Curso de Microsoft Sentinel para equipos de ciberseguridad y SOC

Comprensión del cambio estratégico de Sentinel hacia Microsoft Defender Portal y la experiencia de operaciones de seguridad unificadas.

Revisión de la fecha clave: después del 31 de marzo de 2027 Sentinel dejará de estar soportado en Azure Portal y se utilizará en Defender Portal.

Identificación de beneficios de la experiencia unificada: incident queue, investigación centralizada, alertas, XDR, SIEM, exposición, threat intelligence e IA generativa.

Diferenciación entre capacidades de Sentinel puras y capacidades adicionales al combinarlo con Defender XDR.

Revisión de navegación, menús, incidentes, hunting, analytics, content hub y configuración dentro del portal moderno.

Preparación de plan de transición desde Azure Portal a Defender Portal para organizaciones existentes.

Identificación de funcionalidades limitadas cuando Sentinel se usa sin Defender XDR u otros servicios Microsoft habilitados.

Diseño de roles y permisos para analistas que trabajan en el portal unificado.

Creación de procedimientos operativos para que el SOC investigue desde una consola central.

Ejercicio práctico: definir roadmap de adopción de Defender Portal para un SOC que ya usa Sentinel.

Diseño de arquitectura de Microsoft Sentinel basada en uno o varios Log Analytics workspaces según región, tenant, unidad de negocio, entorno o requisitos regulatorios.

Comparación entre workspace centralizado, workspaces por región, workspaces por tenant y modelos híbridos.

Evaluación de impacto de multi-workspace en detección, costes, consultas, administración y reporting.

Diseño de naming convention, etiquetas, grupos de recursos, suscripciones y ownership.

Gestión de permisos mediante Azure RBAC, roles de Sentinel, Log Analytics y privilegios mínimos.

Preparación de entornos de desarrollo, pruebas y producción para contenido Sentinel.

Evaluación de integración con Microsoft Lighthouse, Azure Arc o escenarios multi-tenant cuando proceda.

Diseño de separación entre datos productivos, laboratorio, auditoría y entornos sensibles.

Documentación de arquitectura, dependencias y responsables.

Ejercicio práctico: diseñar arquitectura de workspaces para una empresa con varias filiales y requisitos de residencia de datos.

Configuración de conectores para Microsoft Defender XDR, Defender for Endpoint, Defender for Office 365, Defender for Identity, Defender for Cloud Apps y Defender for Cloud.

Integración de Entra ID, sign-in logs, audit logs, identity protection y actividad de usuarios.

Conexión con Microsoft 365, Exchange, SharePoint, Teams y eventos de colaboración.

Revisión de qué tablas genera cada conector y qué casos de uso habilita.

Priorización de fuentes Microsoft según madurez, volumen, coste y valor defensivo.

Validación de ingesta y detección de errores en conectores.

Gestión de permisos necesarios para activar conectores.

Diseño de casos de uso de detección a partir de identidad, endpoint, correo y cloud.

Revisión del catálogo de conectores out-of-the-box de Microsoft Sentinel, actualizado por Microsoft con pasos de despliegue para cada conector.

Ejercicio práctico: seleccionar conectores Microsoft prioritarios para un SOC corporativo.

Integración de fuentes externas como AWS, Google Cloud, firewalls, proxies, VPN, EDR no Microsoft, IAM, CASB, SaaS, DNS, WAF y aplicaciones corporativas.

Evaluación de métodos de ingesta: conectores nativos, CEF, Syslog, AMA, API, Event Hub, Logic Apps, custom logs y data collection rules.

Diseño de casos de uso por fuente externa: acceso anómalo, tráfico sospechoso, cambios administrativos, actividad cloud, malware, exfiltración y abuso de credenciales.

Control de volumen y coste antes de incorporar fuentes de alto ruido.

Normalización de logs heterogéneos para que sean útiles en detecciones e investigaciones.

Gestión de credenciales, tokens, permisos y secretos usados por conectores.

Validación de parsing, timestamps, campos críticos y consistencia.

Documentación de cada fuente: owner, finalidad, tablas, coste, retención y detecciones asociadas.

Revisión de conectores y playbooks SOAR disponibles para integrar productos y servicios del entorno.

Ejercicio práctico: diseñar plan de incorporación de fuentes no Microsoft priorizadas por riesgo.

Comprensión del papel de Azure Monitor Agent en la ingesta moderna de logs desde servidores, appliances y entornos híbridos.

Diseño de recolección de Syslog y CEF para firewalls, proxies, VPN, Linux, appliances de seguridad y soluciones de terceros.

