Azure Monitor no es sólo una herramienta de telemetría de rendimiento, es una línea primaria de defensa para las organizaciones que ejecutan cargas de trabajo en Microsoft Azure. Al recopilar y analizar continuamente datos de todo su entorno Azure, permite a los equipos de seguridad detectar anomalías, investigar incidentes y responder a amenazas a velocidad de nube. Este artículo explora cómo utilizar Azure Monitor eficazmente para la detección y respuesta de amenazas de seguridad, desde la configuración de registro integral a la autoinundación.

Understanding Azure Monitor

Azure Monitor es un servicio de plataformas que proporciona un único panel de vidrio para monitorear los recursos, aplicaciones y entornos locales (a través de agentes conectados). Su arquitectura descansa en cuatro pilares básicos:

  • Métricos] – Datos numéricos de las series temporales (por ejemplo, porcentaje de CPU, IOPS en disco) que apoyan la detección de tendencias en tiempo real.
  • Logs] – Datos de texto estructurados o de forma libre recogidos de recursos, aplicaciones y sistemas operativos, analizables con Kusto Query Language (KQL)].
  • Diagnósticos] – Logros de nivel de plataforma de los servicios de Azure, incluidos los Logs de actividad (eventos de control) y los registros de recursos (eventos de plan de datos).
  • Insights] – Experiencias construidas con propósito para monitorear aplicaciones, máquinas virtuales, contenedores y redes.

Para la detección de seguridad, el espacio de trabajo Log Analytics es el repositorio central donde convergen todos estos datos. Cada regla de alerta, de trabajo y automatización interactúa con este espacio de trabajo, haciendo de su configuración la base de una estrategia eficaz de detección de amenazas.

Cómo se diferencia el Monitor Azure de Azure Sentinel

Mientras Azure Monitor se destaca en la telemetría de nivel de recursos, Azure Sentinel es una solución dedicada de información de seguridad y gestión de eventos (SIEM) construida sobre los registros de Azure Monitor. Muchas organizaciones utilizan ambos: Azure Monitor proporciona monitoreo de seguridad operacional y respuesta automatizada para patrones conocidos, mientras que Sentinel agrega inteligencia de amenazas, usuario y entidades comportamiento de análisis (UEBA),

Características clave para la detección de amenazas de seguridad

Para detectar y responder a las amenazas de manera efectiva, necesita una comprensión clara de las características relevantes para la seguridad de Azure Monitor. Cada uno juega un papel específico en el ciclo de vida de detección a respuesta.

Análisis de bitácora y KQL

Log Analytics es el motor de consulta que le permite buscar en segundos a través de terabytes de datos de registro. Por ejemplo, una consulta para encontrar todos los intentos de inicio de sesión fallidos en la última hora podría parecer así:

SigninLogs
| where ResultType == "50057" // User account is disabled
| where TimeGenerated > ago(1h)
| project UserPrincipalName, IPAddress, TimeGenerated

KQL potencia cada libro de trabajo, alerta y dashboard en Azure Monitor. Los analistas de seguridad deben invertir tiempo en aprender patrones de consulta comunes para los intentos de fuerza bruta, geolocalizaciones inusuales, escalada de privilegios y exfiltración de datos.

Alertas y Grupos de Acción

Alertas en Azure Monitor son el mecanismo principal para descubrir amenazas en tiempo real. Puede crear reglas de alerta basadas en los resultados de búsqueda de registros (Log Alerts), umbrales métricos (Metric Alerts), o eventos de registro de actividades. Cada regla está vinculada a un grupo de acción: una colección de acciones de notificación y automatización como correo electrónico, SMS, webhook, creación de boletos ITSM o ejecución de directorios Azure Automation.

Para escenarios de seguridad, utilice Alertas de registro con ajustes de frecuencia tan bajos como un minuto. Por ejemplo, una alerta que activa cuando más de diez entradas fallidas de diferentes direcciones IP ocurren en cinco minutos puede indicar un ataque de pulverización de contraseña distribuido.

