Saltar al contenido principal

​
Primeros pasos

​
Cómo funciona nuestra integración

Usamos la compatibilidad de Microsoft con OAuth para que usted autorice a Wirespeed a acceder a su inquilino de Microsoft, recopilar un inventario diario de sus productos Microsoft con licencia y comenzar a sincronizar los datos de su directorio (usuarios y puntos de conexión) y la telemetría de seguridad. Si licencia un nuevo producto de Microsoft hoy o dentro de 3 años, lo detectaremos, obtendremos la telemetría y comenzaremos a clasificar detecciones en su nombre. Para más detalles sobre los permisos necesarios para este trabajo, lea la sección Detalles de permisos más abajo.

​
Integración

Para empezar, añada una nueva integración y seleccione Microsoft. Se le redirigirá a la página de consentimiento de OAuth.
Conecte la integración de Microsoft con una cuenta de Administrador global. Wirespeed valida el acceso a los SKU suscritos de su inquilino durante la configuración, y Microsoft suele denegar ese acceso a menos que el flujo de consentimiento lo complete un Administrador global.

​
Pruebas

​
Microsoft Defender for Endpoint

Ejecutar cualquiera de los comandos siguientes activará una detección en Microsoft Defender for Endpoint que Wirespeed ingestará. Wirespeed las identificará automáticamente como eventos de prueba.

​
Microsoft Entra ID Protect

Según su nivel de licencia, también hay disponibles pruebas adicionales.

​
Errores

​
AADSTS650051

AADSTS650051: Consent action for Application ‘UUID’ failed due to the following error: … service principal name is already present for the tenant …
Se trata de un error habitual de Microsoft debido a un fallo en su proceso de consentimiento OAuth. Si es usuario de Wirespeed, inicie sesión en Wirespeed e intente añadir la integración de nuevo desde el principio. Si se le compartió una URL para integrar Wirespeed, siga esa URL e intente dar el consentimiento una vez más. Si el problema persiste, contacte con support@wirespeed.co.