Configuración conceptual de Data Collection Rules para controlar qué datos se recopilan y dónde se envían.

Validación de facility, severity, host, timestamp, device vendor, device product y campos CEF relevantes.

Gestión de problemas comunes: parsing incorrecto, timezone, duplicidad, pérdida de eventos, agentes sin conectividad y errores de certificados.

Diseño de arquitectura con log forwarders y alta disponibilidad.

Filtrado previo de eventos innecesarios para reducir ruido y coste.

Documentación de configuración de cada fuente Syslog/CEF.

Preparación de monitorización del estado de agentes y conectores.

Ejercicio práctico: diseñar pipeline de ingesta CEF para firewall corporativo.

Comprensión de tablas principales de Sentinel y Log Analytics: SecurityAlert, SecurityIncident, SigninLogs, AuditLogs, CommonSecurityLog, Device*, Email*, Identity- y tablas personalizadas.

Uso de ASIM como capa de normalización para consultas, detecciones y hunting reutilizable entre fuentes diferentes.

Diseño de detecciones basadas en modelos normalizados para no depender de un único fabricante.

Identificación de campos clave: TimeGenerated, Account, IPAddress, DeviceName, URL, Action, Result, ThreatName, Entity y Severity.

Revisión de problemas de normalización que rompen correlaciones: nombres inconsistentes, campos vacíos, timestamps erróneos y logs incompletos.

Creación de criterios de calidad de datos antes de usar una fuente para detección.

Uso de parsers para adaptar logs personalizados al modelo de consulta.

Documentación de esquemas y campos críticos por fuente.

Preparación de queries reutilizables para analistas.

Ejercicio práctico: normalizar campos de una fuente ficticia para hunting y detección.

Dominio de operadores básicos de KQL: `where`, `project`, `extend`, `summarize`, `order by`, `take`, `distinct`, `join`, `union` y `let`.

Filtrado temporal y uso correcto de `TimeGenerated` para investigaciones rápidas.

Creación de consultas legibles y mantenibles para analistas SOC.

Uso de agregaciones para detectar patrones, picos, usuarios, IPs, dispositivos y anomalías.

Enriquecimiento de eventos con campos calculados y normalización de valores.

Uso de joins para correlacionar identidad, endpoint, red y correo.

Optimización básica de consultas para reducir coste y mejorar rendimiento.

Conversión de consultas de investigación en detecciones candidatas.

Creación de una biblioteca inicial de queries del SOC.

Ejercicio práctico: construir consultas KQL para investigar accesos sospechosos, malware y actividad administrativa.

Uso de `make_set`, `make_list`, `mv-expand`, `parse`, `extract`, `bag_unpack`, `series`, `bin`, `arg_max` y funciones avanzadas.

Creación de detecciones basadas en ventanas temporales, comportamiento histórico, rareza y correlación multi-fuente.

Diseño de consultas con variables, funciones reutilizables y parámetros.

Optimización avanzada para grandes volúmenes: filtrar pronto, proyectar campos necesarios, evitar joins costosos y usar tablas adecuadas.

Correlación de señales de identidad, endpoint, correo, red y cloud.

Búsqueda de patrones de ataque asociados a MITRE ATT&CK.

Creación de consultas robustas frente a ruido y falsos positivos.

Documentación de hipótesis, fuentes requeridas y límites de cada query.

Preparación de queries para analytics rules, hunting queries y workbooks.

Ejercicio práctico: crear hunting query avanzada para detección de movimiento lateral o abuso de identidad.

Diseño de reglas analíticas scheduled, near-real-time, Microsoft security, Fusion y detecciones basadas en ML cuando apliquen.

Configuración de severidad, entidades, tácticas MITRE, descripción, frecuencia, periodo de búsqueda y agrupación de eventos.

Creación de reglas personalizadas a partir de hipótesis de ataque y queries KQL validadas.

Reducción de falsos positivos mediante thresholds, allowlists, watchlists y contexto de negocio.

Diseño de naming convention para reglas, versiones, owners y estado.

Mapeo de entidades para mejorar investigación: account, host, IP, URL, file, process y cloud resource.

Gestión de lifecycle de reglas: draft, testing, production, tuning, retired.

Revisión de reglas out-of-the-box antes de habilitarlas.

Documentación de lógica, fuentes, respuesta esperada y playbooks asociados.

Ejercicio práctico: crear regla analítica para actividad anómala de cuenta privilegiada.

Comprensión de cómo Sentinel agrupa alertas en incidentes y cómo el analista debe gestionarlos.

