Muchas de las preguntas que se fallan en SC-900 no se deben a conceptos desconocidos, sino a elegir un servicio de nombre parecido en lugar del correcto. Hay más de siete productos con Defender en el nombre, y tres funciones distintas muestran el estado de seguridad como una puntuación. Cuando dos opciones llegan en pareja, como Defender for Cloud y Defender for Cloud Apps, no basta con conocer cada definición: hay que poder decir en una frase qué los separa.
Este artículo es la entrega de repaso de la serie de estudio de SC-900. De los servicios explicados en los artículos por dominio, elige solo los grupos que suelen aparecer como respuesta incorrecta el uno del otro y los reorganiza según el criterio que los separa y las pistas que aparecen en las preguntas.
---
Tres Preguntas que Separan Servicios Parecidos
Cuando te encuentras con dos servicios parecidos, hacer estas tres preguntas en orden resuelve la mayoría de los casos.
| Pregunta | Qué separa | Ejemplo | |------|------|------| | ¿Qué protege? | Objetivo (personas e identidades; dispositivos, correo y apps; infraestructura en la nube; datos) | Entra ID Protection cubre inicios de sesión en la nube; Defender for Identity, el AD local | | ¿Cuándo actúa? | Momento (prevención, detección y respuesta, investigación posterior) | DLP detiene una fuga; la auditoría registra lo que pasó | | ¿Dónde está? | Entorno (recursos de Azure, Microsoft 365, entorno local) | Defender for Cloud cubre recursos de Azure; Defender for Cloud Apps, apps SaaS |
Separar primero por familia de productos lo hace aún más fácil. Los productos de seguridad y cumplimiento de Microsoft se agrupan en cuatro grandes familias, y cada una responde a una pregunta distinta y usa un portal distinto.
!Cada familia de productos responde a una pregunta distinta
---
Dominio 1: Parejas Confusas en los Conceptos
Autenticación vs Autorización
| Aspecto | Autenticación (AuthN) | Autorización (AuthZ) | |------|------|------| | Pregunta | ¿Quién eres? | ¿Qué puedes hacer? | | Orden | Primero | Después de la autenticación | | Pista en la pregunta | "Demostrar la identidad con contraseña y MFA" | "Permitir solo lectura", "asignar un rol de administrador" |
Confianza Cero vs Defensa en Profundidad
| Aspecto | Confianza Cero (Zero Trust) | Defensa en profundidad | |------|------|------| | Naturaleza | Un modelo de seguridad (una forma de pensar) | Una estrategia de seguridad (una forma de apilar defensas) | | Núcleo | Verificar explícitamente, acceso con privilegios mínimos, asumir la vulneración | Siete capas apiladas desde la seguridad física hasta los datos | | Pista en la pregunta | "No confiar ni siquiera dentro de la red" | "Si una capa cae, la siguiente detiene el ataque" |
Cifrado vs Hash
| Aspecto | Cifrado | Hash | |------|------|------| | ¿Reversible? | Sí, se descifra con una clave | No, es unidireccional | | Se usa para | Ocultar datos para que no se puedan leer | Guardar contraseñas, comprobar alteraciones |
Artículos relacionados: Conceptos clave de seguridad, cumplimiento e identidad, Cifrado, Hash, Proveedores de Identidad y Servicios de Directorio
---
Dominio 2: Parejas Confusas en Microsoft Entra
Entra ID vs Active Directory Domain Services vs Entra Domain Services
| Aspecto | Microsoft Entra ID | AD DS (local) | Microsoft Entra Domain Services | |------|------|------|------| | Naturaleza | Servicio de identidad en la nube | Directorio que ejecutas en tus propios servidores | Servicios de dominio administrados por Microsoft | | Protocolos principales | OAuth 2.0, OpenID Connect, SAML | Kerberos, NTLM, LDAP | Kerberos, NTLM, LDAP | | Pista en la pregunta | "SSO a apps SaaS" | "Controladores de dominio", "directiva de grupo" | "Llevar apps heredadas a la nube sin administrar controladores de dominio" |
Valores Predeterminados de Seguridad vs Acceso Condicional vs ID Protection
| Aspecto | Valores predeterminados de seguridad | Acceso condicional | Microsoft Entra ID Protection | |------|------|------|------| | Qué hace | Activa de una vez una protección básica predefinida (MFA y más) para todos los usuarios | Usa señales como usuario, dispositivo y ubicación para permitir, bloquear o exigir MFA con detalle | Detecta el riesgo de inicio de sesión y el riesgo de usuario | | Licencia | Gratis | Entra ID P1 | Las directivas basadas en riesgo requieren Entra ID P2 | | Pista en la pregunta | "Protección básica sin coste adicional" | "Exigir MFA al conectarse desde fuera de la oficina" | "Credenciales filtradas", "inicio de sesión desde una IP anónima" |
PIM vs Revisiones de Acceso vs Administración de Derechos
| Aspecto | PIM | Revisiones de acceso | Administración de derechos | |------|------|------|------| | Núcleo | Activa los permisos de administrador solo el tiempo necesario (just-in-time) | Comprueba periódicamente si el acceso existente sigue siendo necesario | Permite solicitar y aprobar paquetes de acceso que reúnen lo necesario | | Pista en la pregunta | "Administrador global durante dos horas, con aprobación" | "Volver a comprobar cada trimestre el acceso de invitados" | "Un socio externo solicita a la vez todos los recursos del proyecto" |
Roles de Entra vs Azure RBAC
| Aspecto | Roles de Microsoft Entra | Azure RBAC | |------|------|------| | Qué administra | El propio Entra ID (usuarios, grupos, registros de aplicaciones) | Recursos de Azure (VM, almacenamiento, etc.) | | Roles típicos | Administrador global, Administrador de usuarios | Propietario, Colaborador, Lector |
Entra ID Protection vs Defender for Identity
ID Protection detecta el riesgo en los inicios de sesión en la nube, mientras que Defender for Identity usa sensores en los controladores de dominio para detectar ataques contra el Active Directory local (movimiento lateral, robo de credenciales). Si la pregunta menciona "local" o "controladores de dominio", la respuesta es Defender for Identity.
