Conexión de aplicaciones para obtener visibilidad y control con Microsoft Defender for Cloud Apps

Los conectores de aplicaciones usan las API de proveedores de aplicaciones para facilitar una visibilidad y un control mayores mediante Microsoft Defender for Cloud Apps a través de las aplicaciones a las que se conecta.

Microsoft Defender for Cloud Apps usa las API proporcionadas por el proveedor de servicios en la nube. Toda la comunicación entre Defender for Cloud Apps y las aplicaciones conectadas se cifra mediante HTTPS. Cada servicio tiene su propio marco y sus propias limitaciones de API, como la limitación, los límites de API, las ventanas de API dinámicas de desplazamiento de tiempo y otras. Microsoft Defender for Cloud Apps funciona con los servicios para optimizar el uso de las API y optimizar el rendimiento. Teniendo en cuenta las distintas limitaciones que los servicios imponen a las API, los motores de Microsoft Defender for Cloud Apps usan la capacidad permitida. Algunas operaciones, como el examen de todos los archivos del inquilino, requieren numerosas API, por lo que se extienden a lo largo de un periodo más prolongado. Algunas directivas tardarán en ejecutarse varias horas o varios días.

Compatibilidad con varias instancias

Defender for Cloud Apps admite varias instancias de la misma aplicación conectada. Por ejemplo, si tiene más de una instancia de Salesforce (una para ventas, otra para marketing) puede conectarse a Defender for Cloud Apps. Puede administrar las distintas instancias de la misma consola para crear directivas pormenorizadas y una investigación más profunda. Esta compatibilidad solo se aplica a las aplicaciones conectadas a la API, no a las aplicaciones detectadas en la nube ni a las aplicaciones conectadas por proxy.

Cómo funciona

Defender for Cloud Apps se implementa con privilegios de administrador del sistema para permitir el acceso completo a todos los objetos del entorno.

El flujo de App Connector es el siguiente:

1. Defender for Cloud Apps examina y guarda los permisos de autenticación.
2. Defender for Cloud Apps solicita la lista de usuarios. La primera vez que realiza la solicitud, puede tardar algún tiempo hasta que se complete el examen. Una vez finalizado el examen del usuario, Defender for Cloud Apps pasa a actividades y archivos. En cuanto se inicia el examen, algunas actividades están disponibles en Defender for Cloud Apps.
3. Después de completar la solicitud de usuario, Defender for Cloud Apps examina periódicamente usuarios, grupos, actividades y archivos. Todas las actividades están disponibles después del primer examen completo.

Esta conexión puede tardar algún tiempo en función del tamaño del inquilino, el número de usuarios y el tamaño y el número de archivos que se deben examinar.

En función de la aplicación a la que se conecte, la conexión de API habilita los siguientes elementos:

• Información de la cuenta : visibilidad de usuarios, cuentas, información de perfil, estado (suspendido, activo, deshabilitado) y privilegios.
• Seguimiento de auditoría : visibilidad de las actividades del usuario, las actividades de administración y las actividades de inicio de sesión.
• Gobernanza de cuentas : capacidad de suspender usuarios, revocar contraseñas y mucho más.
• Permisos de aplicación : visibilidad de los tokens emitidos y sus permisos.
• Gobernanza de permisos de aplicación: capacidad de quitar tokens.
• Examen de datos : examen de datos no estructurados mediante dos procesos periódicamente (cada 12 horas) y en tiempo real (desencadenados cada vez que se detecta un cambio).
• Gobernanza de datos : capacidad de poner en cuarentena los archivos, incluidos los archivos de la papelera, y sobrescribir los archivos.

En las tablas siguientes se muestra, por aplicación en la nube, qué capacidades se admiten con los conectores de aplicaciones:

Usuarios y actividades

Visibilidad de la configuración de seguridad, la gobernanza de aplicaciones y el usuario

Protección de la información

Requisitos previos

• Al trabajar con el conector de Microsoft 365, necesitará una licencia para cada servicio en el que quiera ver las recomendaciones de seguridad. Por ejemplo, para ver las recomendaciones de Microsoft Forms, necesitará una licencia que admita Forms.

• En algunas aplicaciones, es posible que tenga que permitir que las direcciones IP de lista habiliten Defender for Cloud Apps para recopilar registros y proporcionar acceso a la consola de Defender for Cloud Apps. Para obtener más información, vea Requisitos de red.

Habilitación de conectores de aplicaciones

Para habilitar un conector de aplicaciones por primera vez, configure una conexión de API para la aplicación en la nube específica que desea conectar. Consulte las guías de conector individuales de cada aplicación para obtener instrucciones detalladas.

