilidades y responda a todos ellos desde Defender for Cloud. Este amplio enfoque acerca a Defender for Cloud a ser el único panel de cristal para todos sus esfuerzos de seguridad en la nube.

Obtenga más información en las siguientes páginas:

Escáner Qualys integrado de Defender for Cloud para Azure y máquinas híbridas

Identificación de vulnerabilidades en imágenes en registros de contenedores de Azure

Aplique su política de seguridad de arriba hacia abajo

Es un básico de seguridad conocer y asegurarse de que sus cargas de trabajo sean seguras, y comienza con tener políticas de seguridad personalizadas en su lugar. Dado que las directivas de Defender for Cloud se crean sobre los controles de Azure Policy, obtiene toda la gama y flexibilidad de una solución de directivas de clase mundial. En Defender for Cloud, puede configurar sus políticas para que se ejecuten en grupos de administración, en todas las suscripciones e incluso para un inquilino completo.

Defender for Cloud descubre continuamente nuevos recursos que se implementan en sus cargas de trabajo y evalúa si están configurados de acuerdo con las prácticas recomendadas de seguridad. De lo contrario, se marcan y obtienes una lista priorizada de recomendaciones para lo que necesitas solucionar. Las recomendaciones le ayudan a reducir la superficie de ataque en cada uno de sus recursos.

La lista de recomendaciones está habilitada y es compatible con Azure Security Benchmark. Este punto de referencia creado por Microsoft y específico de Azure proporciona un conjunto de directrices para los procedimientos recomendados de seguridad y cumplimiento basados en marcos de cumplimiento comunes. Obtenga más información en la introducción a Azure Security Benchmark.

De esta manera, Defender for Cloud le permite no solo establecer políticas de seguridad, sino también aplicar estándares de configuración seguros en todos sus recursos.

Para ayudarle a comprender la importancia de cada recomendación para su postura de seguridad general, Defender for Cloud agrupa las recomendaciones en controles de seguridad y agrega un valor de puntuación segura a cada control. Esto es crucial para permitirle priorizar su trabajo de seguridad.

Amplíe Defender for Cloud con planes defender y supervisión externa

Puede ampliar la protección de Defender for Cloud con:

Características avanzadas de protección contra amenazas para máquinas virtuales, bases de datos SQL, contenedores, aplicaciones web, su red y más: las protecciones incluyen la protección de los puertos de administración de sus máquinas virtuales con acceso justo a tiempo y controles de aplicaciones adaptables para crear listas de permitidos para qué aplicaciones deben y no deben ejecutarse en sus máquinas.

Los planes Defender de Microsoft Defender for Cloud ofrecen defensas integrales para las capas de cómputo, datos y servicio de su entorno:

Microsoft Defender para servidores

Microsoft Defender para almacenamiento

Microsoft Defender para SQL

Microsoft Defender para contenedores

Microsoft Defender para el Servicio de aplicaciones

Microsoft Defender para key vault

Microsoft Defender para el Administrador de recursos

Microsoft Defender para DNS

Microsoft Defender para bases de datos relacionales de código abierto

Microsoft Defender para Azure Cosmos DB

Utilice los iconos de protección avanzada del panel de protecciones de carga de trabajo para supervisar y configurar cada una de estas protecciones.

 Propina

Microsoft Defender para IoT es un producto independiente. Encontrará todos los detalles en Introducción a Microsoft Defender para IoT.

Alertas de seguridad: cuando Defender for Cloud detecta una amenaza en cualquier área de su entorno, genera una alerta de seguridad. Estas alertas describen detalles de los recursos afectados, pasos de corrección sugeridos y, en algunos casos, una opción para activar una aplicación lógica en respuesta.

Ya sea que Defender for Cloud genere una alerta o que Defender for Cloud la reciba de un producto de seguridad integrado, puede exportarla. Para exportar sus alertas a Microsoft Sentinel, cualquier SIEM de terceros o cualquier otra herramienta externa, siga las instrucciones de Alertas de Stream a una solución SIEM, SOAR o DE ADMINISTRACIÓN DE SERVICIOS DE TI. La protección contra amenazas de Defender for Cloud incluye el análisis de la cadena de eliminación de fusión, que correlaciona automáticamente las alertas en su entorno en función del análisis de la cadena de eliminación cibernética, para ayudarlo a comprender mejor la historia completa de una campaña de ataque, dónde comenzó y qué tipo de impacto tuvo en sus recursos. Las intenciones de cadena de muerte compatibles con Defender for Cloud se basan en la versión 9 de la matriz MITRE ATT&CK.