Artículos relacionados: Métodos de Autenticación, Protección de Contraseñas e Identidad Híbrida en Entra, Gestión de accesos y gobernanza de identidades
---
Dominio 3: Parejas Confusas en las Soluciones de Seguridad
NSG vs Azure Firewall vs WAF vs DDoS Protection
| Aspecto | NSG | Azure Firewall | WAF | DDoS Protection | |------|------|------|------|------| | Qué bloquea | Tráfico por dirección IP y puerto | Tráfico de muchas VNet de forma centralizada (filtrado de FQDN, inteligencia sobre amenazas) | Ataques web como inyección de SQL y scripting entre sitios | Ataques que inundan un servicio de tráfico | | Dónde se aplica | Subredes, interfaces de red | Firewall administrado en una VNet central (hub) | Application Gateway, Front Door | IP públicas de una red virtual | | Pista en la pregunta | "Bloquear el puerto 3389 hacia una subred" | "Controlar todo el tráfico saliente de forma central" | "Amenazas OWASP contra una app web" | "Avalancha masiva de tráfico" |
Defender for Cloud vs Defender for Cloud Apps vs Defender XDR
| Aspecto | Defender for Cloud | Defender for Cloud Apps | Defender XDR | |------|------|------|------| | Qué protege | Recursos de infraestructura en Azure, AWS, GCP y entornos locales | Apps SaaS que usan los empleados | Correo, dispositivos, identidades y apps en conjunto | | Capacidad clave | Administración de la postura de seguridad (CSPM) y protección de cargas de trabajo (CWP) | CASB, detección de TI en la sombra | Agrupa alertas en incidentes para detectar y responder | | Pista en la pregunta | "VM y almacenamiento mal configurados" | "Apps en la nube no aprobadas" | "Un ataque desde el phishing hasta el robo de la cuenta" |
Microsoft Sentinel vs Defender XDR
Sentinel es un SIEM y SOAR que recopila registros incluso de firewalls, servidores y nubes que no son de Microsoft, mientras que Defender XDR es un XDR que correlaciona a fondo las señales de los productos Microsoft Defender. Si lees "recopilar también datos de orígenes de terceros", la respuesta es Sentinel.
Tres Tipos de Puntuación
| Puntuación | Dónde | Qué mide | |------|------|------| | Puntuación de seguridad de Microsoft (Microsoft Secure Score) | Portal de Defender | Postura de seguridad de identidades, dispositivos y apps de Microsoft 365 | | Puntuación de seguridad (Defender for Cloud) | Defender for Cloud | Postura de seguridad de recursos en la nube como los de Azure | | Puntuación de cumplimiento | Compliance Manager | Avance de las acciones de mejora para normativas y estándares |
Artículos relacionados: Servicios de Microsoft Defender XDR a Fondo, Defender for Cloud: Directivas de Seguridad, Estándares y Puntuación de Seguridad, Servicios de Seguridad de Azure
---
Dominio 4: Parejas Confusas en las Soluciones de Cumplimiento
Service Trust Portal vs Compliance Manager
| Aspecto | Service Trust Portal | Compliance Manager | |------|------|------| | De quién habla | Pruebas de que Microsoft cumple las normativas | Si tu organización las cumple | | Qué ofrece | Informes de auditoría (SOC, ISO), documentos de confianza | Evaluaciones, acciones de mejora, puntuación de cumplimiento |
Microsoft Priva, que se ocupa del riesgo de privacidad y de las solicitudes de los interesados, también puede aparecer entre las opciones. El temario de octubre de 2026 no nombra Priva en sus elementos detallados, pero recuerda que es el producto para los riesgos en el tratamiento de datos personales de la organización.
Etiquetas de Confidencialidad vs Etiquetas de Retención
| Aspecto | Etiqueta de confidencialidad | Etiqueta de retención | |------|------|------| | Qué decide | Quién puede abrirlo (cifrado, marcas de agua) | Cuánto tiempo guardarlo y cuándo eliminarlo | | Pista en la pregunta | "Que los documentos confidenciales no se abran fuera de la empresa" | "Guardar siete años y luego eliminar", "declarar como registro" |
DLP vs Administración de Riesgos Internos vs Cumplimiento de Comunicaciones vs Barreras de Información
| Función | Qué hace | Pista en la pregunta