Microsoft Defender: regla de reducción de la superficie de ataque para endpoints

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Refuerza los endpoints con reglas de reducción de la superficie de ataque. Audita la eficacia de las reglas ASR con consultas KQL avanzadas para mejorar la detección y ajustar las exclusiones.

Automatically translated with AI from the original post. Read the English original

Auditar las reglas de reducción de la superficie de ataque es clave para mantener la postura de seguridad de tu organización. Puedes agilizar este proceso de forma considerable con KQL avanzado. Este potente lenguaje de consulta te permite analizar los datos con más eficacia, lo que te ahorra tiempo y mejora la precisión. Con KQL avanzado, puedes identificar rápidamente vulnerabilidades y asegurarte de cumplir las directivas de seguridad. Este enfoque no solo mejora tus capacidades de auditoría, sino que también te permite tomar decisiones informadas sobre tu estrategia de seguridad.

Puntos clave

• Comprende la estructura básica de las consultas KQL para mejorar tus habilidades de auditoría.
• Usa técnicas de filtrado para centrarte en reglas ASR específicas y en los datos relevantes.
• Une tablas de datos para combinar información y obtener una visión completa de las auditorías ASR.
• Utiliza funciones como count() y summarize para analizar tendencias y patrones de forma eficaz.
• Establece un calendario de auditorías periódicas para mantener el cumplimiento y la postura de seguridad.
• Documenta detalladamente tus hallazgos para hacer seguimiento del progreso e identificar tendencias a lo largo del tiempo.
• Mejora continuamente tus procesos de auditoría analizando los resultados y solicitando comentarios.
• Atiende de forma proactiva las lagunas en los datos para garantizar la fiabilidad de tus datos de auditoría.

1. Las uniones entre espacios de trabajo son prácticas y rápidas — KQL avanzado admite uniones entre varios espacios de trabajo, lo que permite a las auditorías ASR correlacionar eventos de endpoints, señales de amenazas y datos de configuración sin necesidad de procesos ETL pesados.
2. Las funciones aproximadas aceleran las consultas a gran escala — Funciones como approx_count_distinct y percentile_approx permiten resumir enormes volúmenes de telemetría ASR con mucho menos cómputo y una respuesta casi en tiempo real.
3. Los operadores de series temporales revelan tendencias sutiles — Operadores como make-series, series_fir y series_decompose ayudan a detectar desviaciones graduales en las reglas ASR y excepciones recurrentes en las directivas que los filtros simples pasan por alto.
4. El enriquecimiento de entidades viene integrado — KQL puede enriquecer los datos de auditoría ASR con inteligencia de amenazas, inventario de dispositivos y atributos de identidad sobre la marcha, generando alertas contextualizadas sin canalizaciones de enriquecimiento independientes.
5. La visualización reduce los falsos positivos — Usar render timechart, barchart y heatmap directamente en las consultas ayuda a los auditores a detectar rápidamente los aciertos anómalos de reglas ASR que merecen investigación frente al ruido de fondo.
6. Los límites de consulta y los controles de coste son precisos — KQL expone controles en tiempo de consulta (como take, limit y row_count_between) y diagnósticos de consulta para que los auditores limiten el uso de recursos y, aun así, extraigan información útil sobre las reglas ASR.
7. Detección avanzada de patrones con regex y secuencias — Combinar regex, mv-expand y el operador sequence permite identificar patrones de ataque complejos de varios pasos en los registros ASR que los simples recuentos de eventos no detectarían.

Configuración del entorno de KQL avanzado

Requisitos previos de KQL

Antes de profundizar en KQL avanzado, debes cumplir ciertos requisitos previos. En primer lugar, asegúrate de tener acceso a Microsoft Defender, ya que proporciona los datos necesarios para tus consultas. Conocer los conceptos básicos de programación también te ayudará a entender mejor KQL. Estos son algunos requisitos clave:

• Acceso a Microsoft Defender: Esta herramienta es esencial para recopilar datos de seguridad.
• Conocimientos básicos de consultas de datos: Saber leer y escribir consultas sencillas hará que tu aprendizaje sea más fluido.
• Familiaridad con los conceptos de seguridad: Entender términos como vulnerabilidades y cumplimiento mejorará tu capacidad para auditar con eficacia.