¿Qué es la autenticación y por qué debería importarle?

A menudo, cuando necesita acceder a algo, un dispositivo, una cuenta o incluso un lugar, debe tener una manera de demostrar que es quien dice ser, o al menos que se le permite acceder a esa cosa. Este es un proceso que llamamos «autenticación».

Un ejemplo básico es tu hogar. Cuando quieras entrar en tu casa probablemente tengas que usar algún tipo de llave para abrir la puerta. Esa clave física te permite entrar. Este es un método muy básico de autenticación, y sufre de un gran problema: si alguien encuentra o roba su llave, puede entrar en su casa.

Otro ejemplo común de autenticación es el cajero automático de su banco. Este es un ejemplo un poco más avanzado porque en lugar de solo tener una clave física (generalmente una tarjeta de plástico en su billetera) también debe tener un hecho recordado: su PIN, que generalmente es un número de 4-8 dígitos.

Este es un sistema más seguro porque incluso si alguien tiene su clave física, la tarjeta, no puede sacar su dinero del cajero automático porque aún necesita conocer su PIN. Si todo lo que tienen es su PIN, todavía no pueden obtener su efectivo de la máquina porque también necesitan la tarjeta. Tienen que tener ambas cosas.

En una computadora, el tipo de autenticación con la que todos estamos familiarizados es iniciar sesión con un nombre de usuario y una contraseña. En estos días, nuestros dispositivos contienen tantos de nuestros datos importantes que es fundamental que nuestra autenticación se realice bien. Si los delincuentes pueden iniciar sesión en sus dispositivos o servicios como usted, pueden hacer muchas cosas malas.

Entonces, veamos cómo puede asegurarlos fácilmente.

Primer paso: Activa la autenticación en tus dispositivos móviles.

La mayoría de los teléfonos inteligentes modernos pueden desbloquearse rápidamente con una huella digital o reconocimiento facial, pero incluso los que no admiten esos métodos se pueden configurar para que requieran que se desbloquee un PIN. Enciéndelo.

Sí, requiere un paso adicional para desbloquear su teléfono cuando desee usarlo, pero agregar ese pequeño paso hace que su dispositivo sea mucho más seguro. Si pierde o le roban su teléfono, es mucho menos probable que pueda acceder a sus datos confidenciales. Esto es especialmente importante si usa su dispositivo para el trabajo o la banca.

Autenticación multifactor (también conocida como «verificación en 2 pasos»)

Cuando se presenta en su casa e inserta su llave para abrir la puerta, esa llave es lo que llamamos un «factor». Esa puerta cerrada básica es la autenticación de un solo factor. Todo lo que necesitas es esa llave física.

Hay tres tipos básicos de factores utilizados en la autenticación:

• Algo que sabes, como una contraseña o un PIN recordado.
• Algo que tienes, como un teléfono inteligente o una llave física de algún tipo.
• Algo que eres, como tu huella digital o tu cara, que el dispositivo puede escanear para reconocerte.

La autenticación multifactor significa que necesita más de un tipo de factor para entrar. El cajero automático del que hablamos es la autenticación de dos factores: su tarjeta de cajero automático de plástico es un factor, y ese PIN recordado es el segundo factor.

Casi todos los servicios en línea ahora le permiten usar la autenticación multifactor para iniciar sesión también. El primer factor suele ser su nombre de usuario y contraseña. El segundo factor suele ser un código especial de un solo uso enviado a su teléfono inteligente a través de un mensaje de texto. Cualquiera que intente iniciar sesión en su cuenta necesitaría su nombre de usuario y contraseña, pero también tendría que poder recibir ese mensaje de texto especial. Eso hace que sea mucho más difícil para los ladrones entrar.

Otra opción para ese segundo factor puede ser una aplicación de autenticación en su teléfono inteligente, como el Microsoft Authenticator gratuito. La aplicación de autenticación tiene algunas formas diferentes de funcionar, pero la más común es similar al método de mensaje de texto. El autenticador genera el código especial de un solo uso en su teléfono para que lo ingrese. Esto es más rápido y más seguro que un mensaje de texto porque un atacante determinado puede interceptar sus mensajes de texto; pero no pueden interceptar un código generado localmente.