1. Inicie sesión en el portal de Microsoft Defender.
2. Vaya a Aplicaciones>en la nube Aplicaciones conectadas.
3. Seleccione Conectar una aplicación o Agregar un nuevo conector.
4. Elija la aplicación en la nube que desea conectar.
5. Siga las instrucciones de la guía del conector de API específica de la aplicación correspondiente. Estas instrucciones incluyen los permisos necesarios y los pasos de autenticación.

Cada aplicación en la nube tiene su propio proceso de habilitación en función de las API que admite.

ExpressRoute

Defender for Cloud Apps se implementa en Azure y está totalmente integrado con ExpressRoute. Todas las interacciones con las aplicaciones Defender for Cloud Apps y el tráfico enviado a Defender for Cloud Apps, incluida la carga de registros de detección, se enrutan a través de ExpressRoute para mejorar la latencia, el rendimiento y la seguridad. Para obtener más información sobre el emparejamiento de Microsoft, consulte Circuitos ExpressRoute y dominios de enrutamiento.

Deshabilitación de conectores de aplicaciones

Para deshabilitar las aplicaciones conectadas:

1. Vaya a Aplicaciones conectadas.
2. Seleccione Deshabilitar conector de aplicaciones.
3. Seleccione Deshabilitar instancia del conector de aplicaciones para confirmar la acción.

Una vez deshabilitada, la instancia del conector deja de consumir datos del conector.

Volver a habilitar los conectores de aplicaciones

Para volver a habilitar las aplicaciones conectadas:

1. Vaya a Aplicaciones conectadas.
2. Seleccione Editar la configuración. Esta acción inicia el proceso para agregar un conector.
3. Agregue el conector mediante los pasos descritos en la guía del conector de API pertinente. Por ejemplo, si va a volver a habilitar GitHub, siga los pasos descritos en Conexión de GitHub Enterprise Cloud a Microsoft Defender for Cloud Apps.

Solución de problemas de actividades que faltan después de conectar una aplicación

Si las actividades esperadas no se muestran después de conectar una aplicación, use las siguientes comprobaciones para determinar dónde deben estar disponibles los datos y si es necesaria una configuración adicional.

1. Confirme que el conector está en buen estado.

Compruebe que el conector de la aplicación está conectado correctamente y que no hay advertencias de configuración ni problemas de permisos.

2. Comprobación de las expectativas de retraso de ingesta

Algunos conectores tienen latencia esperada antes de que aparezcan las actividades. Valide si el conector tiene un retraso de ingesta documentado antes de tratar la actividad que falta como un problema.

3. Confirme que el conector admite la ingesta de actividad.

Compruebe si el conector admite la recopilación de actividades en la sección Usuarios y actividades.

4. Revise las opciones de actividad específicas del conector Para los conectores que admiten tipos de actividad seleccionables, confirme que las opciones necesarias están habilitadas. Por ejemplo, si está investigando la actividad de inicio de sesión, compruebe que el conector está configurado para recopilar los datos de inicio de sesión pertinentes.

5. Comprobar la configuración de implementación con ámbito

Si la implementación con ámbito está habilitada, confirme que la cuenta que realiza la actividad se incluye en las reglas de implementación con ámbito actuales. Las actividades generadas por usuarios, grupos o aplicaciones excluidos no se ingieren. Compruebe también si los identificadores de cuenta coinciden correctamente entre las aplicaciones conectadas, especialmente cuando se usan formatos de identificador diferentes.

6. Validar la superficie de registro esperada

En función del tipo de actividad, compruebe si el evento aparece en el origen adecuado que se muestra en la tabla siguiente.

7. Aplicar filtros antes de concluir que faltan datos

Use filtros como:

• Intervalo de tiempo
• Usuario o administrador
• Tipo de actividad
• Aplicación o carga de trabajo

8. Comprobación de las limitaciones de ámbito conocidas

Es posible que algunas actividades no estén totalmente representadas en cada superficie de registro. Si falta un evento de un origen, confirme si esa actividad está documentada como disponible en otro origen.

Investigar más

Investigue más cuando:

• El conector muestra un estado correcto, pero no aparece ningún dato esperado en ninguna superficie de registro compatible.
• Las opciones de actividad necesarias están activadas, pero el evento sigue ausente después de un período de validación razonable.
• El mismo tipo de actividad no está disponible de forma coherente en varias comprobaciones.

Pasos siguientes