El dominio 3 es el de mayor peso en SC-900 (35–40%) y pregunta, uno por uno, por los servicios que forman Microsoft Defender XDR. La pregunta solo describe una situación, como "analizar un vínculo en el momento en que el usuario hace clic" o "detectar movimiento lateral en un controlador de dominio local", y luego pone en fila cuatro productos que llevan Defender en el nombre. Si no sabes exactamente qué protege cada uno, es fácil caer en una respuesta incorrecta de nombre parecido.
Este artículo sigue los elementos de Defender XDR del temario que entra en vigor el 21 de octubre de 2026. Recorremos Defender for Office 365, Defender for Endpoint, Defender for Cloud Apps, Defender for Identity, Defender Vulnerability Management, Microsoft Threat Intelligence y el portal de Microsoft Defender, con lo que protege cada uno, sus funciones clave y las pistas que lo delatan en las preguntas.
---
Defender XDR: Convertir un Ataque en un Solo Incidente
Piensa en la seguridad de un gran centro comercial. Si los guardias de la entrada, las cámaras del estacionamiento y los registros de acceso de las tiendas funcionan por separado, nadie se da cuenta de que el mismo intruso pasó por los tres. Solo cuando los tres registros llegan a una misma sala de control y se unen en el recorrido de una persona, la ruta de la intrusión se hace visible.
Los ataques reales se mueven igual. Empiezan con un correo de phishing, infectan el PC de un empleado, usan las credenciales robadas en ese PC para entrar en otros servidores y al final extraen datos de una aplicación en la nube. Microsoft Defender XDR (Extended Detection and Response) es un conjunto de defensa integrado que une los productos que protegen el correo, los puntos de conexión, las identidades y las aplicaciones en la nube para que compartan señales y respondan juntos. Cubre tanto la prevención antes de la intrusión como la detección, investigación y respuesta después.
| Capacidad compartida | Qué hace | |------|------| | Cola de incidentes combinada | Agrupa automáticamente en un incidente las alertas relacionadas y los recursos afectados de varios productos | | Respuesta automática | Cuando un producto detecta una amenaza, avisa a los demás (por ejemplo, un archivo malicioso hallado en un equipo se elimina de todos los buzones) | | Autorreparación | Devuelve a un estado seguro, con acciones automáticas, los dispositivos, identidades y buzones comprometidos | | Interrupción automática de ataques | Al identificar con alta confianza un ataque en curso, aísla dispositivos o deshabilita cuentas de inmediato | | Búsqueda entre productos | Permite consultar los datos sin procesar de todos los productos para buscar indicios de compromiso |
!Varios productos Defender frenan un mismo ataque y lo agrupan en un solo incidente
Consejo para el examen: si la pregunta habla de "correlacionar alertas de varios productos para mostrar todo el ataque como un único incidente", la respuesta es Defender XDR. Revisar la configuración de seguridad de recursos de Azure, AWS y GCP es, en cambio, tarea de Microsoft Defender for Cloud, de nombre parecido; no los mezcles.
Artículo relacionado: Microsoft Sentinel y Defender XDR
---
Defender for Office 365: Correo y Herramientas de Colaboración
Funciona como la sala de correo de una empresa que pasa cada paquete por rayos X. No mira solo el sobre: abre el contenido, detiene lo sospechoso antes de entregarlo e incluso retira un paquete ya entregado si más tarde resulta peligroso.
Defender for Office 365 bloquea el phishing, los vínculos maliciosos y los archivos adjuntos maliciosos que llegan por correo y por herramientas de colaboración como Teams, SharePoint y OneDrive. Añade una protección más fuerte sobre el filtrado de spam y malware que Microsoft 365 ya incluye (Exchange Online Protection).
| Etapa | Función clave | Descripción | |------|------|------| | Prevenir y detectar | Datos adjuntos seguros (Safe Attachments) | Abre primero los adjuntos en un entorno virtual (detonación) y los bloquea si se comportan de forma maliciosa | | Prevenir y detectar | Vínculos seguros (Safe Links) | Vuelve a comprobar la URL en el momento en que el usuario hace clic | | Prevenir y detectar | Protección contra phishing | Detecta mensajes que suplantan a directivos o socios comerciales | | Investigar | Explorador de amenazas, campañas | Sigue quién recibió un mensaje malicioso y hasta dónde se propagó, y agrupa los ataques de phishing coordinados | | Responder | Purga automática de hora cero (ZAP) | Elimina de los buzones un mensaje ya entregado cuando más tarde se determina que es malicioso | | Responder | Investigación y respuesta automatizadas (AIR) | Ejecuta automáticamente la investigación y la corrección ante amenazas conocidas | | Formar | Entrenamiento de simulación de ataques | Envía correos de phishing falsos para encontrar a los usuarios vulnerables y formarlos |
El Plan 1 ofrece funciones de protección como Datos adjuntos seguros, Vínculos seguros y protección contra phishing. El Plan 2 añade funciones de investigación y respuesta como el Explorador de amenazas, la investigación y respuesta automatizadas y el entrenamiento de simulación de ataques.
