El panel de entidades de mensaje de Teams en Microsoft Defender para Office 365

De forma similar al panel Resumen de Email para mensajes de correo electrónico, las organizaciones de Microsoft 365 que tienen Plan 1 de Microsoft Defender para Office 365 o plan 2 (licencias de complementos o incluidas en suscripciones como Microsoft 365 E5) tienen el panel de entidades de mensaje de Microsoft Teams en el Microsoft Defender portal. El panel de entidades de mensajes de Teams es un control flotante de detalles que incluye todos los datos de Microsoft Teams sobre chats, canales y chats de grupo sospechosos o malintencionados en un único panel accionable.

En este artículo se explica la información y las acciones en el panel de entidades de mensaje de Teams.

Permisos y licencias para el panel de entidades de mensajes de Teams

Para usar la página de entidad Email, debe tener asignados permisos. Tiene las siguientes opciones:

• Acceso completo:

  • Email & permisos de colaboración en el portal de Microsoft Defender: pertenencia a los grupos de roles Administración de la organización, Administrador de seguridad o Administrador de cuarentena.
  • Microsoft Entra permisos: la pertenencia a uno de los siguientes roles proporciona a los usuarios los permisos y permisos necesarios para otras características de Microsoft 365: administrador^* global, administrador de seguridad o operador de seguridad.

• Acceso de solo lectura:

  • Microsoft Entra permisos: Lector global o Lector de seguridad.

• Quitar usuarios de los chats de Teams: requiere la pertenencia a uno de los siguientes roles de Microsoft Entra: administrador^* global, administrador de seguridad o operador de seguridad.

  Importante

  ^* Microsoft promueve encarecidamente el principio de privilegios mínimos. Asignar a las cuentas solo los permisos mínimos necesarios para realizar sus tareas ayuda a reducir los riesgos de seguridad y refuerza la protección general de la organización. El administrador global es un rol con muchos privilegios que debe limitar a escenarios de emergencia o cuando no puede usar un rol diferente.

Dónde encontrar el panel de entidades de mensaje de Teams

No hay vínculos directos al panel de entidades de mensajes de Teams desde los niveles superiores del portal de Defender. En su lugar, el panel de entidades de mensaje de Teams está disponible en las siguientes ubicaciones:

• En la página Cuarentena de https://security.microsoft.com/quarantine: seleccione la pestaña >Mensaje de Teams y seleccione una entrada haciendo clic en cualquier lugar de la fila que no sea la casilla. El control flotante de detalles que se abre es el panel de entidades de mensaje de Teams.

• Desde la página Envíos en https://security.microsoft.com/reportsubmission:

  • Seleccione la pestaña >Mensajes de Teams para seleccionar una entrada haciendo clic en cualquier lugar de la fila que no sea la casilla.

  • Seleccione la pestaña >Usuario notificado seleccione una entrada de Teams haciendo clic en cualquier lugar de la fila que no sea la casilla. El control flotante de detalles que se abre es el panel de entidades de mensaje de Teams.

    Para filtrar las entradas, seleccione Filtrar> tipo >de mensajeTeams.

• En la página Búsqueda avanzada de https://security.microsoft.com/v2/advanced-hunting, seleccione un valor TeamsMessageId (vínculo) de la tabla MessageEvents en los resultados de la consulta. El control flotante de detalles que se abre es el panel de entidades de mensaje de Teams. Por ejemplo:

  UrlClickEvents
  | where ThreatTypes !="" and Workload =="Teams"
  | summarize count() by Url, ThreatTypes, ActionType, Workload
  | project Url, ThreatTypes, ActionType, Workload, ClickCount=count_
  | top 20 by ClickCount
  
  UrlClickEvents
  | limit 100
  
  MessageEvents
  | limit 100
  

Qué hay en el panel de entidades de mensaje de Teams

La siguiente información está disponible en la parte superior del panel de entidades de mensaje de Teams:

• El título del control flotante es el asunto o los primeros 100 caracteres del mensaje de Teams.
• Veredicto del mensaje actual.
• Número de vínculos en el mensaje.
• Las acciones que están disponibles en la parte superior del control flotante dependen de dónde haya abierto el panel de entidades de mensaje de Teams.