Herramientas para KQL

Para trabajar de forma eficiente con KQL necesitas las herramientas adecuadas. Estas son algunas herramientas recomendadas para empezar:

• Kusto Query Explorer: Es una herramienta web que te permite escribir y probar tus consultas KQL en tiempo real.
• Azure Data Explorer: Esta plataforma ofrece un entorno robusto para ejecutar consultas KQL sobre grandes conjuntos de datos.
• Portal de Microsoft Defender: Usa este portal para acceder a los datos e información de seguridad, que puedes analizar con KQL.

Configurar tu entorno

Configurar correctamente tu entorno es fundamental para un rendimiento óptimo de KQL. Sigue estos pasos para prepararlo de forma eficaz:

1. Instalar las herramientas necesarias: Empieza instalando Kusto Query Explorer y asegúrate de tener acceso a Microsoft Defender.
2. Configurar los orígenes de datos: Conecta tus herramientas con los orígenes de datos pertinentes. Esta conexión te permite extraer los datos que necesitan tus consultas.
3. Optimizar el rendimiento de las consultas: Utiliza la función materialize para acelerar las consultas almacenando en caché los resultados intermedios. El orden de los operadores dentro de una consulta KQL influye de forma significativa tanto en el resultado como en el rendimiento. Por eso, estructura tus consultas con cuidado para obtener los mejores resultados.

Si sigues estos pasos, tendrás una base sólida para usar KQL avanzado en tus auditorías de ASR. Esta configuración no solo agilizará el proceso de auditoría, sino que también mejorará la precisión de tus conclusiones.

Consultas KQL para auditorías de ASR

Estructura básica de una consulta

Cuando empieces a escribir consultas KQL para auditorías de ASR, es esencial entender la estructura básica. Una consulta KQL suele estar formada por varios componentes que trabajan juntos para recuperar los datos deseados. Estos son los componentes clave de una consulta KQL:

• Nombre de la tabla: Especifica el origen de datos que quieres consultar. Para las auditorías de ASR, puedes usar tablas como DeviceEvents o AlertEvidence.
• Operadores: Son comandos que realizan acciones sobre los datos. Entre los operadores habituales se encuentran where, project y summarize.
• Filtros: Puedes aplicar filtros para acotar los resultados. Por ejemplo, puedes filtrar por fecha o por reglas ASR específicas.
• Funciones: Las funciones permiten manipular los datos. Puedes usarlas para contar ocurrencias o calcular promedios.

La función de caza avanzada de Microsoft Defender para Endpoint te permite realizar un análisis detallado de las reglas ASR mediante consultas KQL personalizadas. Estas consultas pueden ofrecer información sobre las detecciones de reglas, los dispositivos afectados y el impacto en las aplicaciones.

Componentes de una consulta KQL

Este es un ejemplo sencillo de la estructura de una consulta KQL:

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

En este ejemplo, consultas la tabla DeviceEvents, filtras los eventos cuyo tipo de acción es "ASRRuleTriggered" y proyectas únicamente el nombre del dispositivo, la marca de tiempo y el tipo de acción.

Funciones comunes en KQL

KQL incluye varias funciones que amplían tus posibilidades de consulta. Estas son algunas funciones comunes que deberías conocer:

• count(): Esta función cuenta el número de registros que cumplen tus criterios.
• distinct(): Usa esta función para devolver valores únicos de una columna específica.
• summarize: Esta función agrega datos según los criterios especificados, lo que te permite analizar tendencias a lo largo del tiempo.

Técnicas avanzadas de consulta

Una vez que domines lo básico, puedes explorar técnicas avanzadas de KQL para extraer información más detallada de los datos de auditoría de ASR. Estas técnicas te ayudarán a obtener una visión más profunda de tu postura de seguridad.

Filtrar datos de ASR

El filtrado es fundamental cuando quieres centrarte en aspectos concretos de tus datos de ASR. Puedes usar varias condiciones en tu cláusula where para refinar los resultados. Por ejemplo:

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

Esta consulta filtra las activaciones de reglas ASR de los últimos 30 días y resume el número de activaciones por nombre de dispositivo.

Unir tablas de datos

Unir tablas de datos te permite combinar información de distintos orígenes, lo que ofrece una visión más completa de tus auditorías de ASR. Puedes usar el operador join para combinar tablas a partir de un campo común. Este es un ejemplo:

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

En esta consulta, unes la tabla DeviceEvents con la tabla Alerts mediante el campo DeviceId. Así puedes ver qué alertas corresponden a las activaciones de reglas ASR.

Con estas técnicas de KQL, básicas y avanzadas, podrás mejorar de forma notable tus auditorías de ASR. Podrás extraer información útil y tomar decisiones fundamentadas sobre las medidas de seguridad de tu organización.