Consejo para el examen: "comprobar un vínculo en el momento del clic" es Vínculos seguros, "ejecutar un adjunto en un entorno aislado para revisarlo" es Datos adjuntos seguros y "eliminar de forma retroactiva mensajes ya entregados" es ZAP.
---
Defender for Endpoint: PC, Servidores y Dispositivos Móviles
Igual que un edificio tiene puertas resistentes (prevención), sensores de movimiento en los pasillos (detección) y la posibilidad de aislar una planta cuando se confirma una intrusión (respuesta), Defender for Endpoint se encarga de prevenir, detectar, investigar y responder en cada dispositivo.
Protege dispositivos Windows, macOS, Linux, Android e iOS, además de servidores. Windows 10 y versiones posteriores incluyen sensores de comportamiento integrados que recogen señales del sistema operativo, y el análisis de seguridad en la nube y la inteligencia sobre amenazas convierten esas señales en detecciones y respuestas recomendadas.
| Función | Qué hace | |------|------| | Reducción de la superficie expuesta a ataques (ASR) | Bloquea comportamientos y configuraciones fáciles de explotar y reduce los puntos por donde puede entrar un ataque | | Protección de próxima generación | Bloquea amenazas nuevas con el Antivirus de Microsoft Defender y la detección en tiempo real desde la nube | | Detección y respuesta de puntos de conexión (EDR) | Detecta casi en tiempo real los ataques que ya entraron y ejecuta acciones como aislar el dispositivo | | Investigación y corrección automatizadas (AIR) | Investiga las alertas de forma automática y actúa de inmediato, reduciendo las alertas que deben revisar los analistas | | Administración de vulnerabilidades básica | Encuentra vulnerabilidades y configuraciones incorrectas en los dispositivos, ordenadas por riesgo |
El Plan 1 se centra en la prevención con la protección de próxima generación y la reducción de la superficie expuesta a ataques. El Plan 2 incluye además funciones de detección y respuesta como EDR, la investigación y corrección automatizadas y la administración de vulnerabilidades básica.
Consejo para el examen: EDR es detección y respuesta después de la intrusión; la reducción de la superficie expuesta a ataques es prevención antes de ella. Si lees "aislar de la red el dispositivo infectado", la respuesta es Defender for Endpoint.
---
Defender for Cloud Apps: Aplicaciones SaaS y TI en la Sombra
Imagina que los empleados alquilan a escondidas espacios de coworking fuera del edificio de la empresa. Necesitas saber qué espacios se usan y quién los usa, bloquear los peligrosos e impedir que alguien entre en ellos con documentos confidenciales. Las aplicaciones en la nube son esos espacios de coworking.
Defender for Cloud Apps es un CASB (agente de seguridad de acceso a la nube). Hace de intermediario entre los usuarios y las aplicaciones en la nube que utilizan, y se encarga de lo siguiente.
| Área | Qué hace | |------|------| | Detección de TI en la sombra | Usa el tráfico de red y un amplio catálogo de aplicaciones para encontrar las apps en la nube que los empleados usan de verdad y las evalúa con más de 90 indicadores de riesgo | | Protección de la información | Encuentra datos confidenciales en los archivos de las apps SaaS conectadas, aplica etiquetas de confidencialidad y bloquea descargas a dispositivos no administrados | | Administración de la postura de seguridad de SaaS (SSPM) | Detecta configuraciones de seguridad incorrectas en cada app SaaS y recomienda cómo corregirlas | | Protección contra amenazas | Detecta actividad inusual con el análisis de comportamiento de usuarios y entidades (UEBA) | | Protección entre aplicaciones | Vigila las apps OAuth que tienen permisos sobre datos críticos |
Consejo para el examen: "descubrir aplicaciones en la nube que TI no ha aprobado" apunta a Defender for Cloud Apps. Defender for Cloud, de nombre parecido, protege recursos de infraestructura en Azure y otras nubes, así que el objetivo es distinto.
---
Defender for Identity: Active Directory Local
En lugar de poner un guardia frente a la cámara acorazada del banco, este enfoque instala equipos de vigilancia en la oficina que gestiona las llaves de la cámara. Los atacantes acaban buscando cuentas de administrador (las llaves), así que vigilar el lugar donde se emiten y verifican las cuentas revela pronto el avance de un ataque.
Defender for Identity es una solución en la nube de detección y respuesta frente a amenazas de identidad (ITDR). Recoge señales del Active Directory local mediante sensores instalados en los controladores de dominio y en los servidores AD FS y AD CS, y también analiza señales de Microsoft Entra ID. Crea una línea base de comportamiento para cada usuario y señala la actividad