Libros de trabajo y tableros de instrumentos

Los cuadernos de trabajo de Azure Monitor proporcionan informes interactivos y parametizados que visualizan datos de seguridad. Un centro de operaciones de seguridad (SOC) puede construir un libro de trabajo que muestra cuenta en tiempo real de alertas de alta perseverancia, IPs de primera fuente y gráficos de series temporales de accesos anómalos. Los cuadernos de trabajo apoyan la colaboración del equipo y pueden compartirse entre sus suscripciones.

Integración con Microsoft Defender para Cloud

Microsoft Defender for Cloud (antes Azure Security Center y Azure Defender) envía sus alertas y recomendaciones de seguridad directamente a Azure Monitor Logs. Esto significa que puede escribir consultas de recursos cruzados que combinan los hallazgos de Defender for Cloud (por ejemplo, “Proceso auspicioso ejecutado”) con registros de VM crudos (por ejemplo, ProcessCreate events). La integración convierte a Azure Monitor en un campo de seguridad unificado para ambas infraestructuras.

Cuentas de automatización y libros de ejecución

Una parte crucial de la respuesta es la velocidad. Los runbooks Azure Automation (PowerShell o Python scripts) pueden ser activados por alertas para tomar acción inmediata, por ejemplo, aislar una VM comprometida aplicando una regla de seguridad de red, o desactivar una cuenta de usuario en Azure Active Directory. Combinados con Grupos de acción, los runbooks permiten realizar juegos totalmente automatizados que se ejecutan en segundos de detección.

Detectar amenazas de seguridad con Azure Monitor

La detección efectiva de amenazas depende de la recopilación de los datos correctos y de la escritura de consultas inteligentes. A continuación se presentan los pasos clave y los patrones de ataque comunes que puede descubrir.

Configuración de la colección de datos

Antes de que pueda detectar cualquier cosa, debe recoger los registros de todas las fuentes relevantes:

  • ]Máquinas virtuales] – Instala el ] Agente de Monitor Azul (AMA) en Windows y Linux VMs. Realizar la colección de Windows Event Logs (Security, System, Application) y Linux Syslog. Para Linux, considere la posibilidad de recoger registros auditados para la actividad de usuario.
  • Azure Resources] – Configurar la configuración de diagnóstico para cada servicio (por ejemplo, Azure SQL Databases, Key Vault, Storage Accounts) para transmitir registros a su espacio de trabajo Log Analytics.
  • Grupos de Seguridad de Redes – Permitir los registros de flujo de NSG y enviarlos al espacio de trabajo a través de la integración de Network Watcher. Estos registros revelan quién se conecta con sus recursos y desde dónde.
  • Azure Active Directory – Stream sign-in logs, audit logs, and provisioning logs to the workspace. Esto cubre amenazas basadas en la identidad.
  • Aplicaciones] – Usar Insights de Aplicación para recopilar errores HTTP, patrones de llamadas de dependencia y seguimiento de eventos personalizados. Un pico inusual en errores puede indicar un DoS o un ataque de relleno credencial.

Escribir KQL Consultas para amenazas comunes

Una vez que los datos se están fluyendo, construya una biblioteca de consultas KQL que apuntan señales de alta fidelidad. Aquí están tres ejemplos prácticos:

Ejemplo 1: Ataque de fuerza bruta a RDP/SSH

Event
| where TimeGenerated > ago(10m)
| where EventID == 4625 // Failed logon on Windows
| summarize FailedAttempts = count() by Account, Computer, SourceIP = IpAddress
| where FailedAttempts > 5

Para Linux SSHD: combinar entradas Syslog con la instalación “auth” y el mensaje que contiene “contraseña fallida”.