Interpretar los resultados de auditoría de ASR

Entender los formatos de salida

Cuando ejecutas consultas de KQL, los formatos de salida pueden variar según los datos que consultes. Entender estos formatos te ayuda a extraer información accionable de tus auditorías de ASR. Estos son algunos aspectos clave que conviene tener en cuenta:

• El portal de Microsoft Defender ofrece informes detallados sobre las actividades detectadas. Puedes hacer un seguimiento de la eficacia de las reglas de reducción de la superficie de ataque a través de estos informes.
• Se generan alertas cuando se activan las reglas, lo que te da visibilidad inmediata sobre posibles amenazas.
• Puedes revisar el registro de eventos de Windows. En concreto, filtra por el Id. de evento 1121 en el registro Microsoft-Windows-Windows Defender/Operational para identificar las aplicaciones que habrían sido bloqueadas por las reglas de ASR.

Analizar los resultados de ASR

Analizar los resultados de tus auditorías de ASR es fundamental para medir la eficacia de tus medidas de seguridad. Así es como puedes realizar un análisis exhaustivo:

1. Utiliza el modo de auditoría para obtener información sobre las directivas de ASR.
2. Visita el portal de Microsoft Defender y ve a "Informes".
3. En "Endpoints", selecciona "Reglas de reducción de la superficie de ataque".
4. Filtra las reglas para ver las métricas, eligiendo "Todas" para obtener datos completos.
5. Analiza las "Detecciones auditadas" para evaluar si es necesario tomar las medidas que habrían sido bloqueadas.
6. Revisa periódicamente las tendencias y las configuraciones para asegurarte de que los dispositivos están bien configurados.
7. Utiliza la página "Agregar exclusiones" para gestionar las coincidencias de reglas de ASR concretas.

Siguiendo estos pasos, podrás analizar eficazmente los resultados de tus auditorías y perfeccionar tus estrategias de seguridad.

Identificar brechas de seguridad

Identificar brechas de seguridad es una parte crítica de tu proceso de auditoría de ASR. Puedes usar la información obtenida de tus consultas de KQL para localizar vulnerabilidades en tu postura de seguridad. Estas son algunas estrategias que te ayudarán a identificarlas:

• Busca patrones en los datos. Por ejemplo, si ciertos dispositivos activan con frecuencia las reglas de ASR, es posible que necesiten medidas de seguridad adicionales.
• Compara los resultados de tus auditorías de ASR a lo largo del tiempo. Esta comparación puede revelar si tu postura de seguridad está mejorando o empeorando.
• Utiliza consultas de KQL avanzadas para profundizar en incidentes concretos. Por ejemplo, podrías ejecutar una consulta como DeviceEvents | where ActionType startswith 'Asr' para obtener información que ayude a refinar las directivas.

Al identificar activamente las brechas de seguridad, puedes tomar medidas proactivas para reforzar la seguridad de tu organización y reducir el riesgo de posibles amenazas.

Buenas prácticas para las auditorías de ASR

Calendario de auditorías periódicas

Establecer un calendario de auditorías periódicas es fundamental para mantener la eficacia de tus reglas de reducción de la superficie de ataque. Deberías realizar auditorías al menos trimestralmente. Esta frecuencia te permite estar al día de cualquier cambio en tu panorama de seguridad. Estos son algunos consejos para configurar tu calendario de auditorías:

• Define fechas concretas: Elige días específicos de cada trimestre para realizar tus auditorías. Esta constancia te ayuda a recordar la tarea y a darle prioridad.
• Involucra a tu equipo: Incluye a tu equipo de seguridad en la planificación. Su opinión puede ayudar a identificar los mejores momentos para las auditorías según la carga de trabajo y otros compromisos.
• Usa recordatorios automáticos: Aprovecha las herramientas de calendario para programar recordatorios de las próximas auditorías. La automatización reduce la probabilidad de olvidar una auditoría.

Documentar los hallazgos

Documentar los hallazgos durante las auditorías es esencial para hacer seguimiento del progreso e identificar tendencias. Conviene crear un formato estructurado para la documentación. Te recomendamos incluir los siguientes elementos:

• Fecha de la auditoría: Registra cuándo se realizó la auditoría.
• Resumen de hallazgos: Resume los hallazgos clave, incluidas las reglas de reducción de la superficie de ataque que se hayan activado.
• Recomendaciones: Proporciona recomendaciones accionables basadas en tus hallazgos. Este paso garantiza que abordes cualquier problema identificado con prontitud.
• Acciones de seguimiento: Enumera las acciones de seguimiento necesarias y asigna responsabilidades a los miembros del equipo.

