Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
En este artículo se explica cómo configurar exclusiones de detección de Microsoft Defender for Identity en Microsoft Defender XDR.
Microsoft Defender for Identity permite excluir direcciones IP, equipos, dominios o usuarios específicos de varias detecciones.
Por ejemplo, un analizador de seguridad que usa DNS como mecanismo de examen podría desencadenar una alerta de reconocimiento de DNS . La creación de una exclusión ayuda a Microsoft Defender for Identity ignorar estos escáneres y a reducir los falsos positivos.
Nota:
Se recomienda optimizar una alerta en lugar de usar exclusiones. Las reglas de optimización de alertas permiten condiciones más granulares que las exclusiones y permiten revisar las alertas que se optimizaron.
Entre los dominios más comunes con comunicación sospechosa a través de alertas DNS, observamos los dominios que se excluyeron con más frecuencia de la alerta. Estos dominios se agregan a la lista de exclusiones de forma predeterminada, pero tiene la opción de quitarlos.
Cómo agregar exclusiones de detección
Nota:
Al reemplazar una exclusión existente por una regla de optimización de alertas, identifique la detección asociada a la entidad excluida y asígnela al detector correspondiente en el ajuste de alertas. Después de crear la regla de optimización, compruebe que el detector aparece en Optimización de alertas en el portal de Microsoft Defender para asegurarse de que se conserva el ámbito de alerta previsto.
Inicio de sesión en el portal de Microsoft Defender
Vaya aConfiguración delsistema> y, a continuación, Identidades.
Seleccione Entidades excluidas. Puede establecer exclusiones mediante dos métodos: Exclusiones por regla de detección y Entidades excluidas globales.
Exclusiones por regla de detección
Seleccione Exclusiones por regla de detección.
Para cada detección que quiera configurar, siga estos pasos:
Seleccione una regla de detección de la lista.
Vea los detalles de la regla de detección.
Para agregar una exclusión, seleccione el botón Entidades excluidas .
Elija el tipo de exclusión. Hay diferentes entidades excluidas disponibles para cada regla. Incluyen usuarios, dispositivos, dominios y direcciones IP. En este ejemplo, las opciones son Excluir dispositivos y Excluir direcciones IP.
Después de elegir el tipo de exclusión, seleccione el + botón para agregar la exclusión.
Seleccione + Agregar para agregar la entidad excluida a la lista.
Seleccione Excluir direcciones IP (en este ejemplo) para completar la exclusión.
Una vez que haya agregado exclusiones, puede exportar la lista o quitar las exclusiones volviendo al botón Entidades excluidas . En este ejemplo, hemos vuelto a Excluir dispositivos. Para exportar la lista, seleccione el botón de flecha abajo.
Para eliminar una exclusión, seleccione la exclusión y seleccione el icono de papelera.
Entidades excluidas globalmente
Ahora también puede configurar exclusiones por entidades excluidas globalmente. Las exclusiones globales permiten definir determinadas entidades (direcciones IP, subredes, dispositivos o dominios) que se excluirán en todas las detecciones que Microsoft Defender for Identity tiene. Por ejemplo, si excluye un dispositivo, solo se aplicará a las detecciones que tengan la identificación del dispositivo como parte de la detección.
Seleccione Entidades excluidas globales para ver las categorías de entidades que puede excluir.
Elija un tipo de exclusión. En este ejemplo, seleccionamos Excluir dominios.
Se abre un panel donde puede agregar un dominio que se va a excluir. Agregue el dominio que desea excluir.
El dominio se agrega a la lista. Seleccione Excluir dominios para completar la exclusión.
A continuación, verá el dominio en la lista de entidades que se excluirán de todas las reglas de detección. Puede exportar la lista o quitar las entidades seleccionándolas y seleccionando el botón Quitar .
