Permisos
Descripción general
Esta página describe los permisos y el modelo de acceso de este agente. El agente usa acceso de solo lectura a datos de riesgo de incidentes de seguridad, alertas, dispositivos e identidades a través de Complementos de Security Copilot. Está diseñado para ayudar con investigaciones forenses y de amenazas en Microsoft Defender XDR mediante el análisis de incidentes, la correlación de contexto y el enriquecimiento de resultados con fuentes externas de inteligencia.
Cómo funciona
El agente se conecta de forma segura a tu entorno de Microsoft Defender XDR a través de Security Copilot Plugins para recopilar detalles de incidentes, alertas, resultados de búsqueda avanzada y datos de entidades relacionadas. Luego enriquece estos hallazgos con inteligencia externa sobre amenazas para generar una vista unificada de la investigación.
Todas las interacciones siguen estos principios:
Acceso de solo lectura: El agente no modifica, resuelve ni elimina incidentes o alertas.
Mínimo privilegio: Solo se requieren los roles necesarios para leer datos de incidentes y amenazas.
Transparencia: Todo el acceso a los datos es auditable en Microsoft Entra y sigue los controles estándar de seguridad y cumplimiento.
Roles de Entra ID requeridos
Asigne los siguientes roles a la cuenta de administrador que instala y ejecuta el agente:
Lector de seguridad
Proporciona acceso de solo lectura a incidentes, alertas y datos de investigación de Defender XDR.
Lector global
Concede acceso de solo lectura en los servicios de Microsoft 365 para la correlación y el contexto entre dominios.
Roles opcionales para un análisis mejorado
Administrador de seguridad
Permite ejecutar consultas de búsqueda avanzada y una correlación de datos más profunda dentro de Defender XDR.
Transparencia del acceso a los datos
La siguiente tabla describe a qué datos puede acceder el agente y con qué propósito.
Incidentes y alertas de seguridad
Solo lectura
Para investigar y correlacionar alertas, identificar causas raíz y evaluar el impacto.
Datos de búsqueda avanzada
Solo lectura
Para realizar análisis de patrones y comportamiento en entidades y telemetría.
Datos de dispositivos y puntos de conexión
Solo lectura
Para vincular alertas con dispositivos, procesos y actividad de red.
Datos de riesgo de identidad
Solo lectura
Para analizar el comportamiento de los usuarios y correlacionar incidentes con una posible vulneración de la identidad.
Indicadores externos de inteligencia sobre amenazas
Solo lectura
Para enriquecer alertas y entidades con información contextual sobre riesgos.
Tratamiento de datos:
El agente no modificar o exportar datos de clientes fuera del límite del tenant.
Todo el acceso está limitado a Complementos de Security Copilot el uso de permisos delegados o a nivel de aplicación.
La actividad de acceso se registra en los registros de auditoría de Microsoft Entra para cumplimiento y trazabilidad.
Uso del agente
Al ejecutar el agente, proporciona la entrada necesaria para analizar incidentes o generar resúmenes de investigación.
Obligatorio
ID del incidente
"Analizar el incidente 12345"
Opcional
Parámetros adicionales para contexto
"Generar informe forense para el ID de incidente 67890"
Opcional
Modo de análisis profundo o de resumen
"Profundizar en el incidente 45678"
Los ID de incidentes se pueden encontrar en el portal de Microsoft 365 Defender en: Incidentes y alertas → Incidentes.
Servicios externos de inteligencia sobre amenazas
El agente enriquece automáticamente los indicadores usando los siguientes servicios externos; no se requiere configuración ni claves de API:
Shodan
Escaneo de puertos, detección de servicios y descubrimiento de vulnerabilidades.
Análisis de SSL/TLS
Inspección y validación de metadatos de certificados.
Servicios WHOIS
Consulta de registro y titularidad de dominios.
CIRCL
Consultas de hash de malware y comprobaciones de reputación de archivos.
Servicios de reputación de IP/dominios
Puntuación y evaluación contextual de riesgos para indicadores externos.
Estos servicios se consultan automáticamente como parte de cada análisis para mejorar el contexto de detección y aumentar la precisión de la investigación.
Consideraciones de seguridad y cumplimiento
Toda la comunicación a través de Security Copilot Plugins está cifrada mediante HTTPS y autenticada a través de los servicios de identidad de Microsoft.
El agente se adhiere a los principios de confianza cero y mínimo privilegio principios.
El acceso se puede revisar o revocar en cualquier momento mediante las asignaciones de roles de Entra ID o la administración del consentimiento de aplicaciones.
Próximos pasos
Verifica que la cuenta de administrador tenga asignados los roles requeridos.
Asegúrate de que Defender XDR y las fuentes de telemetría relacionadas estén activas y contengan datos recientes de incidentes.
Revisa los resultados de la investigación en Security Copilot para obtener recomendaciones contextuales.
Última actualización
¿Te fue útil?