Defender for Cloud, recomendaciones y alertas

Defender for Cloud evalúa los recursos contra políticas y marcos de cumplimiento y de ahí salen las recomendaciones: pasos de remediación para mejorar la postura, como cerrar un puerto o activar un registro. Describen un estado que puede ser explotado, no un hecho. Cada una se puede asignar a un responsable con fecha límite, y se puede eximir un recurso con motivo.

Las alertas, en cambio, las generan los planes de protección de Defender cuando detectan una amenaza: algo que ocurrió o está ocurriendo. Traen los recursos afectados y una severidad. Un incidente agrupa alertas relacionadas.

La tabla recomendaciones trae el identificador, el título, el recurso afectado, el riesgo (Crítico, Alto, Medio o Bajo), el estado y su responsable. Se prioriza por riesgo, no por orden de aparición, y un recurso «Saludable» ya cumplió.

Prueba recomendaciones | where riesgo == "Crítico".

Las alertas llevan una severidad: Alta indica una probabilidad alta de que el recurso esté comprometido y que Defender confía tanto en la intención maliciosa como en lo que encontró; Media es una actividad probablemente sospechosa, a menudo de detección por anomalías; Baja puede ser un positivo benigno o un ataque bloqueado; Informativa suele ser una pieza más dentro de un incidente.

La tabla alertas_defender trae las cuatro de esta mañana.

El estado de una recomendación dice si ya se resolvió. Contar las que siguen sin resolver da una idea de la deuda de postura del equipo, que es la cifra que el jefe del SOC lleva a la reunión semanal. Cuenta solo las que están No saludable, sin mirar el riesgo.

Entre las alertas de la mañana hay una de severidad Baja que dice que se borraron los registros de eventos de una máquina virtual. Borrar registros es algo que hace quien quiere ocultar rastros, pero también lo hace una persona administradora en tareas de rutina. Defender lo marca como baja porque no tiene confianza suficiente de que haya intención maliciosa.