Al mantener una documentación exhaustiva, creas un recurso valioso para auditorías futuras. Este recurso puede ayudarte a comparar resultados a lo largo del tiempo y a afinar tus estrategias de seguridad.

Estrategias de mejora continua

La mejora continua es fundamental para realizar auditorías eficaces. Deberías revisar periódicamente tus procesos de auditoría y ajustarlos según sea necesario. Estas son algunas estrategias para mejorar tus auditorías de ASR:

1. Analiza las tendencias: Busca patrones en los resultados de tus auditorías. Identificar problemas recurrentes te ayudará a centrarte en las áreas que necesitan mejoras.
2. Solicita comentarios: Anima a tu equipo a dar su opinión sobre el proceso de auditoría. Sus aportaciones pueden conducir a mejoras valiosas.
3. Mantente informado: Sigue de cerca las últimas novedades en prácticas de seguridad y auditoría. Asiste a seminarios web, lee artículos y participa en foros para aprender de otros profesionales del sector.
4. Prueba nuevos enfoques: No dudes en experimentar con nuevas técnicas o herramientas de auditoría. Probar métodos distintos puede revelar formas más eficientes de realizar las auditorías.

Al aplicar estas buenas prácticas, podrás mejorar tus auditorías de ASR y reforzar tu postura de seguridad general. Las auditorías periódicas, la documentación exhaustiva y el compromiso con la mejora continua te ayudarán a adelantarte a las posibles amenazas.

Desafíos habituales en las auditorías con KQL

Solución de problemas en consultas KQL

Cuando trabajas con KQL, es posible que te encuentres con problemas que dificultan tu avance. Resolver estos problemas de consulta es esencial para realizar auditorías eficaces. Estos son algunos problemas habituales y sus soluciones:

• Errores de sintaxis: Revisa si hay erratas o sintaxis incorrecta. KQL es sensible al formato. Asegúrate de usar los operadores y funciones correctos.
• Incompatibilidad de tipos de datos: Asegúrate de que los tipos de datos de tus consultas coincidan con los tipos esperados en la base de datos. Por ejemplo, comparar una cadena con un número provocará errores.
• Problemas de rendimiento: Si tus consultas se ejecutan lentamente, considera optimizarlas. Usa la función summarize para reducir la cantidad de datos procesados. Además, filtra los datos lo antes posible dentro de la consulta.

Consejo: Prueba siempre tus consultas por partes. Este enfoque te ayuda a aislar los problemas con mayor eficacia.

Cómo tratar las lagunas de datos

Las lagunas de datos pueden suponer un obstáculo importante durante las auditorías. Los datos ausentes o incompletos pueden llevar a conclusiones erróneas. Estas son algunas estrategias para abordarlas:

1. Comprobaciones periódicas de datos: Programa comprobaciones periódicas de tus fuentes de datos. Asegúrate de que todos los flujos de datos relevantes funcionan correctamente.
2. Uso de alertas: Configura alertas para los puntos de datos críticos. Así podrás reaccionar con rapidez si algún dato deja de estar disponible.
3. Verificación cruzada: Compara los datos de tu auditoría con otras fuentes. Esta práctica te ayuda a detectar discrepancias y a completar la información que falta.

Al abordar de forma proactiva las lagunas de datos, puedes mejorar la fiabilidad de los datos de tu auditoría. Esta fiabilidad es crucial para tomar decisiones de seguridad informadas.

Garantizar el cumplimiento de ASR

Garantizar el cumplimiento de las reglas de ASR es fundamental para mantener la postura de seguridad de tu organización. Estos son los pasos que puedes seguir para asegurar el cumplimiento:

• Auditorías periódicas: Realiza auditorías con frecuencia para verificar que las reglas de ASR se aplican correctamente. Las comprobaciones periódicas te ayudan a detectar cualquier desviación respecto al cumplimiento.
• Documentación: Conserva registros detallados de tus auditorías. Documentar los hallazgos y las acciones realizadas garantiza la rendición de cuentas y sirve de referencia para auditorías futuras.
• Formación: Proporciona formación a tu equipo sobre las reglas de ASR y el uso de KQL. Un equipo bien informado está mejor preparado para mantener el cumplimiento y responder a las amenazas de seguridad.

