Integración de EASM en tu stack de seguridad: Sentinel, Copilot y más allá

By Mirko Peters · 2026-08-13

Bienvenido de nuevo a otro análisis en profundidad del mundo en constante evolución de la seguridad en la nube y la arquitectura de Microsoft 365. En nuestra serie de podcasts insistimos constantemente en que lo moderno…

Automatically translated with AI from the original post. Read the English original

Bienvenido de nuevo a otro análisis en profundidad sobre el mundo en constante evolución de la seguridad en la nube y la arquitectura de Microsoft 365. En nuestra serie de podcasts insistimos constantemente en que las operaciones de seguridad modernas requieren una visión holística de tu panorama digital. En un episodio reciente, desglosamos los fundamentos del descubrimiento de activos externos. Si aún no lo has escuchado, no dejes de revisar el episodio relacionado, Microsoft Defender EASM - Simply Explained, donde exploramos cómo las organizaciones pueden cambiar de forma fundamental la manera en que ven su huella pública.

Saber qué existe en la internet pública es un avance enorme, pero disponer simplemente de un inventario de activos expuestos no basta. La verdadera ventaja llega al integrar la inteligencia de External Attack Surface Management (EASM) en el resto de tu stack de seguridad. En este artículo vamos a profundizar en estos conceptos y a explorar cómo Microsoft Defender EASM aporta contexto valioso a Microsoft Sentinel, Log Analytics, Azure Data Explorer y Security Copilot para elevar de forma considerable tu postura de seguridad general.

Introducción a External Attack Surface Management

Antes de ver la integración, planteemos brevemente el reto central. Los marcos de seguridad tradicionales se centran sobre todo en el interior. Las plataformas de gestión de eventos e información de seguridad, las herramientas de detección y respuesta en endpoints y los escáneres de vulnerabilidades suelen depender de agentes instalados en dispositivos gestionados o de análisis de la red interna. Sin embargo, los atacantes no inician sus campañas desde tu red interna, sino desde la internet abierta.

Defender EASM cierra esta brecha funcionando como un recopilador de inteligencia y no como una herramienta tradicional de aplicación en línea, como un firewall o un antivirus. Mapea de forma continua dominios, subdominios, certificados SSL, direcciones IP públicas y puertos abiertos desde una perspectiva de fuera hacia dentro. Pero descubrir estos activos es solo el comienzo del camino. Para impulsar un cambio operativo significativo, esta inteligencia externa debe canalizarse hacia las herramientas que tus analistas del Centro de operaciones de seguridad (SOC) usan a diario.

Comprender la perspectiva externa frente a los inventarios internos

Cuando los equipos de seguridad elaboran sus inventarios de activos, normalmente extraen datos de las bases de datos de gestión de configuración, del historial de tickets de TI y de los portales de suscripciones en la nube. Por desgracia, estos inventarios internos suelen tener puntos ciegos causados por la TI en la sombra, campañas de marketing olvidadas, entornos de prueba sin monitorizar e infraestructura heredada de adquisiciones.

Una perspectiva externa atraviesa el ruido de los silos internos de la organización. No le importa qué departamento desplegó una carga de trabajo en la nube ni qué proveedor publicó un portal accesible desde internet. Si un activo es accesible mediante un navegador o un escáner de IP en la web pública, EASM lo encontrará. Al traducir estos datos externos en observaciones estructuradas, las organizaciones pueden por fin comparar lo que creen que está expuesto con lo que realmente es accesible desde el exterior.

Cómo Microsoft Defender EASM descubre activos públicos

Para entender cómo se integran estos datos con el resto de tu stack de seguridad, conviene conocer cómo funciona el motor de descubrimiento. El descubrimiento parte de una semilla sencilla, como un dominio corporativo principal, un número de sistema autónomo o un bloque de IP públicas conocido. A partir de ahí, el sistema realiza un descubrimiento recursivo.

Sigue las migas de pan digitales: un dominio raíz apunta a un certificado, el certificado hace referencia a subdominios alternativos, esos subdominios se resuelven en hosts concretos y esos hosts están en direcciones IP públicas asociadas a servicios web específicos. A medida que Defender EASM asigna estas relaciones, crea un grafo enriquecido de activos. Exportar este mapa basado en relaciones a las herramientas de seguridad posteriores proporciona a tus analistas un contexto sin precedentes durante una investigación.

Integración de la información de EASM con Microsoft Sentinel

Microsoft Sentinel es el sistema nervioso central de las operaciones de seguridad modernas, pues ingiere registros, alertas e inteligencia de amenazas de toda la empresa. Cuando integras la información de Defender EASM en Sentinel, cierras la brecha entre la exposición externa y la telemetría interna.

Imagina que Sentinel genera una alerta por intentos de autenticación anómalos contra una aplicación web. Si los datos de EASM se ingieren en tu área de trabajo de Sentinel, tus reglas de análisis y consultas de correlación pueden determinar al instante si esa aplicación web dirigida es un sistema de producción oficial y autorizado o un servidor de preproducción olvidado y no gestionado que detectó tu análisis de superficie de ataque externa. Este enriquecimiento contextual inmediato ayuda a los analistas a clasificar los incidentes más rápido, separando las amenazas de alta prioridad sobre activos críticos del ruido generado por infraestructura de TI en la sombra obsoleta.