En cualquier caso, el código especial cambia cada vez y expira después de un período de tiempo muy corto. Incluso si un atacante descubriera con qué código inició sesión ayer, no le servirá de nada hoy.

¿No es una molestia?

Un concepto erróneo común sobre la autenticación multifactor, o verificación en dos pasos, es que requiere más trabajo para iniciar sesión. En la mayoría de los casos, sin embargo, el segundo factor solo se requiere la primera vez que inicia sesión en una nueva aplicación o dispositivo, o después de haber cambiado su contraseña. Después de eso, el servicio reconoce que está iniciando sesión con su factor principal (nombre de usuario y contraseña) en una aplicación y dispositivo que ha usado antes, y le permite entrar sin requerir el factor adicional.

Sin embargo, si un atacante intenta iniciar sesión en tu cuenta, es probable que no esté usando tu aplicación o dispositivo. Lo más probable es que estén tratando de iniciar sesión desde su dispositivo, en algún lugar lejano, y luego el servicio PEDIRÁ el segundo factor de autenticación, ¡que es casi seguro que no tienen!

Siguiente paso: ¡Activa la autenticación multifactor en cualquier lugar que puedas!

Habilite la autenticación multifactor en su banco, sus cuentas de redes sociales, compras en línea y cualquier otro servicio que lo admita. Algunos servicios pueden llamarlo «verificación de dos pasos» o «inicio de sesión de 2 pasos», pero es básicamente lo mismo.

Por lo general, lo encontrará en la configuración de seguridad de su cuenta.

Los ataques de compromiso de contraseñas son responsables de la mayoría de los hackeos de cuentas exitosos que vemos, y la autenticación multifactor puede derrotarlos a casi todos.

Para obtener más información, consulte Qué es: Autenticación multifactor.

Saluda a Windows Hello

Windows Hello es una forma más segura de iniciar sesión en sus dispositivos Windows 10 o Windows 11. Le ayuda a alejarse del antiguo método de contraseña mediante el uso de reconocimiento facial, una huella digital o un PIN recordado en su lugar.

Nota: Para usar Hello Face, su dispositivo debe tener una cámara compatible con Hello y para usar Hello Fingerprint, su dispositivo debe tener un lector de huellas dactilares compatible con Hello. Si no tiene ninguna de esas cosas, hay cámaras compatibles y lectores de huellas dactilares que puede comprar, o simplemente puede usar Hello PIN.

Hello Face o Hello Fingerprint son tan rápidos y simples como el reconocimiento facial o el lector de huellas dactilares que puede usar en su teléfono inteligente. Cuando llegue al mensaje de inicio de sesión de Windows en lugar de que se le pida que ingrese su contraseña, solo tiene que mirar su cámara o colocar el dedo en el lector de huellas dactilares. Tan pronto como te reconoce, estás dentro. Por lo general, es casi inmediato.

Hello PIN funciona de la misma manera que la mayoría de los sistemas de entrada de PIN. Cuando vayas a iniciar sesión Windows te pedirá tu PIN e iniciará sesión. Lo que hace que Hello PIN sea especial es que cuando lo configuras, asocia el PIN al dispositivo con el que estás iniciando sesión. Eso significa que, al igual que otras formas de autenticación multifactor, si un atacante obtuviera su PIN, solo funcionaría en su dispositivo. No pueden usarlo para iniciar sesión en sus cuentas desde ningún otro dispositivo.

Siguiente paso: Activar Windows Hello

En tus dispositivos Windows 10 o Windows 11, ve a Configuración > Cuentas > opciones de inicio de sesión. Allí puede ver qué tipos de Windows Hello puede admitir su dispositivo y configurarlo fácilmente.

Elegir mejores contraseñas

Las únicas personas a las que les gustan las contraseñas son los atacantes. Los buenos pueden ser difíciles de recordar, y las personas tienden a reutilizar las mismas contraseñas una y otra vez. Además, algunas contraseñas son bastante comunes en un gran grupo de personas: «123456» no solo es una contraseña incorrecta, sino que también es una de las más utilizadas. Y no estás engañando a nadie si «iloveyou» es tu contraseña, esa fue la 8ª contraseña más común en 2019.