Diseño de proceso de triage: validar, clasificar, asignar, investigar, escalar, cerrar y documentar.

Uso de entidades, timeline, alertas relacionadas, comentarios y evidencias.

Priorización por severidad, impacto, activo, usuario, exposición y contexto.

Creación de criterios de cierre: true positive, false positive, benign positive, duplicate o informational.

Redacción de comentarios útiles para handoff entre analistas.

Gestión de incidentes correlacionados con Defender XDR en el portal unificado.

Definición de SLAs internos para investigación y respuesta.

Medición de MTTD, MTTR, backlog y tasa de falsos positivos.

Ejercicio práctico: investigar un incidente ficticio desde alerta inicial hasta cierre documentado.

Uso de entidades como eje de investigación: usuarios, hosts, IPs, archivos, URLs, procesos, cuentas cloud y recursos.

Análisis de relaciones entre entidades para reconstruir actividad sospechosa.

Uso de gráficos, timeline e información contextual para acelerar investigación.

Enriquecimiento de entidades con watchlists, threat intelligence y datos externos.

Identificación de entidades críticas: cuentas privilegiadas, servidores críticos, endpoints sensibles y sistemas expuestos.

Creación de consultas centradas en entidad para investigar actividad antes y después del incidente.

Documentación de hallazgos por entidad afectada.

Gestión de entidades compartidas entre incidentes.

Integración con UEBA para comportamiento de usuario.

Ejercicio práctico: reconstruir actividad sospechosa de un usuario comprometido.

Diferenciación entre automation rules y playbooks basados en Azure Logic Apps.

Diseño de automatizaciones para asignar incidentes, cambiar severidad, añadir etiquetas, enriquecer datos, notificar y escalar.

Creación de playbooks para Teams, Outlook, ServiceNow, Jira, Defender, Entra, firewalls y sistemas externos.

Aplicación de aprobación humana antes de acciones sensibles como bloqueo de usuario, aislamiento de dispositivo o eliminación de permisos.

Gestión de permisos de Logic Apps, identidades administradas, conectores y secretos.

Prevención de automatizaciones peligrosas que cierran incidentes o ejecutan contención sin contexto suficiente.

Registro de resultados de playbooks en comentarios de incidente.

Monitorización de ejecuciones, errores y tiempos de respuesta.

Uso del catálogo SOAR de Sentinel para acelerar integraciones.

Ejercicio práctico: diseñar playbook de enriquecimiento y notificación para phishing.

Comprensión de Azure Logic Apps como motor de automatización detrás de playbooks de Sentinel.

Diseño de flujos con triggers de incidente, acciones condicionales, bucles, scopes, control de errores y conectores.

Integración con Teams, Outlook, Defender, Entra, ServiceNow, Jira, HTTP, APIs y sistemas internos.

Gestión de credenciales y secretos mediante identidades administradas y Key Vault cuando proceda.

Control de errores, reintentos y timeouts en playbooks críticos.

Diseño de playbooks reutilizables para distintos tipos de incidente.

Documentación de entradas, salidas, owners y permisos.

Separación entre automatización de bajo riesgo y respuesta de alto impacto.

Pruebas de playbooks en entorno de laboratorio.

Ejercicio práctico: crear diseño de Logic App para intake, enriquecimiento y escalado de incidente.

Ingesta y gestión de indicadores de compromiso desde fuentes Microsoft, TAXII, STIX, Defender Threat Intelligence, MISP u otras plataformas.

Uso de indicadores para enriquecer alertas, hunting, reglas analíticas e investigaciones.

Gestión de ciclo de vida de IoCs: alta, expiración, confianza, fuente, severidad y falso positivo.

Correlación entre IoCs y eventos internos.

Creación de detecciones basadas en IPs, dominios, URLs, hashes y comportamiento asociado.

Prevención de ruido por feeds de baja calidad.

Priorización de inteligencia relevante para el sector y superficie de ataque.

Integración con MITRE ATT&CK y campañas conocidas.

Preparación de informes de threat intelligence para el SOC.

Ejercicio práctico: diseñar proceso de uso de IoCs para hunting e incidentes.

Comprensión de User and Entity Behavior Analytics como capacidad para detectar anomalías de comportamiento de usuarios y entidades.

Revisión de cómo UEBA puede acelerar flujos de detección mediante visibilidad sobre comportamiento anómalo.

Identificación de escenarios: cuentas comprometidas, movimiento lateral, acceso inusual, actividad privilegiada, cambio de ubicación y anomalías de dispositivo.

