El temario oficial del dominio 3 de SC-900 tiene dos elementos propios sobre Microsoft Defender for Cloud: "cómo las directivas de seguridad, los estándares y las recomendaciones mejoran la postura de seguridad en la nube" y "las funciones de seguridad mejoradas que ofrece la protección de cargas de trabajo en la nube". No basta con saber que Defender for Cloud muestra una puntuación de seguridad: hay que poder explicar cómo una directiva se convierte en una recomendación y cómo las recomendaciones se traducen en la puntuación.
Este artículo separa primero Defender for Cloud en sus dos pilares, CSPM y CWP, y después repasa la relación entre directivas de seguridad, iniciativas, estándares y recomendaciones; el estándar predeterminado, la prueba comparativa de seguridad en la nube de Microsoft (MCSB); cómo se calcula la puntuación de seguridad; la diferencia entre el CSPM fundamental gratuito y el plan de pago Defender CSPM; y los planes de Defender para cada tipo de recurso.
---
Los Dos Pilares de Defender for Cloud: CSPM y CWP
Hay dos formas de mantener seguro un edificio. Una es la inspección periódica que encuentra ventanas rotas y puertas que no cierran, y las arregla de antemano. La otra son los vigilantes que atrapan a quien de verdad entra. Defender for Cloud hace ambas cosas.
| Aspecto | CSPM (administración de la postura de seguridad en la nube) | CWP (protección de cargas de trabajo en la nube) | |------|------|------| | Pregunta | ¿Dónde están los puntos débiles antes de un ataque? | ¿Está ocurriendo un ataque ahora mismo? | | Qué hace | Encuentra configuraciones incorrectas y las muestra como recomendaciones y puntuación de seguridad | Detecta amenazas y genera alertas con planes de Defender para cada tipo de recurso | | Ejemplo típico | "Una cuenta de almacenamiento tiene el acceso público abierto" | "Se detectó un proceso sospechoso en una VM" |
El alcance no se limita a Azure. Las cuentas de AWS y GCP se conectan mediante conectores, y los servidores locales mediante Azure Arc, de modo que todo se evalúa en la misma vista.
Consejo para el examen: "encontrar configuraciones incorrectas y ofrecer guías de protección" es CSPM, y "detectar ataques contra servidores, almacenamiento y bases de datos" es CWP.
---
Cómo se Relacionan Directivas, Iniciativas, Estándares y Recomendaciones
Piensa en un código de edificación. Tiene artículos concretos como "las salidas de emergencia deben estar siempre abiertas", un código que reúne esos artículos y un inspector que compara el código con el edificio real y anota las observaciones. Las directivas de seguridad de Defender for Cloud se basan en Azure Policy y funcionan exactamente con esa estructura.
| Concepto | Significado | Ejemplo | |------|------|------| | Definición de Azure Policy | Una regla sobre una condición de seguridad que se quiere exigir | "Las cuentas de almacenamiento solo deben permitir transferencias seguras" | | Iniciativa de seguridad | Un conjunto de definiciones de directiva con un mismo objetivo | Un grupo de directivas de protección de datos | | Estándar de seguridad | Una iniciativa alineada con los requisitos de una normativa o prueba comparativa | El estándar predeterminado MCSB, ISO 27001, PCI DSS | | Recomendación | Los recursos que no cumplen una directiva, más cómo corregirlos | "Instala protección de punto de conexión en tus VM" |
Las directivas y las iniciativas se asignan a un ámbito, como un grupo de administración, una suscripción, un grupo de recursos o un recurso concreto. Defender for Cloud evalúa los recursos de forma continua, muestra como recomendación cualquier recurso que no cumpla una directiva y, cuantas más recomendaciones resuelvas, más sube la puntuación de seguridad.
!Cómo las directivas de seguridad llevan a recomendaciones y a la puntuación de seguridad
Consejo para el examen: "varias definiciones de directiva agrupadas hacia un objetivo" es una iniciativa. Recuerda también que nadie escribe las recomendaciones a mano: se generan automáticamente a partir de los resultados de la evaluación de directivas.
---
Prueba Comparativa de Seguridad en la Nube de Microsoft (MCSB)
Cuando activas Defender for Cloud por primera vez, la prueba comparativa de seguridad en la nube de Microsoft (MCSB) se asigna automáticamente como iniciativa de seguridad predeterminada. La MCSB es un conjunto de directrices de seguridad centradas en la nube, redactadas por Microsoft y basadas en los controles de CIS (Center for Internet Security) y NIST (National Institute of Standards and Technology).
Se organiza en dominios de control como seguridad de red, administración de identidades, acceso con privilegios, protección de datos, recuperación de datos, respuesta a incidentes y seguridad de puntos de conexión Relaciona cada elemento con marcos del sector como CIS, NIST y PCI DSS Ofrece guías de implementación no solo para Azure, sino también para AWS y GCP
El panel de cumplimiento normativo muestra en qué medida cumples la MCSB y los demás estándares que hayas aplicado. Estándares como ISO 27001, SOC 2, NIST SP 800-53 y PCI DSS se pueden añadir al activar las funciones de seguridad mejoradas de un plan de Defender de pago.