Ejemplo 2: Exfiltración de datos por tráfico anómalo

Combine los registros de flujo NSG con indicadores de Inteligencia de Amenaza:

AzureNetworkAnalytics_CL
| where FlowType_s == "FlowEvent"
| where FlowDirection_s == "Outbound"
| where FlowStatus_s == "Allowed"
| where TimeGenerated > ago(1h)
| join kind=inner (
 ThreatIntelligenceIndicator
 | where Active == true
 ) on $left.DestinationIP_s == $right.NetworkIP
| project TimeGenerated, SourceIP_s, DestinationIP_s, Bytes_s, NetworkIP, ThreatType

Para utilizar esto, configure los indicadores de Inteligencia de Amenazas usando la API de Indicadores de la Amenaza – Subir o integrarse con los alimentarios de terceros.

Ejemplo 3: Escalada de Privilege mediante la ejecución de PowerShell Suspiciosa

Event
| where TimeGenerated > ago(1d)
| where EventID == 4688 // Process creation
| where CommandLine contains "powershell"
| where CommandLine contains "-EncodedCommand" or CommandLine contains "-WindowStyle Hidden"
| project TimeGenerated, Computer, UserName, CommandLine

Configuración de alertas inteligentes

Evite la fatiga de alerta ajustando sus reglas. Use umbrales dinámicos para alertas métricas (por ejemplo, aumentos de tráfico desbordados más de 3 desviaciones estándar por encima de la base). Para alertas de registro, considere usar la búsqueda de registro de datos personales con una frecuencia de cada uno o cinco minutos.

Siempre las reglas de alerta de prueba en un espacio de trabajo no productivo antes de desplegar. Utilice la función de previsualización de acceso para ver cuántas veces la consulta habría disparado en las últimas 24 horas.

Respuesta a las amenazas de seguridad

La detección sin respuesta es sólo ruido. Azure Monitor proporciona varias maneras de convertir las alertas en acción.

Remediación automatizada a través de la automatización Azure

Crear cuadernos para incidentes comunes. Por ejemplo, un cuaderno de ejecución activado por una alerta “Usuario Compromiso” puede:

  1. Desactivar la cuenta de usuario en Azure AD utilizando el cmdlet.
  2. Eliminar al usuario de todos los grupos privilegiados.
  3. Revoke todos los tokens de actualización a través de la API de Gráficos.
  4. Inicie las acciones en un espacio de trabajo independiente “Audit”.

Enlace este runbook al Grupo de Acción de la regla de alerta bajo el tipo de acción “Runbook”. Asegúrese de que la cuenta de automatización tiene los permisos de identidad correctos gestionados para Azure AD y las operaciones de recursos.

Corrientes de trabajo manuales de investigación

Para alertas que necesitan juicio humano, diseño de libros de trabajo que guían a analistas a través de triage. Un libro de trabajo típico de investigación podría incluir:

  • Línea de tiempo del recurso afectado (alertos, logotipos, inicios de proceso)
  • Geo-mapa de IPs de origen
  • Consulta de la Cruz-Corelación: por ejemplo, “¿ha accedido este usuario a algún otro recurso sensible recientemente?”
  • Enlace para crear un incidente de Sentinel (si se integra Sentinel) o un ticket en su plataforma de gestión de servicios de TI.

Integración con la gestión de servicios de TI (ITSM)

El conector ITSM de Azure Monitor permite realizar las descargas de pago de alerta para crear entradas automáticamente en ServiceNow, Jira u otros sistemas. Esto garantiza que se respeten los flujos de trabajo existentes del equipo SOC. Los mapas de conectores Azure Monitor severidad con la urgencia de ITSM y el contexto de alerta detallado se incluye en la descripción de las entradas.

Análisis post-incidente

Después de un incidente, utilice la retención de Azure Monitor (hasta dos años para consultas interactivas, más largas para los registros archivados) para realizar un análisis de causa raíz. Cree un libro de trabajo que replaye el calendario del evento e identifique las lagunas en las reglas de detección. Actualice su biblioteca de alertas basado en las lecciones aprendidas.