Uso de insights de entidad durante investigación.

Integración de UEBA con incidentes, hunting y análisis de riesgo.

Revisión de novedades recientes como el widget de UEBA en Defender Portal en preview anunciado por Microsoft en enero de 2026.

Ajuste de expectativas: UEBA no sustituye detecciones deterministas ni análisis humano.

Reducción de falsos positivos mediante contexto de negocio.

Documentación de casos de uso UEBA por perfil de usuario.

Ejercicio práctico: investigar comportamiento anómalo de cuenta desde perspectiva UEBA.

Diseño de hipótesis de hunting basadas en amenazas, activos críticos, MITRE ATT&CK, vulnerabilidades y cambios recientes.

Uso de hunting queries para buscar señales débiles no cubiertas por detecciones existentes.

Creación de hunts recurrentes y campañas de búsqueda.

Organización de hunting por técnica: phishing, persistencia, credenciales, movimiento lateral, exfiltración y abuso cloud.

Gestión de hallazgos de hunting y conversión en reglas analíticas.

Uso de bookmarks para marcar eventos relevantes durante investigaciones.

Documentación de hipótesis, query, resultados, falsos positivos y acciones.

Integración de threat intelligence en hunting.

Medición del valor de hunting para mejorar detección.

Ejercicio práctico: ejecutar hunting conceptual de abuso de credenciales en entorno ficticio.

Mapeo de reglas, hunting queries, alertas e incidentes a tácticas y técnicas MITRE ATT&CK.

Identificación de gaps de cobertura por táctica: Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Exfiltration e Impact.

Creación de matriz de cobertura del SOC basada en fuentes disponibles.

Priorización de técnicas relevantes para el sector y stack tecnológico.

Uso de MITRE para explicar madurez de detección a dirección.

Diseño de detecciones a partir de técnicas críticas.

Evaluación de cobertura defensiva frente a ransomware, phishing, BEC y cloud attacks.

Conexión entre MITRE, threat intelligence y analytics rules.

Documentación de dependencias de datos para cada técnica.

Ejercicio práctico: construir matriz de cobertura MITRE para Sentinel.

Creación de workbooks para visualización de incidentes, ingesta, coste, fuentes, usuarios, endpoints, cloud, MITRE y KPIs SOC.

Uso de parámetros, filtros, gráficos, tablas, queries y visualizaciones dinámicas.

Diseño de dashboards para analistas, responsables SOC, CISO, GRC y operaciones.

Creación de workbooks de salud de conectores, errores de ingesta y volumen de datos.

Visualización de tendencias de incidentes, falsos positivos, severidad y tiempos de respuesta.

Integración de KQL avanzado en paneles reutilizables.

Evitación de dashboards decorativos sin acciones claras.

Documentación de propietario y finalidad de cada workbook.

Revisión de contenido del Content Hub como punto de partida.

Ejercicio práctico: diseñar workbook SOC ejecutivo y workbook técnico de ingesta.

Uso de Content Hub para descubrir, instalar y gestionar soluciones, analytics rules, workbooks, playbooks, parsers y hunting queries.

Revisión de contenidos por tecnología: Microsoft, AWS, Cisco, Palo Alto, Fortinet, Okta, Zscaler, SAP, ServiceNow y otros.

Evaluación de calidad y pertinencia antes de habilitar contenido out-of-the-box.

Adaptación de reglas instaladas a contexto, naming convention y política interna.

Gestión de versiones y actualizaciones de soluciones.

Documentación de dependencias de datos y permisos.

Retirada de contenido que genera ruido o no aporta valor.

Creación de contenido interno reutilizable.

Alineación con casos de uso SOC.

Ejercicio práctico: seleccionar un paquete de contenido y planificar su adaptación al entorno.

Creación de watchlists para activos críticos, VIPs, cuentas de servicio, IPs internas, proveedores, aplicaciones, excepciones y allowlists.

Uso de watchlists en KQL, reglas analíticas y hunting.

Gestión de ciclo de vida de listas: owner, actualización, expiración y validación.

Prevención de allowlists demasiado amplias que oculten ataques.

Enriquecimiento de incidentes con criticidad de activo, propietario, entorno y función de negocio.

Uso de watchlists para reducir falsos positivos.

Integración con CMDB o inventario cuando exista.

Documentación de fuentes de verdad para cada lista.

Control de cambios sobre listas sensibles.

Ejercicio práctico: crear watchlist de activos críticos y usarla en una regla.