Si te centras en estos aspectos, podrás reforzar tus esfuerzos de cumplimiento y mejorar tu estrategia de seguridad general.

En resumen, usar KQL avanzado para las auditorías de ASR mejora significativamente tu proceso de auditoría de seguridad. Puedes agilizar el análisis e identificar vulnerabilidades de forma más eficaz. Estos son los puntos clave:

Aplica estas técnicas para mejorar tus procesos de auditoría de forma continua. Mantente proactivo al perfeccionar tus medidas de seguridad. ¡La seguridad de tu organización depende de ello! 🔒

Preguntas frecuentes

¿Qué es KQL avanzado?

KQL avanzado (Kusto Query Language) es un lenguaje de consulta potente que se usa para analizar grandes conjuntos de datos en Microsoft Defender. Te ayuda a extraer información de los datos de seguridad de forma eficiente.

¿Cómo empiezo a usar KQL?

Empieza accediendo a Microsoft Defender y familiarizándote con Kusto Query Explorer. Practica escribiendo consultas sencillas para entender mejor el lenguaje.

¿Puedo automatizar las consultas KQL?

Sí, puedes automatizar las consultas KQL con Azure Logic Apps o Power Automate. Estas herramientas te permiten programar consultas y recibir alertas según condiciones específicas.

¿Cuáles son los errores comunes en KQL?

Entre los errores habituales están los errores de sintaxis, los desajustes de tipos de datos y los problemas de rendimiento. Revisa siempre la estructura de tus consultas y asegúrate de que los tipos de datos coincidan con lo que esperas.

¿Con qué frecuencia debo auditar las reglas ASR?

Deberías realizar auditorías de ASR al menos cada trimestre. Las auditorías periódicas te ayudan a conocer tu postura de seguridad y a garantizar el cumplimiento de las reglas ASR.

¿Qué herramientas admiten KQL?

Las herramientas clave para KQL son Kusto Query Explorer, Azure Data Explorer y el portal de Microsoft Defender. Estas herramientas proporcionan entornos para escribir y probar tus consultas.

¿Cómo puedo mejorar mis habilidades con KQL?

Para mejorar tus habilidades con KQL, practica con regularidad, asiste a sesiones de formación y participa en foros en línea. Relacionarte con la comunidad puede aportarte ideas y consejos muy valiosos.

Uso de la búsqueda avanzada y de Defender: KQL avanzado para auditorías de ASR

¿Qué es el "KQL avanzado para auditorías de ASR" y cómo encaja en la búsqueda avanzada?

El KQL avanzado para auditorías de ASR hace referencia a consultas de Kusto Query Language diseñadas para mostrar información detallada sobre las reglas de reducción de la superficie de ataque (ASR) y sus eventos de auditoría. En la búsqueda avanzada de Defender y en la búsqueda avanzada de Microsoft 365 Defender, estas consultas ayudan a los equipos de búsqueda de amenazas y a los operadores de seguridad a identificar equipos con reglas en modo de auditoría, listas de equipos afectados, implementaciones de directivas a través de Intune y posible actividad maliciosa detectada por Microsoft Defender for Endpoint.

¿Cómo verifico con consultas de búsqueda que las reglas ASR están en modo de auditoría?

Usa consultas de búsqueda avanzada de Defender para obtener los informes de reglas y los eventos de auditoría que muestran qué reglas están habilitadas y en qué modo (auditoría o bloqueo). El KQL típico que muestra información detallada cruza los informes de reglas ASR con las tablas de equipos y eventos para confirmar qué reglas están en auditoría, mostrar los eventos de las reglas de los últimos 30 días y ofrecer distintas formas de verificar los resultados de la auditoría, incluido el cruce con directivas de Intune y la telemetría de Microsoft Defender XDR.

¿Puedo crear una detección personalizada para eventos ASR con Microsoft 365 Defender?

Sí: puedes crear detecciones personalizadas y reglas de detección en Microsoft 365 Defender mediante consultas de búsqueda avanzada. El KQL que muestra información detallada sobre vectores de ataque y actividad de malware te permite implementar detecciones personalizadas para generar alertas ante eventos de reglas repetidos, exclusiones o eventos de auditoría sospechosos que Microsoft recomienda supervisar. Después, puedes convertir esas detecciones en informes de reglas o en playbooks de respuesta automatizada.

¿Cómo informo de la actividad ASR y genero informes de reglas ASR para cumplimiento normativo?