​
AADSTS650052

Este error significa que a su inquilino le falta un principal de servicio para un servicio de Microsoft que Wirespeed solicita durante el consentimiento OAuth. Haga coincidir el ID de aplicación de su mensaje de error con un servicio de la tabla siguiente y, a continuación, expanda esa sección para ver los pasos de solución.
Es posible que vea este error más de una vez durante la configuración de la integración, cada vez por una aplicación de Microsoft diferente. Es lo esperado. Siga los pasos de solución de la aplicación nombrada en el error actual y, a continuación, reintente la integración desde Wirespeed hasta que el consentimiento se complete.
Si el servicio de su error no aparece arriba, copie el ID de aplicación (UUID) de los detalles del error en la página de error de la integración de Wirespeed. Aparece inmediatamente después de access a service — por ejemplo, en access a service '05a65629-4c1b-48c1-a78b-804c4abdd4af'(Microsoft Cloud App Security), el ID de aplicación es 05a65629-4c1b-48c1-a78b-804c4abdd4af. Use ese UUID en la sección Otro servicio más abajo.
AADSTS650052: The app is trying to access a service ‘fc780465-2017-40d4-a0c5-307022471b92’(WindowsDefenderATP) that your organization ‘[ORGANIZATION_ID]’ lacks a service principal for. Contact your IT Admin to review the configuration of your service subscriptions or consent to the application in order to create the required service principal.
Este error significa que no ha adquirido Microsoft Defender for Endpoint. Si desea continuar sin adquirirlo, añada un principal de servicio provisional para que Microsoft permita que la integración continúe. El provisional está asociado al ID de aplicación fc780465-2017-40d4-a0c5-307022471b92, una aplicación integrada de Microsoft para Defender for Endpoint.
Elija Graph Explorer o PowerShell: solo necesita completar un método, no ambos.
  1. Como administrador global, vaya a Microsoft Graph Explorer
  2. En la parte superior derecha, asegúrese de que el Tenant mostrado es el que desea integrar. De lo contrario, seleccione el icono de perfil junto a ese campo y cambie de cuenta.
    1. Si el cuadro de diálogo Request Body está vacío, pegue {"appId": "fc780465-2017-40d4-a0c5-307022471b92"}
  3. Seleccione Modify Permissions y dé consentimiento a ambos permisos requeridos
    1. Si los permisos no aparecen, seleccione manualmente Application.ReadWrite.All y Directory.ReadWrite.All
  4. Haga clic en run query
Asegúrese de recibir una respuesta 201 Created. A continuación, reintente la configuración de la integración desde Wirespeed.
AADSTS650052: The app is trying to access a service ‘05a65629-4c1b-48c1-a78b-804c4abdd4af’(Microsoft Cloud App Security) that your organization ‘[ORGANIZATION_ID]’ lacks a service principal for. Contact your IT Admin to review the configuration of your service subscriptions or consent to the application in order to create the required service principal.
Este error significa que no ha adquirido ni aprovisionado Microsoft Defender for Cloud Apps (antes Microsoft Cloud App Security) en su inquilino. Wirespeed solicita acceso a Cloud Apps para ingestar alertas de seguridad de ese servicio. Si no usa esa función, añada un principal de servicio provisional para que Microsoft permita que la integración continúe. El provisional está asociado al ID de aplicación 05a65629-4c1b-48c1-a78b-804c4abdd4af, una aplicación integrada de Microsoft para Microsoft Cloud App Security.
Elija Graph Explorer o PowerShell: solo necesita completar un método, no ambos.
  1. Como administrador global, vaya a Microsoft Graph Explorer
  2. En la parte superior derecha, asegúrese de que el Tenant mostrado es el que desea integrar. De lo contrario, seleccione el icono de perfil junto a ese campo y cambie de cuenta.
    1. Si el cuadro de diálogo Request Body está vacío, pegue {"appId": "05a65629-4c1b-48c1-a78b-804c4abdd4af"}
  3. Seleccione Modify Permissions y dé consentimiento a ambos permisos requeridos
    1. Si los permisos no aparecen, seleccione manualmente Application.ReadWrite.All y Directory.ReadWrite.All
  4. Haga clic en run query
Asegúrese de recibir una respuesta 201 Created. A continuación, reintente la configuración de la integración desde Wirespeed.
Use esta sección cuando el ID de aplicación de su error no esté en la tabla anterior. Expanda Show Error Details en la página de error de la integración de Wirespeed y copie el UUID entre comillas simples después de access a service.Ejemplo de detalle del error:
En este ejemplo, use el ID de aplicación 05a65629-4c1b-48c1-a78b-804c4abdd4af. Sustituya YOUR_APP_ID en los pasos siguientes por el UUID de su error.Este error significa que a su inquilino le falta un principal de servicio para un servicio de Microsoft que Wirespeed solicita durante el consentimiento OAuth. Si no ha adquirido ni aprovisionado ese servicio, puede añadir un principal de servicio provisional para que Microsoft permita que la integración continúe.
Elija Graph Explorer o PowerShell: solo necesita completar un método, no ambos.
  1. Como administrador global, vaya a Microsoft Graph Explorer
  2. En la parte superior derecha, asegúrese de que el Tenant mostrado es el que desea integrar. De lo contrario, seleccione el icono de perfil junto a ese campo y cambie de cuenta.
  3. Establezca el cuerpo de la solicitud en (sustituya YOUR_APP_ID por el UUID de su error):
  1. Seleccione Modify Permissions y dé consentimiento a ambos permisos requeridos
    1. Si los permisos no aparecen, seleccione manualmente Application.ReadWrite.All y Directory.ReadWrite.All
  2. Haga clic en run query
Asegúrese de recibir una respuesta 201 Created. A continuación, reintente la configuración de la integración desde Wirespeed.

​
AADSTS50097

AADSTS50097: Device authentication is required.
Este error se produce cuando su inquilino de Microsoft Entra tiene directivas de acceso condicional que requieren autenticación de dispositivo. El administrador de su inquilino ha configurado directivas que solo permiten el inicio de sesión desde dispositivos unidos a Azure AD, unidos de forma híbrida o marcados como conformes. Para resolver este problema:
  1. Use un dispositivo autorizado — Realice la conexión OAuth desde un dispositivo unido al dominio de Azure AD o marcado como conforme en Intune/Endpoint Manager.
  2. Evite la navegación de incógnito o privada — Las sesiones de navegación privada no pueden presentar credenciales de dispositivo, lo que provocará este error incluso en un dispositivo autorizado.
  3. Contacte con su administrador de TI — Si no está seguro de qué dispositivos están autorizados, pida a su administrador de TI que verifique que el dispositivo que usa cumple los requisitos de acceso condicional de su organización.

​
Detalles de permisos

Necesitamos varios permisos para integrarnos con su inquilino de Microsoft. El manifiesto de permisos durante el desafío OAuth puede parecer abrumador o incluso innecesario; lo entendemos, por eso solo solicitamos los permisos que necesitamos para ofrecerle la mejor experiencia.

