Permisos
Descripción general
Esta página describe los permisos y el modelo de acceso para el Agente de mapeo de ataques. El agente usa acceso de solo lectura a los datos de Microsoft Sentinel, Microsoft Defender y Security Copilot mediante Microsoft Graph API y Complementos de Security Copilot. Está diseñado para analizar configuraciones de reglas analíticas, asignaciones de ATT&CK y correlaciones de telemetría sin realizar ningún cambio en su entorno.
Cómo funciona
El agente se conecta de forma segura a su Tenant y al área de trabajo de Microsoft Sentinel para recuperar metadatos de reglas analíticas, detalles de asignación y la telemetría asociada. Evalúa y valida las asignaciones de táctica, técnica y sub-técnica de MITRE ATT&CK, garantizando que las asignaciones representen con precisión la cobertura de detección.
Todas las interacciones siguen estos principios:
Acceso de solo lectura: El agente no modifica, crea ni elimina reglas analíticas.
Mínimo privilegio: Solo se utilizan los roles y permisos mínimos necesarios para leer los datos de Sentinel y Defender.
Transparencia: Todo acceso a los datos ocurre a través de puntos de conexión de API documentados y puede auditarse en Microsoft Entra.
Roles requeridos de Entra ID y Sentinel
Asigne los siguientes roles a la cuenta de administrador o identidad administrada que ejecuta el agente:
Lector de Microsoft Sentinel
Proporciona acceso de solo lectura a las configuraciones de reglas analíticas y a los metadatos de alertas.
Respondedor de Microsoft Sentinel (opcional)
Agrega datos de relación de incidentes si el análisis extendido está habilitado.
Lector de seguridad
Concede visibilidad sobre la información y los eventos de seguridad de Defender sin derechos de modificación.
Lector de directorio
Habilita el acceso de solo lectura a los datos del directorio de usuarios y grupos para la correlación de reglas.
Estos roles siguen el principio de privilegio mínimo y pueden ajustarse según las políticas de gobernanza de seguridad de su organización.
Transparencia del acceso a los datos
La siguiente tabla describe a qué datos puede acceder el agente y con qué propósito:
Metadatos de reglas analíticas de Sentinel
Solo lectura
Para inventariar reglas analíticas, validar asignaciones de MITRE y detectar inconsistencias.
Alertas de seguridad y muestras de telemetría
Solo lectura
Para verificar que las técnicas asignadas se alineen con el comportamiento real de detección.
Base de conocimientos de MITRE ATT&CK
Solo lectura
Para validar los identificadores de táctica y técnica y garantizar la alineación canónica.
Datos del directorio y del área de trabajo
Solo lectura
Para correlacionar las reglas analíticas con los propietarios y el contexto de configuración.
Tratamiento de datos:
El agente no modifica, crea ni elimina datos en su Tenant.
No se exportan datos de clientes fuera del perímetro del Tenant.
Todo el acceso se produce mediante Microsoft Graph y los complementos de Security Copilot mediante permisos delegados o de aplicación.
La actividad de acceso se registra en los registros de auditoría de Microsoft Entra para una trazabilidad completa.
Configuración del agente
El agente admite parámetros configurables que definen el alcance y la profundidad de su validación:
Ámbito
analyticRules, telemetry, mappingValidation
Determina qué componentes de Sentinel se incluyen en el análisis.
Modo
rápido, estándar, profundo
Define la profundidad del análisis y el nivel de correlación.
• rápido – Revisión básica de las asignaciones de reglas para la sintaxis y la estructura.
• estándar – Validación equilibrada de asignaciones utilizando conocimientos de MITRE y telemetría limitada. (recomendado)
• profundo – Validación completa con muestreo de telemetría y correlación entre regla y detección.
Antes de ejecutar el agente, asegúrese de que todos los roles requeridos y los permisos del área de trabajo estén asignados.
Consideraciones de seguridad y cumplimiento
Toda la comunicación con Microsoft Sentinel y Microsoft Graph está cifrada con HTTPS y protegida por los servicios de identidad de Microsoft.
El agente sigue Confianza cero y mínimo privilegio principios.
El acceso puede revisarse o revocarse en cualquier momento a través de asignaciones de roles de Microsoft Entra o la administración del consentimiento de aplicaciones.
No se realizan cambios de configuración dentro de su entorno, lo que garantiza una total seguridad operativa durante el análisis.
Próximos pasos
Verifique que el administrador o la identidad administrada que ejecuta el agente tenga asignados los roles requeridos.
Confirme que los permisos de acceso a las API de Microsoft Sentinel y Defender estén activos.
Revise las políticas de privilegio mínimo y asignación de roles de su organización antes de la implementación.
Última actualización
¿Te fue útil?