Genera el informe de reglas de reducción de la superficie de ataque y los informes de reglas ASR consultando las reglas de detección y las tablas de búsqueda avanzada de Defender, y exporta los eventos de los últimos 30 días o de intervalos de tiempo personalizados. Usa la API o las funciones de informes integradas de Microsoft 365 para crear paneles que muestren las reglas habilitadas, las reglas en modo de auditoría, el número de equipos afectados y las tendencias útiles para optimizar ASR y gestionar la implementación de reglas ASR en Intune y en dispositivos locales.

¿Cuáles son las formas habituales de verificar la auditoría y optimizar las reglas ASR a partir de los resultados de las consultas?

Las distintas formas de verificar la auditoría incluyen revisar los eventos de auditoría, comparar las reglas de auditoría entre dispositivos, comprobar las directivas de Intune y el estado de su implementación, y buscar amenazas con consultas de caza avanzada para asegurarte de que el modo de auditoría no deja pasar comportamientos maliciosos. Usa los resultados para decidir si pasas a auditoría o a bloqueo, añade exclusiones cuando sea necesario y optimiza ASR ajustando las reglas de protección estándar o implementando reglas de detección adicionales.

¿Cómo puedo buscar amenazas con KQL avanzado en Defender XDR y Microsoft Sentinel?

Escribe consultas de caza avanzada que pasen de Defender for Endpoint a los datos de Microsoft Defender XDR y a los registros de Microsoft Sentinel. Correlaciona los eventos de auditoría de ASR con la telemetría de los endpoints, las detecciones de malware y los indicadores de red para detectar patrones sospechosos. Este enfoque permite la caza de amenazas y ayuda a determinar si los eventos de auditoría corresponden a software legítimo, requieren exclusiones o indican intentos de ataque reales que necesitan una remediación rápida.

¿Qué debo incluir en las consultas para identificar los dispositivos afectados y los detalles de cada regla?

Incluye campos como DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName y DetectionSource en tu KQL. Une los informes o eventos de reglas de ASR con el inventario de dispositivos y las tablas de inscripción de Intune para mostrar las listas de dispositivos afectados, las reglas habilitadas por dispositivo y si una regla está en modo de auditoría o de bloqueo. Este KQL, que muestra información detallada, facilita priorizar la remediación y actualizar los informes de reglas.

¿Con qué frecuencia debo ejecutar las consultas de caza avanzada y hasta dónde debo consultar el histórico (por ejemplo, 30 días)?

Ejecuta las consultas de caza de forma continua o según una programación adecuada a tu modelo de amenazas; una referencia habitual es analizar los últimos 30 días para detectar tendencias y eventos recurrentes. Usa consultas programadas en Microsoft 365 Defender o a través de la API para automatizar los informes de reglas, y ajusta los intervalos según las necesidades de respuesta a incidentes o cuando pruebes reglas en modo de auditoría, para asegurarte de disponer de telemetría suficiente antes de pasar al modo de bloqueo.

¿Cómo afectan las exclusiones y el modo de bloqueo a las auditorías de ASR y qué deben tener en cuenta las consultas?

Las exclusiones y el modo de bloqueo cambian el comportamiento de ASR: las exclusiones suprimen las alertas de aplicaciones legítimas conocidas, mientras que el modo de bloqueo impone la prevención. Las consultas de caza deben tener en cuenta las exclusiones filtrando o marcando los procesos excluidos e incluir campos que indiquen el origen de la directiva (Intune, directiva local). Esto ayuda a interpretar correctamente los eventos de auditoría y a que el paso de auditoría a bloqueo no rompa inesperadamente aplicaciones de negocio críticas.

¿Dónde puedo aprender más sobre KQL y sobre cómo crear consultas de caza avanzada eficaces para ASR?

Empieza con los módulos de Microsoft Learn sobre la caza avanzada en Defender y la caza avanzada en Microsoft 365 Defender, y luego practica la creación de consultas KQL que muestren información detallada usando conjuntos de datos de ejemplo y eventos reales de reglas de ASR. Combina los recursos de la documentación de Microsoft Defender for Endpoint, la guía de reducción de la superficie de ataque de Microsoft Defender y las consultas de caza de la comunidad para ampliar tus conocimientos sobre caza de amenazas, informes de reglas y gestión eficaz de las reglas de ASR.

¿Qué debo hacer si encuentro huecos en los datos?

Si detectas huecos en los datos, realiza comprobaciones periódicas de tus fuentes de datos. Configura alertas para los puntos de datos críticos para responder con rapidez cuando los datos no estén disponibles.