​
Acceso de lectura

  • La mayoría de los permisos listados en el diálogo OAuth son de solo lectura. Microsoft nos exige solicitarlos individualmente, por lo que la lista parece larga. A alto nivel, necesitamos leer:
  • Alertas de seguridad, evidentemente, porque debemos clasificarlas
  • IOC (indicadores de compromiso), porque son una forma de detección
  • Datos del registro de auditoría, donde reside telemetría de seguridad suplementaria importante
  • Registros y datos de inicio de sesión, para poder realizar detecciones y análisis
  • Información de la organización, que es metadatos sobre el propio inquilino, para garantizar que cubrimos correctamente toda la telemetría de seguridad de su organización
  • Datos del directorio, para conocer su organización, sus personas, sus roles y cómo clasificar mejor los casos o interactuar con ellos.
  • Perfiles de usuarios y métodos de autenticación, para poder determinar la orientación adecuada ante una detección de seguridad
  • Perfiles de archivos, para enriquecer los archivos referenciados en las detecciones
  • Perfiles de URL, para enriquecer las URL referenciadas en las detecciones
  • Detección e información de riesgo, porque la información relacionada con la postura informa y se correlaciona con las detecciones
  • Información de Threat & Vulnerability management, que informa y enriquece las detecciones
  • Datos de Security Baseline Assessment, que informan y enriquecen las detecciones
  • Tareas de remediación, para conocer qué tareas completó y formular mejores recomendaciones
  • Configuración del buzón (MailboxSettings.Read en integraciones de solo lectura), para poder inspeccionar reglas del buzón durante las investigaciones. Este permiso no permite enviar ni leer correos electrónicos.

​
Acceso de escritura

Solicitamos un puñado de permisos de escritura para habilitar los mejores resultados y la mejor experiencia. Todos se solicitan en el momento de la integración, pero eso NO significa que se usen hasta que opte por la configuración que aprovecha estos permisos. Sin embargo, es una mejor experiencia de usuario solicitar estos permisos una sola vez, aunque no los habilite en nuestra plataforma. De forma predeterminada, las actualizaciones del sistema de origen siguientes están bloqueadas hasta que active Activar actualizaciones del sistema de origen en la página Integraciones.
  • Detecciones de riesgo, para poder actualizar estados (p. ej., cerrar instancias resueltas o falsos positivos)
  • Alertas de seguridad, para poder actualizar los estados de la parte de «ticket» de las alertas y mantenerlos sincronizados con nuestros resultados de clasificación y respuesta
  • Métodos de autenticación de usuarios (UserAuthenticationMethod.ReadWrite.All), usados solo por la remediación Require MFA Re-enrollment. El uso automático lo rige Activar remediaciones automatizadas, no Activar actualizaciones del sistema de origen; consulte Acceso de remediación más abajo.
  • Eventos de la cronología, para poder sincronizar las cronologías de clasificación de nuestros casos con las cronologías de los tickets de sus detecciones en la consola de Microsoft
  • Toda la información de máquinas, para poder añadir comentarios y metadatos a las máquinas a fin de que sus administradores los vean como parte de la respuesta