Aprovechar Log Analytics y Azure Data Explorer para los datos de EASM

Las organizaciones empresariales suelen gestionar presencias públicas masivas formadas por miles de dominios, certificados y rangos de IP. Analizar un volumen de datos de superficie de ataque de esta magnitud requiere plataformas de datos robustas. Aquí es donde entran en juego Log Analytics y Azure Data Explorer.

Al exportar los datos de inventario y observación de EASM a áreas de trabajo de Log Analytics, los equipos de ingeniería de seguridad pueden crear libros personalizados y paneles de supervisión. Puedes hacer seguimiento de métricas como cuántos certificados SSL caducan en los próximos treinta días, cuántas direcciones IP públicas nuevas sin clasificar han aparecido esta semana o qué unidades de negocio acumulan el mayor volumen de exposiciones externas de alto riesgo.

Para las organizaciones que operan a gran escala en varias filiales globales, Azure Data Explorer aporta la potencia necesaria para ejecutar consultas complejas y ultrarrápidas sobre millones de puntos de datos históricos de la superficie de ataque. Los arquitectos de seguridad pueden realizar análisis de tendencias a lo largo de meses o años, y trazar cómo evoluciona la postura externa a medida que crece la empresa y se producen fusiones y adquisiciones.

Acelerar las investigaciones con Security Copilot

A medida que las herramientas de seguridad se vuelven más avanzadas, la carga cognitiva de los analistas del SOC no deja de aumentar. Escribir consultas complejas en Kusto Query Language para correlacionar datos de activos externos con fuentes de registros internas puede ralentizar la respuesta activa a incidentes. Aquí es donde Microsoft Security Copilot transforma el flujo de trabajo.

Security Copilot actúa como una interfaz de lenguaje natural para todo tu ecosistema de seguridad, incluidos tus datos de EASM. Un analista que gestiona un incidente activo puede plantear a Copilot preguntas en lenguaje conversacional, como: "Muéstrame todas las direcciones IP externas asociadas a nuestra marca principal que tengan puertos de administración remota abiertos y alertas recientes de fuerza bruta en Sentinel."

Copilot combina los datos de postura externa de Defender EASM con la telemetría de amenazas internas y genera un informe completo del incidente en cuestión de segundos. Aunque los profesionales de seguridad siguen teniendo el control total, interpretando los hallazgos y ejecutando las acciones de corrección, Copilot reduce considerablemente el tiempo que se dedica a saltar entre portales administrativos desconectados.

Combinar EASM con Microsoft Security Exposure Management

Más allá de las herramientas tradicionales de SIEM y análisis, Defender EASM desempeña un papel fundamental dentro de Microsoft Security Exposure Management. Mientras que EASM te indica qué es visible en la internet pública, Security Exposure Management unifica la información de múltiples cargas de trabajo, incluidas la seguridad en la nube, las posturas de identidad, el cumplimiento de los endpoints y las superficies de ataque externas, en una única puntuación de seguridad y un motor de priorización unificado.

Cuando combinas EASM con herramientas internas de gestión de la postura, tus equipos de seguridad pueden priorizar la corrección según el riesgo real y no según conjeturas. Por ejemplo, un servidor web expuesto que detecta EASM podría marcarse como de alto riesgo no solo porque es accesible desde el exterior, sino porque Defender for Cloud indica que tiene una vulnerabilidad crítica sin parchear y Microsoft Entra ID señala que carece de controles adecuados de autenticación multifactor. Esta visión por capas garantiza que los esfuerzos de corrección se centren donde más importan.

Buenas prácticas para empezar y pasar a la acción

Integrar EASM en tu pila de seguridad más amplia es una estrategia operativa continua y no un proyecto de implantación puntual. Para lograr el éxito, sigue estas buenas prácticas, aplicables de inmediato:

• Empieza con semillas de confianza: define el alcance inicial del descubrimiento usando los dominios corporativos principales, las marcas oficiales y los números ASN verificados. Evita abarcarlo todo desde el primer día.
• Implica a equipos multifuncionales: los activos externos involucran a marketing, ingeniería cloud, desarrollo y proveedores externos. Comparte los hallazgos de EASM con estas unidades de negocio para asignar con precisión la propiedad de cada activo.
• Automatiza los flujos de exportación: configura exportaciones de datos continuas desde Defender EASM hacia Log Analytics y Microsoft Sentinel para que tus analistas del SOC trabajen siempre con mapas de superficie de ataque actualizados.
• Establece cadencias de revisión: programa revisiones operativas periódicas para evaluar nuevas observaciones, depurar falsos positivos o activos que no te pertenecen y convertir los hallazgos en tickets de remediación concretos.

Conclusión

La visibilidad es la base de una defensa eficaz. Microsoft Defender EASM cambia el paradigma de la seguridad al permitir que las organizaciones vean su infraestructura a través de los ojos de un atacante externo. Sin embargo, mantener esa inteligencia aislada limita su valor. Al llevar los hallazgos de EASM a Microsoft Sentinel, Log Analytics, Azure Data Explorer y Security Copilot, y unificarlos en Microsoft Security Exposure Management, creas una pila de seguridad coherente e inteligente.

Si quieres conocer más sobre los fundamentos del descubrimiento de activos externos y cómo dar tus primeros pasos para mapear tu huella pública, no te pierdas nuestra conversación completa en el episodio relacionado, Microsoft Defender EASM - Simply Explained. Aplica hoy mismo lo que has aprendido: elige tres dominios públicos asociados a tu organización y empieza a plantear las preguntas difíciles sobre propiedad, finalidad y remediación.