Consejo para el examen: el panel de cumplimiento normativo de Defender for Cloud evalúa automáticamente si la configuración de los recursos en la nube cumple un estándar. Su alcance es distinto al de Microsoft Purview Compliance Manager, que administra las acciones de mejora del cumplimiento en toda la organización.
---
Recomendaciones y Puntuación de Seguridad
Cada recomendación incluye la siguiente información.
Una breve descripción del problema de seguridad Los pasos para corregirlo Los recursos afectados La gravedad (alta, media o baja) y los factores de riesgo El contexto de la ruta de ataque (cuando está disponible)
La puntuación de seguridad reúne todos los resultados de la evaluación en un solo número para que veas de un vistazo tu postura de seguridad actual; cuanto más alta, menor es el riesgo detectado. Las recomendaciones relacionadas se agrupan en controles de seguridad, y la puntuación de un recurso solo sube cuando corriges todas las recomendaciones de ese recurso dentro de un control.
Consejo para el examen: la puntuación de seguridad de Defender for Cloud puntúa recursos en la nube, mientras que la Puntuación de seguridad de Microsoft (Microsoft Secure Score) del portal de Defender puntúa Microsoft 365 en conjunto. Comprueba primero si la pregunta trata de recursos de Azure o de Microsoft 365.
Artículo relacionado: Servicios de SC-900 que se Confunden: Comparación Completa
---
CSPM Fundamental vs Defender CSPM
| Aspecto | CSPM fundamental | Defender CSPM | |------|------|------| | Coste | Gratis; se activa automáticamente al activar Defender for Cloud | Plan de pago | | Incluye | Detección de recursos, evaluación continua y recomendaciones, cumplimiento de la MCSB, puntuación de seguridad | Todo lo del CSPM fundamental más las funciones avanzadas siguientes | | Análisis de rutas de ataque | No | Modela cómo un atacante podría encadenar vulnerabilidades para llegar a recursos críticos | | Explorador de seguridad en la nube | No | Explora directamente el estado de seguridad con consultas de grafos | | Gobernanza | No | Asigna un responsable y una fecha límite a cada recomendación | | Postura de seguridad de datos e IA | No | Encuentra y evalúa almacenes con datos confidenciales y cargas de trabajo de IA generativa | | Priorización por riesgo | Por gravedad | También tiene en cuenta la exposición a internet y si hay datos confidenciales |
Consejo para el examen: "puntuación de seguridad y recomendaciones sin coste adicional" es el CSPM fundamental. Si aparece "análisis de rutas de ataque" o "explorador de seguridad en la nube", es Defender CSPM.
---
Protección de Cargas de Trabajo en la Nube: Planes de Defender
La CWP se ofrece como planes de Defender para cada tipo de recurso. Activas solo los planes que necesitas y varios pueden funcionar a la vez.
| Plan de Defender | Qué protege | |------|------| | Defender for Servers | Máquinas Windows y Linux (incluye el EDR de Defender for Endpoint y el análisis de vulnerabilidades) | | Defender for App Service | Ataques dirigidos a aplicaciones que se ejecutan en App Service | | Defender for Storage | Actividad dañina en cuentas de Azure Storage | | Defender for Databases | Azure SQL, bases de datos relacionales de código abierto, Azure Cosmos DB | | Defender for Containers | Entornos de Kubernetes, registros de contenedores, amenazas en tiempo de ejecución | | Defender for Key Vault | Accesos inusuales a Key Vault | | Defender for Resource Manager | Supervisión de las operaciones de administración de recursos | | Defender for AI Services | Amenazas a los servicios de IA, como los ataques de inyección de mensajes | | Defender for APIs | Postura de seguridad y amenazas en tiempo real para API críticas |
Activar un plan desbloquea funciones de seguridad mejoradas como alertas de protección contra amenazas; análisis de vulnerabilidades para VM, registros de contenedores y SQL; listas de aplicaciones permitidas basadas en aprendizaje automático; y el acceso a VM justo a tiempo (JIT), que abre los puertos de administración de las VM solo cuando hace falta. Defender for Cloud también incluye la seguridad de DevOps, que conecta GitHub, Azure DevOps y GitLab para encontrar problemas de seguridad en el código y en la infraestructura como código (IaC).
Consejo para el examen: igual que "detectar accesos inusuales a cuentas de Azure Storage" apunta a Defender for Storage, el nombre del recurso protegido es el nombre del plan.
Artículo relacionado: Servicios de Seguridad de Azure
---
Referencia Rápida del Examen
Estos son los puntos clave que conviene repasar por última vez antes del examen.
| Tema | Qué recordar | |------|------| | CSPM vs CWP | Encuentra puntos débiles de antem