Defender for Cloud: qué activar, qué ignorar y por qué la puntuación segura no es el objetivo

Microsoft Defender for Cloud hace dos trabajos distintos y los cobra distinto. El nivel gratuito es gestión de postura: recomendaciones, puntuación segura, paneles de cumplimiento. Los planes de pago son protección de cargas: detección real sobre servidores, contenedores, bases de datos, almacenamiento y almacenes de claves.

Los equipos suelen activarlo todo, reciben una factura que no esperaban y después lo desactivan todo, incluidas las partes por las que merecía la pena pagar. El enfoque útil es tratarlos como decisiones separadas.

La capa gratuita de postura: actívala en todas partes y después ignora la puntuación

Activa Defender for Cloud en todas las suscripciones mediante Azure Policy (DeployIfNotExists), para que las suscripciones nuevas queden cubiertas automáticamente. Las recomendaciones y la puntuación segura no cuestan nada.

Y después no gestiones por la puntuación. La puntuación segura pondera las recomendaciones con un modelo interno que no sabe cuáles de tus recursos están expuestos a internet, cuáles tienen datos de clientes o cuáles están en una suscripción de pruebas que se borra el viernes. Un equipo puede subir diez puntos remediando una recomendación de bajo riesgo en doscientos recursos de desarrollo mientras la única base de datos pública sigue intacta.

Tría por dos ejes en su lugar: alcanzable desde internet y contiene o concede acceso a datos. Todo lo que esté en la intersección es lo de esta semana. Es el mismo triaje que el artículo de SCC para GCP, y es independiente de la nube porque el modelo de riesgo lo es.

Usa el panel de cumplimiento para lo que es bueno: responder a un auditor. Los mapeos a ISO 27001, PCI DSS y CIS son evidencia de verdad útil y priorización de verdad mala.

Los planes de pago, por orden de lo que solemos recomendar

Defender for Servers — merece la pena en producción. Aporta evaluación de vulnerabilidades, monitorización de integridad de ficheros, acceso justo a tiempo a VM e integración con detección en el endpoint. El Plan 2 incluye más; el Plan 1 es el núcleo de detección en endpoint. Si ya tienes un producto de EDR, comprueba el solapamiento antes de pagar dos veces.

Defender for Containers — merece la pena si tienes AKS en producción. Escaneo de imágenes en el registro, detección en ejecución y alertas que entienden Kubernetes. Es el plan con el valor por euro más claro en un entorno de contenedores.

Defender for Storage — merece la pena para cuentas con subidas de clientes. Escaneo de malware al subir y descubrimiento de datos sensibles. Cotízalo con cuidado: cobra por volumen de transacciones de almacenamiento, y una cuenta de analítica habladora puede salir cara.

Defender for SQL y para bases de datos relacionales open source — merece la pena donde la base de datos tenga datos regulados. Detecta patrones de inyección SQL y accesos anómalos.

Defender for Key Vault — barato y con mucha señal. Un acceso inusual a un almacén de claves es de los indicadores individuales más fuertes de una identidad comprometida.

Defender for Resource Manager — barato, detecta actividad sospechosa en el plano de control, como una concesión de permisos repentina o una configuración de diagnóstico desactivada.

Defender CSPM (el nivel de pago) — el análisis de rutas de ataque es genuinamente bueno. Encadena hallazgos en "esta VM expuesta a internet tiene una identidad gestionada con Contributor sobre la suscripción que contiene tu base de datos", que es el tipo de razonamiento que una lista plana de hallazgos nunca hará por ti. Si se gana su coste depende de lo complejo que sea tu entorno; en uno pequeño, las rutas son lo bastante cortas para verlas a mano.

Defender for APIs y for DevOps — evalúa en lugar de suponer. Ambos son útiles en formas concretas y ninguno es un valor por defecto.

Activa los planes por suscripción, no en todo el tenant por reflejo. Las suscripciones de preproducción rara vez justifican el conjunto completo.

Haz que las alertas vayan a algún sitio

El modo de fallo es el mismo en todas las nubes: detección activada, respuesta indefinida. Exporta las alertas por Azure Monitor o exportación continua a tu SIEM o sistema de tickets, avisa ante las alertas de protección de carga de severidad alta y escribe runbooks de contención para los tres casos que verás de verdad — una VM comprometida, una identidad comprometida, una cuenta de almacenamiento expuesta.

Pruébalos cada trimestre. Un runbook que nadie ha ejecutado es un documento, no un control. El mismo argumento, más extendido, está en convertir GuardDuty en un turno que alguien atiende.

La prevención gana a la remediación, aquí como en todas partes

Casi todas las recomendaciones de Defender son una mala configuración repetida. Arregla la clase con Azure Policy en modo Deny en lugar de remediar recursos uno a uno: sin acceso público a blobs, sin acceso de red público en SQL, TLS 1.2 mínimo, configuración de diagnóstico desplegada automáticamente. El conjunto de políticas de el artículo de la landing zone de Azure cierra de forma permanente la mayoría de las recomendaciones recurrentes.

Trabajamos ambas mitades en un proyecto de seguridad — los planes por los que merece la pena pagar y las políticas que hacen que las recomendaciones dejen de volver.

Qué hacer esta semana

Filtra las recomendaciones a severidad alta, suscripciones de producción y recursos expuestos a internet. Esa lista es lo bastante corta para leerla y todo lo que hay en ella es real. Después comprueba qué planes de Defender estás pagando y si alguien recibe sus alertas.