Comprensión del modelo de costes de Sentinel, donde los costes dependen de ingesta, retención, Azure Monitor, servicios asociados y configuración.

Diseño de estrategia de ingesta por valor defensivo: no todos los logs merecen estar en Analytics tier.

Revisión de planes de logs, retención, archive, search y estrategias para datos de investigación o cumplimiento.

Identificación de fuentes ruidosas: firewalls, DNS, proxies, endpoints, debug logs, cloud audit y aplicaciones.

Uso de filtros, transformaciones y Data Collection Rules para reducir volumen.

Creación de workbooks de coste por tabla, fuente, conector y tendencia.

Evaluación de compromiso entre visibilidad, coste y retención.

Preparación de previsiones presupuestarias y alertas de coste.

Revisión del pricing flexible de Sentinel con tiers de datos orientados a equilibrar cobertura y coste.

Ejercicio práctico: optimizar una arquitectura de ingesta con reducción de coste sin perder detección crítica.

Comprensión de Sentinel Data Lake como evolución para almacenamiento y análisis de seguridad a gran escala.

Diferenciación entre Analytics tier para detección, alertas e incident management, y Data Lake tier para optimización de coste y retención amplia.

Diseño de estrategia de qué datos mantener en Analytics y cuáles derivar a tiers de menor coste o data lake.

Evaluación de casos de uso: forense, cumplimiento, hunting histórico, investigación retrospectiva y retención extendida.

Revisión de impacto en queries, detecciones, reporting y tiempos de acceso.

Planificación de retención por tipo de dato: identidad, endpoint, red, cloud, SaaS, auditoría y aplicaciones.

Identificación de datos de alto valor para detección inmediata frente a datos útiles para investigación posterior.

Gestión de cumplimiento y evidencias con retención adecuada.

Documentación de política de almacenamiento de seguridad.

Ejercicio práctico: diseñar modelo de retención y tiers para una empresa regulada.

Uso de summary rules para resumir datos de alto volumen y mejorar consultas operativas.

Diseño de tablas agregadas para dashboards, detecciones de tendencia y reporting ejecutivo.

Evaluación de cuándo transformar datos en ingesta frente a transformar en consulta.

Reducción de cardinalidad y ruido antes de almacenar.

Creación de datos derivados para hunting y detección.

Gestión de pipelines de datos de seguridad con criterios de coste y rendimiento.

Validación de que las transformaciones no eliminan evidencias críticas.

Documentación de lógica de transformación.

Coordinación entre ingeniería de datos, SOC y compliance.

Ejercicio práctico: diseñar resumen diario de actividad de autenticación y alertas.

Comprensión de la integración entre Sentinel y Defender XDR dentro del portal unificado.

Revisión de cómo Defender XDR recopila, correlaciona y analiza señales de endpoints, identidades, email, aplicaciones y recursos OT/IoT.

Gestión de incidentes combinados entre XDR y SIEM.

Identificación de cuándo investigar en Defender, cuándo en Sentinel y cuándo correlacionar ambos.

Uso de incident queue, entidades, timeline y alertas correlacionadas.

Diseño de casos de uso: phishing con endpoint impactado, identidad comprometida, correo malicioso y actividad cloud.

Preparación de workflows SOC para entornos Microsoft-first.

Reducción de duplicidad de alertas entre Defender y Sentinel.

Creación de playbooks y reglas que aprovechen señales XDR.

Ejercicio práctico: diseñar investigación de incidente multi-etapa con Defender XDR y Sentinel.

Conexión de Defender for Cloud con Sentinel para alertas, recomendaciones y postura de seguridad.

Diseño de casos de uso en Azure, AWS y Google Cloud: exposición pública, cambios de IAM, vulnerabilidades, workload protection y actividad sospechosa.

Correlación entre alertas cloud, identidad, red y actividad de aplicaciones.

Priorización de incidentes cloud por criticidad de recurso y exposición.

Creación de reglas para actividad administrativa sospechosa.

Uso de workbooks para postura cloud y tendencias de incidentes.

Integración con procesos de remediación y owners de plataforma.

Revisión de costes de ingesta cloud.

Documentación de playbooks de respuesta cloud.

Ejercicio práctico: diseñar detección de cambio crítico en recurso cloud.

Ingesta y análisis de sign-in logs, audit logs, risky users, risky sign-ins y cambios de configuración.

Detección de password spray, impossible travel, MFA fatigue, cambios de privilegio, consent grant abuse y actividad de cuentas de servicio.

Diseño de reglas analíticas para cuentas privilegiadas y aplicaciones empresariales.