​
Acceso de remediación

Por último, solicitamos un pequeño conjunto de permisos para poder remediar amenazas en su nombre, ya sea de forma automatizada (si opta por ello y lo habilita) o manualmente (es decir, hace clic en el botón de remediación dentro de nuestra aplicación para iniciar un proceso de remediación). Al igual que los permisos de Acceso de escritura anteriores, ninguno de estos está habilitado en nuestra plataforma de forma predeterminada. Hasta que active Activar remediaciones automatizadas, la remediación automatizada está bloqueada; la remediación manual sigue disponible cuando hace clic en el botón de remediación.
  • Habilitar/deshabilitar cuentas de usuario, para poder remediar una identidad comprometida durante un caso, ya sea de forma automatizada mediante las opciones de remediación de usuarios o manualmente al hacer clic en el botón de remediación dentro de nuestra plataforma. El resultado es que la cuenta de usuario de Microsoft se deshabilita o habilita; esta acción es completamente segura y reversible, ya sea en la plataforma mediante el botón de remediación, o directamente en sus herramientas preferidas de gestión de usuarios de Microsoft.
  • Revocar todas las sesiones de inicio de sesión; en caso de compromiso de identidad, un actor de amenazas no autorizado puede persistir con el acceso de su usuario comprometido, incluso después de restablecer las credenciales del usuario, aprovechando tokens y cookies de sesión de inicio de sesión de larga duración. Esto nos permite revocar todos los inicios de sesión, lo que elimina el acceso de los actores de amenazas a las cuentas de usuario. Es una acción segura y en gran medida reversible: el usuario afectado puede simplemente autenticarse de nuevo para establecer nuevas sesiones. Como máximo, es una molestia menor para los usuarios, a cambio de una remediación rápida y completa de un actor de amenazas hostil decidido a alcanzar un objetivo malicioso, como BEC o ransomware.
  • Exigir la reinscripción en MFA eliminando los métodos MFA registrados del usuario. Wirespeed conserva los métodos de contraseña, recuperación por correo electrónico y temporary access pass para evitar bloquear al usuario. Los métodos MFA eliminados no se pueden restaurar, y el usuario debe registrar métodos nuevos en el próximo inicio de sesión que requiera autenticación sólida. Esta acción requiere UserAuthenticationMethod.ReadWrite.All y no está disponible cuando la integración está configurada como de solo lectura.
  • Ejecutar live response en una máquina concreta; esto nos permite realizar recopilación adicional de telemetría, cazas de amenazas y acciones de respuesta exhaustivas comprobando la posible persistencia de un actor de amenazas en un punto de conexión de su flota.
  • Restringir la ejecución de código; esto nos concede la capacidad de indicar a Microsoft Defender for Endpoint (DFE) que tome medidas para bloquear código malicioso que DFE detectó, pero no bloqueó, en su entorno estableciendo una regla para impedir su ejecución, siguiendo nuestras opciones de configuración de remediación de puntos de conexión después de confirmar que el código es hostil.
  • Detener y poner en cuarentena el archivo; esto nos permite indicar a Microsoft Defender for Endpoint (DFE) que detenga un proceso malicioso y ponga en cuarentena los archivos maliciosos asociados, cuando DFE solo detecta, pero no bloquea de inmediato la amenaza, siguiendo nuestras opciones de configuración de remediación de puntos de conexión después de confirmar que la sospecha de amenaza es de hecho maliciosa. La restauración de archivos en cuarentena debe hacerse manualmente en el portal de Defender; MDE no expone una API REST para la liberación automática de la cuarentena.
  • Eliminar reglas del buzón (MailboxSettings.ReadWrite); esto nos permite quitar reglas maliciosas de reenvío del buzón y otras reglas del buzón encontradas durante las investigaciones (consulte Remediación de reglas del buzón). Este permiso no permite enviar ni leer correos electrónicos.
  • Quitar aplicaciones Entra maliciosas (Application.ReadWrite.All); esto nos permite eliminar aplicaciones de terceros añadidas por atacantes para mantener la persistencia en su inquilino.
  • Revocar concesiones y consentimientos de aplicaciones maliciosas (DelegatedPermissionGrant.ReadWrite.All); esto nos permite quitar permisos y consentimientos OAuth concedidos por atacantes sin eliminar toda la aplicación.
  • Añadir IOC de Microsoft Defender (Ti.ReadWrite.All); esto nos permite publicar indicadores de compromiso en Microsoft Defender como acción de remediación durante las investigaciones.

​
Limitar permisos

Si, después de leer y comprender lo anterior sobre cómo y por qué se requieren los permisos, aún desea reducirlos más, puede:
  • Completar el diálogo OAuth de la integración de Microsoft con Wirespeed, aceptando la lista de permisos tal como se presenta.
  • Ir a Azure > Aplicaciones empresariales > Wirespeed y quitar permisos individuales (p. ej., acceso de escritura o de remediación) como un freno duro más allá de las capas de control presentes en Wirespeed.
  • Documentar los permisos quitados, para poder volver a habilitarlos manualmente si desea activar más adelante el acceso de escritura/remediación. Wirespeed informará de errores al intentar ciertas funciones, pero puede que no nos resulte evidente de inmediato que la causa del error son permisos editados manualmente.
  • Como alternativa, puede optar por actualizar la integración de Microsoft más adelante, aceptando todos los permisos. Puede hacerlo en Wirespeed yendo a Integraciones > Añadir integración > Microsoft y siguiendo el mismo proceso que originalmente, sin quitar los permisos después. Esto actualizará sus permisos y conservará sus datos de Microsoft existentes.

​
Lista de permitidos de correos de Wirespeed

Puede añadir determinados dominios y direcciones de correo electrónico a una lista de permitidos en todo su inquilino de Microsoft. Para asegurarse de que los correos de Wirespeed lleguen a su equipo:
  1. Vaya al portal de Microsoft Defender.
  2. En el panel Correo electrónico y colaboración de la izquierda, vaya a Directivas y reglas.
  3. Seleccione Directivas contra amenazas.
  4. En Reglas, seleccione Listas de permitidos/bloqueados del inquilino.
  5. Con Dominios y direcciones seleccionado, haga clic en Agregar y seleccione Permitir.
  6. Añada wirespeed.co al cuadro de diálogo, dejando Quitar entrada de permiso después de en el tiempo de vida máximo de 45 días.
  7. Complete el formulario haciendo clic en Agregar.
En la primera sincronización, Wirespeed obtiene detecciones de hasta los últimos 120 días en las fuentes de detección de Microsoft. La ingesta de alertas de Microsoft Defender en la primera sincronización está además limitada a las 5.000 alertas más recientes.