Configuración de exámenes de red autenticados en Microsoft Defender para punto de conexión

Los exámenes de red autenticados proporcionan una manera sin agente de detectar y evaluar dispositivos de infraestructura de red, como conmutadores, enrutadores, controladores WLAN, firewalls y puertas de enlace VPN.

Para obtener más información, consulte Exámenes de red autenticados.

Requisitos previos

Para configurar los trabajos de examen, necesita el permiso Administrar la configuración de seguridad en Defender . Para obtener más información, vea Crear y administrar roles para el control de acceso basado en roles.

Dispositivos admitidos

Los exámenes de red autenticados pueden detectar cualquier dispositivo de red que responda a consultas SNMPv2 o SNMPv3. Se recomienda configurar todos los dispositivos de red para el examen, independientemente del proveedor o del sistema operativo.

Versiones admitidas de Windows para el analizador

El escáner se admite en Windows 10, versión 1903 y Windows Server, versión 1903 y posteriores. Para obtener más información, consulte Windows 10, versión 1903 y Windows Server, versión 1903.

Seleccionar dispositivo de escáner

Para seleccionar un dispositivo que realice los exámenes de red autenticados:

• Decida un dispositivo incorporado de Defender para punto de conexión (cliente o servidor) que tenga una conexión de red al puerto de administración para los dispositivos de red que planea examinar.

• Permitir el tráfico SNMP entre el dispositivo de examen de Defender para punto de conexión y los dispositivos de red de destino (por ejemplo, mediante el firewall).

• Decida qué dispositivos de red se evalúan para detectar vulnerabilidades (por ejemplo, un conmutador Cisco o un firewall de Palo Alto Networks).

• Asegúrese de que SNMP de solo lectura está habilitado en todos los dispositivos de red configurados para permitir que el dispositivo de examen de Defender para punto de conexión consulte los dispositivos de red configurados. SNMP write no es necesario para la funcionalidad adecuada de esta característica.

• Obtenga las direcciones IP de los dispositivos de red que se van a examinar (o las subredes donde se implementan estos dispositivos).

• Obtenga las credenciales snmp de los dispositivos de red (por ejemplo, Community String, noAuthNoPriv, authNoPriv, authPriv). Debe proporcionar las credenciales al configurar un nuevo trabajo de examen.

• Configuración del cliente proxy: no se requiere ninguna configuración adicional que no sea los requisitos de proxy de dispositivo de Defender para punto de conexión.

• Para permitir que el analizador se autentique y funcione correctamente, agregue los siguientes dominios o direcciones URL:

  • *.security.microsoft.com
  • login.microsoftonline.com
  • *.blob.core.windows.net/networkscannerstable/*

  Nota:

  No todas las direcciones URL se especifican en la lista documentada de Defender para punto de conexión de la recopilación de datos permitida.

Instalación del analizador

1. En Microsoft Defender Portal, seleccione Configuración Detección>>dedispositivos Exámenes autenticados.

2. Descargue el escáner e instálelo en el dispositivo de examen designado de Defender para punto de conexión.

   

Registro del escáner

Puede completar el registro en el dispositivo de examen designado o en cualquier otro dispositivo (por ejemplo, el dispositivo cliente personal).

La cuenta con la que el usuario inicia sesión y el dispositivo que se usa para completar el proceso de inicio de sesión debe estar en el mismo inquilino donde el dispositivo se incorpora a Microsoft Defender para punto de conexión.

Para completar el proceso de registro del analizador:

1. Copie y siga la dirección URL que aparece en la línea de comandos y use el código de instalación proporcionado para completar el proceso de registro. Es posible que tenga que cambiar la configuración del símbolo del sistema para copiar la dirección URL.

2. Escriba el código e inicie sesión con una cuenta de Microsoft que tenga el permiso Administrar la configuración de seguridad en Defender .

Cuando haya terminado, verá un mensaje que confirma que ha iniciado sesión.

Configuración de un nuevo examen de red autenticado

1. En Microsoft Defender Portal, seleccione Configuración Detección>>dedispositivos Exámenes autenticados.

2. Seleccione Add new scan (Agregar nuevo examen), seleccione Network device authenticated scan (Examen autenticado del dispositivo de red) y seleccione Next (Siguiente).

   

3. Seleccione si desea activar el examen.

4. Escriba un nombre de examen.

5. Seleccione el dispositivo de examen: el dispositivo incorporado que usa para examinar los dispositivos de red.

6. Escriba el destino (intervalo): intervalos de direcciones IP o nombres de host que desea examinar. Puede especificar las direcciones o importar un archivo CSV. La importación de un archivo invalida las direcciones agregadas manualmente.

7. Seleccione el intervalo de examen: de forma predeterminada, el examen se ejecuta cada cuatro horas. Puede cambiar el intervalo de examen o hacer que solo se ejecute una vez; para ello, seleccione No repetir.

8. Seleccione el método de autenticación.

   Puede seleccionar Usar azure KeyVault para proporcionar credenciales: si administra las credenciales en Azure KeyVault, puede escribir la dirección URL de KeyVault de Azure y Azure nombre del secreto de KeyVault al que el dispositivo de examen tendrá acceso para proporcionar las credenciales. El valor del secreto depende del método que elija, como se describe en la tabla siguiente:

   Método de autenticación	Azure valor secreto de KeyVault
   AuthPriv	Nombre de usuario; AuthPassword; PrivPassword
   AuthNoPriv	Nombre de usuario; AuthPassword
   CommunityString	CommunityString

9. Seleccione Siguiente para ejecutar o omitir el examen de prueba.

10. Seleccione Siguiente para revisar la configuración y seleccione Enviar para crear el nuevo examen autenticado del dispositivo de red.

Examinar y agregar dispositivos de red

Durante el proceso de instalación, puede realizar un examen de prueba de una sola vez para comprobar que:

• Hay conectividad entre el dispositivo de examen de Defender para punto de conexión y los dispositivos de red de destino configurados.
• Las credenciales de SNMP configuradas son correctas.

Cada dispositivo de examen puede admitir hasta 1500 exámenes correctos de direcciones IP. Por ejemplo, si examina 10 subredes diferentes donde solo 100 direcciones IP devuelven resultados correctos, puede examinar 1400 direcciones IP más desde otras subredes en el mismo dispositivo de examen.

Si hay varios intervalos de direcciones IP o subredes que examinar, los resultados del examen de prueba tardan varios minutos en aparecer. Hay un examen de prueba disponible para un máximo de 1024 direcciones.

Cuando se muestran los resultados, puede elegir qué dispositivos incluir en el examen periódico. Si omite la visualización de los resultados del examen, todas las direcciones IP configuradas se agregan al examen autenticado del dispositivo de red (independientemente de la respuesta del dispositivo). Los resultados del examen también se pueden exportar.

Visualización de dispositivos de red en el inventario de dispositivos

Los dispositivos recién detectados se muestran en el inventario de dispositivos en la nueva pestaña Dispositivos de red . Puede tardar hasta dos horas después de agregar un trabajo de examen hasta que se actualicen los dispositivos.