Buenas prácticas para utilizar el Monitor Azure en operaciones de seguridad

1. Centralizar los registros en un espacio de trabajo único (o Hub-and-Spoke)

Para las grandes organizaciones, utilice un espacio de trabajo Log Analytics dedicado a la seguridad por medio ambiente (producción, no producción). Para una visibilidad plena, considere un modelo de referencia y expresión donde todos los registros fluyan a un espacio de trabajo central para la caza de subscripción cruzada, mientras que cada unidad de negocios conserva un espacio de trabajo regional para la vigilancia operacional.

2. Definir las Severidades de Alerta Clara y las SLA

Documenta lo que significa cada nivel de gravedad y lo rápido que debe ser abordado. Por ejemplo:

  • Sev 0] (Critical): compromiso confirmado o exfiltración de datos – responder en un plazo de 15 minutos.
  • Sev 1] (High): actividad sospechosa que requiere investigación – responde dentro de 1 hora.
  • Sev 2 (Medio): violación de políticas o anomalía menor – responder para el día siguiente del negocio.

Forzar estos SLA usando acciones de escalada automatizadas en sus Grupos de Acción (por ejemplo, llame a un ingeniero de guardia después de 10 minutos de alerta Sev 0 no reconocida).

3. Uso de identidades administradas para la seguridad de Runbook

Nunca guarde credenciales en los libros de cálculo. Use Azure Automation gestiona identidades con la autenticación de Azure AD para autorizar operaciones. Conceda la identidad administrada sólo los permisos mínimos necesarios (por ejemplo, Contribuidor de Máquina Virtual para iniciar / detener VMs, pero no Contributor en toda la suscripción).

4. Consultas y Alertas de Tune

Los atacantes cambian tácticas y su entorno evoluciona. Programa una revisión mensual de reglas de alerta: deshabilitar reglas falsas positivas, ajustar umbrales y añadir nueva lógica de detección para patrones de ataque emergentes (por ejemplo, detección del uso de nuevas variantes de ransomware a través de nombres de procesos).Utilice la pestaña de Azure Monitor incorporado Alert Rule Costs] computar recursos para ver qué reglas

5. Activar y revisar los registros de actividad de Azure

La Actividad Log registra todos los cambios de plan de control (por ejemplo, la creación de una VM, la modificación de grupos de seguridad de red, la eliminación de recursos). Operaciones privilegiadas como la desactivación de registros de seguridad o la eliminación de ajustes de diagnóstico son banderas rojas. Cree una alerta que dispara cuando se elimina un ajuste de diagnóstico de cualquier recurso, es una técnica común de “vivir de la tierra” utilizada por adversarios avanzados.

6. Combinar con Microsoft Defender para las recomendaciones de Cloud

Defender for Cloud genera recomendaciones de seguridad (por ejemplo, “Las máquinas virtuales deben ser migradas a nuevos recursos de Azure ARM”). Utilice Azure Monitor para rastrear los recursos que no cumplen. Cree manuales de trabajo personalizados que muestren el progreso de la remediación de recomendaciones de alta perseverancia, y active corredores automatizados para fijar las configuraciones comunes (por ejemplo, habilitar el cifrado en las cuentas de almacenamiento).

Conclusión

Azure Monitor es mucho más que un panel de salud para su infraestructura de nube. Cuando está configurado correctamente, se convierte en un poderoso sistema de alerta temprana para amenazas de seguridad —detección de comportamiento anómalo, alerta a las personas adecuadas, y automatización de respuestas inmediatas. Al centralizar los registros, escribir consultas precisas de KQL, detección de agrupación con corredores automáticos, y ajustar regularmente sus reglas, su organización puede reducir drásticamente el tiempo de seguridad para detectar (MT)

Comience por auditar su espacio de trabajo Log Analytics actual: asegúrese de que está recolectando los registros que importan (Inscríbete AAD, eventos de seguridad VM, registros de flujo NSG) y que tiene al menos una respuesta automatizada para un escenario de alta prioridad. Desde allí, construir una biblioteca de consultas de detección, ajustar los umbrales de alerta e integrarse con sus procesos de gestión de incidentes existentes.