Con suerte, ha activado la autenticación multifactor y Windows Hello, por lo que ahora no depende tanto de las contraseñas. Pero para aquellos servicios donde una contraseña sigue siendo necesaria, elijamos una buena.

¿Qué hace que una contraseña sea buena?

Para elegir una buena contraseña, es útil conocer un par de las formas en que los atacantes intentan adivinar las contraseñas con mayor frecuencia:

• Ataques de diccionario: muchas personas usan palabras comunes como «dragón» o «princesa» como contraseña, por lo que los atacantes simplemente probarán todas las palabras de un diccionario. Una variación es probar todas las contraseñas comunes como «123456», «qwerty» y «123qwe».
• Fuerza bruta: los atacantes pueden probar todas las combinaciones posibles de personajes hasta que encuentren la que funcione. Naturalmente, cada carácter agregado agrega exponencialmente más tiempo, por lo que con la tecnología actual no es práctico para la mayoría de los atacantes probar contraseñas de más de 10 u 11 caracteres. Nuestros datos muestran que muy pocos atacantes intentan contraseñas de fuerza bruta de más de 11 caracteres.

En cualquier caso, el atacante no los está escribiendo a mano, sino que su sistema prueba automáticamente miles de combinaciones por segundo.

Dados ese tipo de ataques sabemos que la longitud es más importante que la complejidad y que nuestra contraseña no debe ser una palabra en inglés. Ni siquiera «cariñosamente», que tiene 14 caracteres. Lo ideal es que nuestra contraseña tenga al menos 12-14 caracteres, con letras mayúsculas y minúsculas, y al menos un número o símbolo.

Siguiente paso: Vamos a crear una buena contraseña

Aquí hay un consejo para crear una contraseña que tenga longitud, complejidad y no sea demasiado difícil de recordar. Elija una cita favorita de una película, una línea de un libro o una letra de una canción y tome la primera letra de cada palabra. Sustituya los números y símbolos cuando sea apropiado para cumplir con los requisitos de contraseña.

Tal vez seas un fanático del béisbol. Las dos primeras líneas de la canción clásica de béisbol «Take me out to the ballgame» son:

Llévame al juego de pelota,

Llévame con la multitud

Tome la primera letra de cada palabra, con una sustitución obvia:

Tmo2tb, Tmowtc

Eso es 13 caracteres de largo, caso mixto, con números y símbolos. Parece bastante aleatorio y sería difícil de adivinar. Puedes hacer lo mismo con cualquier cita, letra o línea si es lo suficientemente larga. Solo tienes que recordar qué cita o letra usaste para esa cuenta y decirte a ti mismo en tu cabeza mientras escribes.

Consejos:

• Si el sistema en el que está iniciando sesión admite espacios en las contraseñas, debe usarlos.

• Considere la posibilidad de usar una aplicación de administrador de contraseñas. Un buen administrador de contraseñas puede generar contraseñas largas y aleatorias para usted y recordarlas también. Entonces solo necesita una buena contraseña, o mejor aún, una huella digital o reconocimiento facial, para iniciar sesión en su administrador de contraseñas y el administrador de contraseñas puede hacer el resto. Microsoft Edge puede crear y recordar contraseñas seguras y únicas para usted.

Ahora que tienes una buena contraseña

Hay un par de otros tipos de ataques de contraseña a tener en cuenta:

• Credenciales reutilizadas: si usa el mismo nombre de usuario y contraseña en su banco y en TailwindToys.com y Tailwind se ve comprometido, esos atacantes tomarán todas las combinaciones de nombre de usuario y contraseña que obtuvieron de Tailwind y las probarán en todos los sitios bancarios y de tarjetas de crédito.Propina: Únase a Cameron mientras aprende los peligros de reutilizar contraseñas en esta breve historia – Cameron aprende sobre la reutilización de contraseñas
• Phishing: los atacantes pueden intentar llamarlo o enviarle un mensaje, fingiendo ser del sitio o servicio, e intentar engañarlo para que «confirme su contraseña».

No reutilice las contraseñas en varios sitios y tenga mucho cuidado con cualquier persona que se comunique con usted (incluso si parece ser una persona u organización en la que confía) y quiera que les brinde información personal o de cuenta, haga clic en un enlace o abra un archivo adjunto que no esperaba.