Uso de watchlists para VIPs, admins, break-glass accounts y cuentas críticas.

Correlación entre identidad, endpoint, correo y cloud.

Creación de hunting queries para abuso de identidad.

Integración con Entra ID Protection y Conditional Access.

Diseño de playbooks de respuesta ante cuenta comprometida.

Métricas de riesgo de identidad para dirección.

Ejercicio práctico: investigar actividad anómala de usuario privilegiado.

Integración de señales de Defender for Office 365, Exchange Online, URLs, adjuntos, remitentes y actividad de usuario.

Detección de phishing, BEC, malware en correo, reglas de buzón sospechosas y abuso de cuentas.

Correlación entre correo recibido, clics, autenticaciones, endpoint y creación de reglas de reenvío.

Diseño de reglas para campañas de phishing dirigidas.

Creación de playbooks para notificar usuarios, abrir ticket, buscar mensajes similares y escalar a SOC.

Uso de threat intelligence para dominios y URLs sospechosas.

Métricas de campañas y usuarios afectados.

Preparación de informes para concienciación.

Reducción de falsos positivos en alertas de correo.

Ejercicio práctico: investigar campaña de phishing simulada desde Sentinel.

Integración de señales endpoint desde Defender for Endpoint u otras fuentes EDR.

Detección de ejecución sospechosa, powershell anómalo, persistencia, movimiento lateral, credenciales y ransomware.

Correlación de procesos, archivos, usuario, host, IP y alertas.

Diseño de hunting queries para comportamientos asociados a MITRE ATT&CK.

Creación de incidentes enriquecidos con entidad host y usuario.

Preparación de playbooks de aislamiento, notificación y escalado con aprobación humana.

Métricas de endpoint coverage y respuesta.

Documentación de timeline de infección.

Integración con threat intelligence y hash reputation.

Ejercicio práctico: reconstruir cadena de infección ransomware ficticia.

Ingesta de logs de firewalls, DNS, proxy, VPN, IDS/IPS, WAF y soluciones de red mediante CEF, Syslog o conectores.

Detección de C2, exfiltración, escaneo, conexiones a dominios sospechosos, tráfico anómalo y accesos VPN inusuales.

Normalización de campos de red para hunting y dashboards.

Correlación de IPs, usuarios, dispositivos y destinos externos.

Gestión de ruido de fuentes de alto volumen.

Creación de watchlists para redes internas, proveedores, sedes y activos críticos.

Diseño de alertas de tráfico fuera de patrón.

Visualización de tendencias y top talkers.

Integración con threat intelligence.

Ejercicio práctico: crear detección de conexión sospechosa a infraestructura externa.

Ingesta de logs de aplicaciones propias mediante custom logs, API, Event Hub o agentes.

Definición de campos mínimos para detección: usuario, sesión, IP, acción, resultado, recurso, error, tenant y correlación.

Diseño de detecciones sobre abuso funcional, fraude, cambios críticos, errores de autorización y actividad anómala.

Normalización de logs de aplicación para consultas consistentes.

Colaboración con equipos de desarrollo para mejorar logging de seguridad.

Gestión de volumen y retención de logs personalizados.

Creación de dashboards de actividad crítica de aplicación.

Integración con incidentes y playbooks.

Documentación de contrato de logging seguro.

Ejercicio práctico: diseñar esquema de logs de seguridad para aplicación corporativa.

Uso conceptual de notebooks para investigaciones avanzadas, enriquecimiento, análisis estadístico y hunting complejo.

Integración con datos de Sentinel para análisis fuera de queries tradicionales.

Aplicación de notebooks en investigación de grandes volúmenes, clustering, timeline y enriquecimiento externo.

Revisión de librerías, entornos y permisos necesarios.

Identificación de casos donde KQL es suficiente y donde notebook aporta valor.

Diseño de análisis reproducibles y documentados.

Gestión de datos sensibles en notebooks.

Creación de informes técnicos desde análisis avanzado.

Coordinación entre threat hunters y data scientists.

Ejercicio práctico: diseñar workflow de notebook para investigación retrospectiva.

Comprensión del papel de Microsoft Security Copilot como asistente generativo para seguridad e IT.

Identificación de escenarios combinados con Sentinel: resumen de incidentes, explicación de alertas, generación de KQL, investigación guiada y reporting.

Revisión del encaje de IA generativa dentro de operaciones unificadas de Microsoft Security.

Diseño de límites: Security Copilot ayuda a investigar, pero no sustituye evidencia ni decisión del analista.

Preparación de prompts seguros para analistas SOC.

