Identificar y corregir riesgos de seguridad mediante el inventario y la puntuación de seguridad de Microsoft Defender for Cloud
Información general de la puntuación de seguridad
Microsoft Defender for Cloud tiene dos objetivos principales:
- Para ayudarle a comprender su situación actual en materia de seguridad
- Para ayudarle a mejorar su seguridad de manera eficiente y eficaz
La característica central de Defender for Cloud que le permite alcanzar esos objetivos es la puntuación de seguridad.
Defender for Cloud evalúa continuamente los recursos entre nubes en busca de problemas de seguridad. A continuación, agrega todos los resultados a una sola puntuación para que pueda conocer de un vistazo la situación de la seguridad actual: cuanto mayor sea la puntuación, menor será el nivel de riesgo identificado.
- En las páginas de Azure Portal, la puntuación de seguridad se muestra como un valor porcentual y los valores subyacentes también se presentan claramente:
- En Azure Mobile App, la puntuación de seguridad se muestra como un valor porcentual. Púlsela para ver los detalles que la explican:
Para aumentar su seguridad, revise la página de recomendaciones de Defender for Cloud y aplique las recomendaciones siguiendo las instrucciones de corrección para cada problema. Las recomendaciones se agrupan en controles de seguridad. Cada control es un grupo lógico de recomendaciones de seguridad relacionadas y refleja las superficies de ataque vulnerables. La puntuación solo mejora cuando se corrigen todas las recomendaciones para un único recurso dentro de un control. Para comprobar el nivel de seguridad de cada superficie de ataque de su organización, revise las puntuaciones de cada control de seguridad.
Cómo se calcula la puntuación de seguridad
Para obtener todos los puntos posibles en el control de seguridad, todos sus recursos deben cumplir con todas las recomendaciones de seguridad incluidas en el control de seguridad. Por ejemplo, Defender for Cloud ofrece varias recomendaciones sobre cómo proteger los puertos de administración. Deberá corregirlos todos para mejorar su puntuación de seguridad.
Puntuaciones de ejemplo para un control
En este ejemplo:
Control de seguridad Corregir vulnerabilidades: este control agrupa varias recomendaciones relacionadas con la detección y resolución de vulnerabilidades conocidas.
Puntuación máxima: el número máximo de puntos que se pueden obtener al completar todas las recomendaciones dentro de un control. La puntuación máxima de un control indica la importancia relativa de ese control y es fija para cada entorno. Utilice los valores máximos de puntuación para clasificar los problemas que hay que resolver primero.
Puntuación actual: la puntuación actual de este control. Puntuación actual = [Puntuación por recurso] * [Número de recursos en buen estado] Cada control contribuye a la puntuación total. En este ejemplo, el control aporta 2,00 puntos a la puntuación total de seguridad actual.
Posible aumento de puntuación: los demás puntos disponibles están bajo su control. Si aplica todas las recomendaciones de este control, su puntuación aumentará en un 9 %. Aumento potencial de la puntuación = [Puntuación por recurso] * [Número de recursos no saludables]
Información detallada: te ofrece detalles adicionales sobre cada recomendación, como por ejemplo:
Recomendación previa: esta recomendación no afectará a su puntuación de seguridad hasta que esté disponible de forma generalizada (GA).
Corregir: desde la página de detalles de la recomendación, puede utilizar la opción «Corregir» para resolver este problema.
Aplicar: desde la página de detalles de la recomendación, puede implementar automáticamente una directiva para solucionar este problema cada vez que alguien cree un recurso que no cumpla con los requisitos.
Denegar: desde la página de detalles de la recomendación, puede impedir que se creen nuevos recursos con este problema.
¿Qué recomendaciones se incluyen en los cálculos de la puntuación de seguridad?
Solo las recomendaciones integradas tienen un impacto en la puntuación de seguridad.
Las recomendaciones marcadas como Versión preliminar no se incluyen en los cálculos de su puntuación de seguridad. Aun así, deben corregirse siempre que sea posible para que, cuando finalice el período de versión preliminar, contribuyan a aumentar la puntuación.
Las recomendaciones de versión preliminar están marcadas con:
Las recomendaciones de la versión preliminar están marcadas con
Para mejorar la puntuación de seguridad, corrija las recomendaciones de seguridad de la lista de recomendaciones. Puede corregir manualmente cada recomendación de cada recurso, o bien usar la opción Corregir (cuando esté disponible) para resolver un problema en varios recursos rápidamente.
También puede configurar las opciones Aplicar y Denegar en las recomendaciones pertinentes para mejorar su puntuación y asegurarse de que sus usuarios no creen recursos que afecten negativamente a su puntuación.
Preguntas más frecuentes (P+F) sobre la puntuación de seguridad
Si solo corrijo tres de cuatro recomendaciones de un control de seguridad, ¿cambia mi puntuación de seguridad?
Núm. No cambiará hasta que se apliquen todas las recomendaciones para un único recurso. Para obtener la puntuación máxima en un control, debe aplicar todas las recomendaciones para todos los recursos.
Si una recomendación no es aplicable en mi caso y la deshabilito en la directiva, ¿se cumplirá mi control de seguridad y se actualizará mi puntuación de seguridad?
Sí. Recomendamos deshabilitar las recomendaciones cuando no sean aplicables en su entorno.
Si un control de seguridad ofrece cero puntos para mi puntuación de seguridad, ¿debería ignorarlo?
En algunos casos, verás una puntuación máxima de control superior a cero, pero el impacto es cero. Cuando la puntuación incremental para fijar recursos es insignificante, se redondea a cero. No ignore estas recomendaciones, ya que siguen aportando mejoras en materia de seguridad. La única excepción es el control "Mejores prácticas adicionales". Seguir estas recomendaciones no aumentará la puntuación, pero mejorará la seguridad general.