Las secciones siguientes del panel de entidades de mensajes de Teams dependen de dónde lo haya abierto:

• Mensajes de Teams en cuarentena
• Ver los detalles del envío del administrador de Teams
• Ver los detalles del mensaje de Teams notificado por el usuario en Defender para Office 365 Plan 2

El resto del panel de entidades de mensaje de Teams contiene la siguiente información, independientemente de dónde lo haya abierto:

• Sección de detalles del mensaje :

  • Amenazas
  • Ubicación del mensaje
  • Dirección del remitente
  • Hora de recepción
  • Tecnología de detección
  • Identificador de mensaje de Teams: puede usar este valor como identificador de un mensaje de Teams en Defender para Office 365.

• Sección Remitente :

  • Nombre y dirección de correo electrónico del remitente
  • Dominio
  • Externo: el valor Sí indica que el mensaje se envió entre un usuario interno y un usuario externo.

• Una de las secciones siguientes, dependiendo de si el mensaje procede de un chat o un canal:

  • Chat: la sección Participantes :
    • Tipo de conversación
    • Nombre del chat
    • Nombre y correo electrónico: contiene el nombre y las direcciones de correo electrónico de todos los participantes (incluido el remitente). Si hay más de 10 participantes, también se vincula a un panel secundario que enumera todos los participantes en el chat en el momento de la amenaza sospechosa.
  • Canal: sección Detalles del canal :
    • Tipo de conversación
    • Nombre de la conversación: contiene el nombre del canal.
    • Nombre y correo electrónico: contiene el nombre y la dirección del canal.

• Sección de direcciones URL :

  • Nombre y tipo Contiene la dirección URL del mensaje de Teams.
  • Amenaza

  Si el mensaje tiene más de 10 direcciones URL, seleccione Ver todas las direcciones URL para ver todas ellas.

Eliminación de usuarios de los chats de Teams en el panel de entidades de mensajes de Teams

En el panel de entidades de Teams, puede seleccionar Realizar acción en la parte superior del control flotante (a menudo en Más acciones) para quitar usuarios de un chat de Teams.

Siga estos pasos en el Asistente para realizar acciones :

1. En la página Elegir acciones de respuesta , seleccione Quitar usuario de la conversación en la sección Acciones de nivel de conversación y, a continuación, seleccione Siguiente.

2. En la página Elegir entidades de destino , configure las siguientes opciones:

   • Nombre Escriba un nombre descriptivo único para el escenario de eliminación de usuario.
   • Descripción: escriba los detalles opcionales.

   El resto de la página contiene una tabla de detalles con la siguiente información sobre los usuarios del chat:

   • Recurso afectado: la dirección de correo electrónico del usuario.
   • Acción: este valor siempre es Quitar al usuario de la conversación.
   • Entidad de destino: valor guid del identificador de subproceso del chat.
   • Expira en

   De forma predeterminada, se seleccionan todos los usuarios del chat, incluidos los usuarios externos que no se pueden quitar del chat. Compruebe que los usuarios internos que se van a quitar del chat están seleccionados.

   Cuando haya terminado en la página Elegir entidades de destino , seleccione Siguiente.

   

3. En la página Revisar y enviar , revise las selecciones anteriores.

   Seleccione Atrás para volver atrás y cambiar las selecciones.

   Cuando haya terminado en la página Revisar y enviar , seleccione Enviar.

La eliminación de usuarios de un chat de Teams se registra en la pestaña Historial de la página Centro de acciones en https://security.microsoft.com/action-center/history. Puede filtrar los resultados por tipo> de acciónQuitar usuarios de conversaciones de Teams omensaje de Teamsde tipo> entidad. En los detalles de la alerta, puede confirmar que los usuarios se quitaron o no del chat de Teams.

Más información

El Microsoft Defender para Office 365 Email página de entidad y cómo funciona

Vínculos seguros en Microsoft Defender para Office 365

Purga automática de cero horas (ZAP) en Microsoft Teams