Uso de IA para acelerar documentación y handoff.

Evaluación de riesgos por datos sensibles en prompts.

Integración conceptual con Defender XDR y Sentinel.

Medición de valor operativo de IA en el SOC.

Ejercicio práctico: diseñar un flujo de investigación asistida por IA para un incidente Sentinel.

Diseño de modelo RBAC para administradores, analistas Tier 1, Tier 2, hunters, ingenieros, GRC y lectores ejecutivos.

Separación de permisos sobre workspace, incidentes, reglas, playbooks, conectores, workbooks y datos.

Gestión de least privilege y acceso just-in-time cuando proceda.

Control de identidades administradas usadas por playbooks.

Auditoría de cambios en reglas, conectores, permisos y automatizaciones.

Revisión de cuentas break-glass y acceso privilegiado.

Documentación de matriz de roles.

Integración con Entra ID, PIM y grupos de seguridad.

Revisión periódica de accesos.

Ejercicio práctico: diseñar matriz RBAC para equipo SOC y plataforma.

Diseño de rutinas diarias: revisión de incidentes, conectores, ingesta, reglas, playbooks, costes, alertas críticas y backlog.

Definición de handoff entre turnos y escalado por severidad.

Gestión de falsos positivos y tuning continuo.

Documentación de procedimientos operativos estándar.

Priorización de incidentes por impacto y criticidad.

Gestión de cambios en reglas y conectores.

Revisión de métricas SOC: MTTD, MTTR, volumen, severidad, closure reason y workload.

Creación de reuniones de mejora de detección.

Comunicación con IT, cloud, identidad, compliance y dirección.

Ejercicio práctico: diseñar operating model semanal de un SOC basado en Sentinel.

Identificación de reglas ruidosas, fuentes de ruido, excepciones legítimas y patrones benignos.

Uso de watchlists, thresholds, suppression, entity mapping y contexto de negocio para reducir ruido.

Creación de proceso de tuning con owner, evidencia y control de cambios.

Evitación de silenciar detecciones críticas por presión operativa.

Análisis de closure reasons y comentarios de analistas.

Revisión periódica de reglas con alto volumen y bajo valor.

Medición de impacto del tuning sobre carga SOC.

Documentación de excepciones temporales y permanentes.

Validación de detecciones tras cambios.

Ejercicio práctico: reducir falsos positivos de una regla sin perder cobertura de ataque.

Diseño de detecciones por cadena de ataque: acceso inicial, ejecución, persistencia, escalada, movimiento lateral, exfiltración e impacto.

Correlación entre correo, identidad, endpoint, red, cloud y aplicaciones.

Uso de MITRE ATT&CK para cubrir técnicas críticas de ransomware.

Creación de reglas de detección de comportamiento: múltiples fallos, cambios masivos, ejecución sospechosa, conexiones anómalas y borrado de backups.

Integración con threat intelligence y hunting.

Diseño de playbooks de notificación y contención con aprobación humana.

Preparación de dashboards de exposición y actividad sospechosa.

Creación de simulaciones conceptuales para probar detecciones.

Documentación de runbook de ransomware.

Ejercicio práctico: diseñar cobertura Sentinel frente a ransomware de extremo a extremo.

Identificación de señales de actividad interna anómala: descarga masiva, acceso fuera de horario, uso de cuentas privilegiadas, cambios no autorizados y exfiltración.

Integración de datos de identidad, endpoint, correo, SharePoint, Teams, VPN y aplicaciones.

Uso de UEBA y watchlists de usuarios sensibles o roles críticos.

Creación de detecciones con sensibilidad adecuada para evitar acusaciones injustificadas.

Coordinación con legal, RR. HH. y compliance.

Gestión de privacidad y minimización de datos.

Documentación cuidadosa de evidencias.

Diseño de procesos de escalado restringido.

Preparación de informes ejecutivos con lenguaje prudente.

Ejercicio práctico: investigar caso ficticio de abuso de privilegios.

Detección de creación de recursos públicos, cambios de IAM, uso de ubicaciones no autorizadas, apps OAuth sospechosas y servicios SaaS no aprobados.

Integración de logs cloud, Entra, Defender for Cloud Apps y fuentes externas.

Uso de watchlists para apps permitidas, proveedores y cuentas críticas.

Creación de reglas para accesos desde países inusuales, consentimientos peligrosos y activity spikes.

Correlación con usuario, dispositivo y red.

Preparación de playbooks para revisar apps OAuth y permisos.

Reporting de shadow IT para IT y dirección.

Gestión de riesgos sin bloquear productividad legítima.

Documentación de excepciones.

Ejercicio práctico: diseñar detección de app OAuth sospechosa y respuesta asociada.

Creación de KPIs para medir madurez Sentinel: fuentes conectadas, cobertura MITRE, incidentes, falsos positivos, automatizaciones y tiempos de respuesta.

Diseño de informes para CISO, dirección, auditoría y equipos técnicos.

Traducción de actividad SOC a valor de negocio.

Medición de ahorro por automatización, reducción de ruido y mejora de tiempos.

Visualización de tendencias de amenazas e incidentes.

Reporting de costes, ingesta y optimización.

Preparación de narrativa ejecutiva clara y no alarmista.

Integración con Power BI o workbooks según necesidad.

Documentación de decisiones y riesgos aceptados.

Ejercicio práctico: construir informe mensual de Sentinel para comité de seguridad.

Uso de Sentinel como fuente de evidencias para investigaciones, auditorías y revisiones de control.

Diseño de retención adecuada según requisitos internos, regulatorios y forenses.

Creación de consultas y workbooks para evidenciar actividad, accesos, cambios y alertas.

Documentación de incidentes con timeline, acciones, owners y cierre.

Integración con GRC, ISO 27001, ENS, NIST o marcos corporativos.

Control de acceso a datos sensibles durante auditorías.

Preparación de informes de cumplimiento basados en logs.

Gestión de solicitudes de evidencia de forma repetible.

Revisión de límites de Sentinel como fuente única de verdad.

Ejercicio práctico: preparar paquete de evidencias para auditoría ficticia.

Diseño de controles para asegurar que Sentinel sigue ingiriendo datos críticos y alertando correctamente.

Monitorización del estado de conectores, agentes, playbooks, permisos y costes.

Gestión de cambios y pruebas antes de modificar reglas productivas.

Estrategia de backup/exportación de contenido Sentinel: reglas, workbooks, playbooks, queries y configuraciones.

Uso de IaC, repositorios o plantillas para mantener contenido versionado.

Preparación de plan de continuidad si un conector crítico falla.

Revisión de dependencias externas: APIs, credenciales, certificados, tokens y servicios cloud.

Documentación de procedimiento de recuperación.

Ejecución de revisiones periódicas de salud de plataforma.

Ejercicio práctico: crear checklist de mantenimiento mensual de Sentinel.

Gestión de reglas, workbooks, playbooks, parsers y hunting queries como código cuando sea posible.

Uso de repositorios Git para versionar contenido Sentinel.

Creación de pipelines de despliegue de contenido entre entornos.

Revisión por pull request de detecciones y automatizaciones.

Testing de KQL antes de publicar reglas.

Control de cambios, versiones, approvals y rollback.

Organización de contenido por caso de uso, fuente, MITRE y severidad.

Coordinación entre SOC engineering, hunters e infraestructura.

Documentación de release notes de contenido SOC.

Ejercicio práctico: diseñar flujo DevOps para reglas Sentinel.

Evaluación de SIEM actual: fuentes, reglas, dashboards, casos de uso, retención, costes y procesos SOC.

Priorización de fuentes y detecciones para migración incremental.

Traducción de reglas heredadas a KQL.

Validación paralela entre SIEM antiguo y Sentinel.

Gestión de cambios organizativos en analistas y procesos.

Rediseño de playbooks y automatizaciones.

Control de coste durante coexistencia.

Migración de dashboards y reporting.

Plan de retirada gradual del SIEM anterior.

Ejercicio práctico: diseñar roadmap de migración SIEM a Sentinel en 6 meses.

Diseño de arquitectura completa de Sentinel para una empresa con Microsoft 365, Azure, endpoints, firewall, SaaS y aplicaciones internas.

Selección de conectores, tablas, retención, tiers, costes y estrategia de ingesta.

Creación de modelo de roles, permisos, workspaces, naming convention y gobierno.

Diseño de reglas analíticas para identidad, phishing, endpoint, cloud y red.

Creación de hunting queries KQL y matriz MITRE ATT&CK.

Diseño de playbooks SOAR para notificación, enriquecimiento, asignación y escalado.

Creación de watchlists, workbooks, reporting ejecutivo y KPIs SOC.

Integración con Defender Portal, Defender XDR, Security Copilot y Microsoft Security cuando proceda.

Preparación de operating model SOC, tuning, mantenimiento, DevOps de contenido y optimización de costes.

Presentación final defendiendo arquitectura, detecciones, automatización, costes, gobierno, cobertura y plan de evolución.