Scott Woodgate y Krishna Kumar Parthasarathy

No se puede proteger lo que no se ve. Los equipos de operaciones de seguridad se enfrentan desde hace tiempo al reto de gestionar conjuntos de datos masivos y en rápido crecimiento, y el coste de ampliar las herramientas tradicionales de gestión para manejar estos volúmenes de datos se ha vuelto insostenible.

En Microsoft, estamos mejorando y haciendo evolucionar nuestra solución líder en el sector para la gestión de incidentes y eventos de seguridad (SIEM), Microsoft Sentinel, para incluir un data lake moderno y rentable. Al unificar todos los datos de seguridad, el Microsoft Sentinel data lake, ahora en versión preliminar pública, acelera la adopción de la IA agéntica y proporciona una visibilidad sin precedentes, facilitando a los equipos la capacidad de detectar y responder de forma más rápida. Con el Sentinel data lake ya no tienes que elegir entre conservar los datos críticos y mantenerte dentro del presupuesto.

Microsoft Sentinel comenzó este viaje hace cinco años con la introducción del primer SIEM nativo en la nube para simplificar la incorporación de datos y aportar el poder de la IA a la detección de amenazas.¹ Desde entonces, hemos integrado Sentinel con Microsoft Defender y lo hemos enriquecido con inteligencia sobre amenazas en tiempo real, recomendaciones guiadas y capacidades de respuesta automatizada. Microsoft Sentinel data lake es el siguiente paso en ese viaje, creado para ayudar a los responsables de seguridad a superar las limitaciones de los SIEM tradicionales, situando los datos de seguridad en el centro de las operaciones de seguridad (SOC), a escala y sin concesiones. Ahora, puedes continuar tu propio viaje e incorporar Microsoft Sentinel data lake.

Romper los silos de datos para mejorar la seguridad

Con el rápido crecimiento del volumen de registros (logs) de seguridad, los equipos se ven obligados a tomar decisiones difíciles: reducir el registro arriesgándose a tener puntos ciegos, acortar la retención comprometiendo la profundidad forense, o asumir costes insostenibles al intentar gestionar todos sus datos de seguridad dentro de un SIEM. Esta es la paradoja de la seguridad moderna: cuantos más datos se tienen, más difícil resulta utilizarlos de forma eficaz. Y sin una visibilidad unificada y a largo plazo, ni siquiera los modelos de IA más avanzados pueden desarrollar todo su potencial. Los datos aislados se traducen en ciberamenazas no detectadas, investigaciones con retardo y herramientas infrautilizadas.

Microsoft Sentinel data lake se diseñó específicamente para resolver este reto y proporciona la base para la defensa agéntica. Reúne todos los datos de seguridad, tanto de Microsoft como de fuentes de terceros, en un único data lake rentable, con más de 350 conectores nativos. Con un coste de retención de datos inferior al 15% de los registros de análisis tradicionales, permite un enriquecimiento continuo con inteligencia sobre amenazas y detección basada en IA en todo su entorno. No se trata solo de un nuevo producto, sino de una nueva arquitectura para las operaciones de seguridad, que facilita a los equipos de seguridad buscar ciberamenazas a lo largo de meses o años, reconstruir incidentes con precisión y aprovechar todo el valor de la IA.

“La visión de Microsoft para el Sentinel data lake refleja lo que más importa en ciberseguridad: claridad, escala e impacto en el mundo real. Con más de 1.200 implementaciones de Sentinel en todo el mundo, BlueVoyant lo ha experimentado de primera mano. Los retos relacionados con los datos a gran escala son ahora la norma. El Sentinel data lake supone una evolución natural del modelo SIEM y SOAR, que respalda de forma crítica el análisis moderno, la ciencia de datos y la estrategia de ingestión flexible. Se trata de un paso hacia adelante fundamental para los clientes que desean modernizar sus operaciones de seguridad”.

—Milan Patel, Chief Revenue Officer de BlueVoyant

Para ayudar aún más a los defensores a sacar el máximo partido de sus datos, estamos democratizando la inteligencia sobre amenazas mediante la convergencia de las capacidades de Microsoft Defender Threat Intelligence (MDTI) en Defender XDR y Sentinel sin coste adicional; esto significa que los equipos de seguridad ya no necesitarán comprar una SKU independiente para acceder a estas potentes características. El valor de MDTI se fusionará en Sentinel y Defender XDR con el tiempo, a partir de octubre de 2025, cuando todos los informes de amenazas de Microsoft, incluidos los perfiles de intel y los indicadores de compromiso (IoC), estarán disponibles en Defender XDR. Además, los IoC se incorporarán a la gestión de casos de Sentinel para que los clientes puedan colaborar y compartir información sobre amenazas entre los equipos de su organización. El resto de funciones estarán disponibles próximamente.

Con este cambio, los equipos de seguridad pueden acceder fácilmente a un potente repositorio de inteligencia sobre amenazas de primera línea, procedente de 84 billones de señales diarias y respaldado por la experiencia de más de 10.000 especialistas en seguridad de Microsoft. Obtén más información sobre cómo este valor añadido en Sentinel y Defender mejorará considerablemente las capacidades con datos sobre amenazas en tiempo real y de alta calidad.

Capacitar a los equipos de seguridad para hacer más

La promesa de la IA en ciberseguridad siempre ha sido ambiciosa: detección más rápida, respuesta más inteligente y la capacidad de adelantarse incluso a los ciberatacantes más sofisticados. Pero la mayoría de los equipos de seguridad se ven limitados por datos fragmentados y un contexto incompleto. La centralización de los datos en un data lake enriquecido con inteligencia sobre amenazas elimina los silos y garantiza que los modelos de IA como Security Copilot tengan el contexto completo que necesitan para detectar patrones sutiles de ciberataques, correlacionar señales en el tiempo y el espacio y generar alertas de alta fidelidad. Esto sienta las bases para el futuro de la defensa autónoma, en la que la IA no sólo asiste, sino que actúa. Este cambio permite ahora a los equipos de seguridad:

• Descubrir el comportamiento de los ciberatacantes que se remontan a años atrás sin preocuparse tanto por los límites de almacenamiento.
• Abordar casos de uso tanto antes como después de una brecha correlando datos de activos, actividades e inteligencia sobre amenazas.
• Utilizar inteligencia sobre amenazas en tiempo real para priorizar más rápido y realizar búsquedas retrospectivas en datos históricos.
• Activar las detecciones automáticamente basándose en los últimos indicadores decompromiso (IoC) y tácticas, técnicas y procedimientos (TTP).
• Utilizar Kusto Query Language (KQL) y Apache Spark para realizar consultas en horizontes temporales extendidos y detectar patrones sutiles de ciberataques.
• Cumplir con los requisitos normativos y de cumplimiento gracias a una retención de datos escalable y rentable.

Estos son los trabajos más importantes en las operaciones de seguridad modernas y ahora son más fáciles, rápidos y rentables de ejecutar.

“Para los equipos cibernéticos, la proliferación masiva de datos puede desviar la atención o retrasar las respuestas a amenazas [cibernéticas] reales. Microsoft Sentinel data lake puede ser una herramienta valiosa para la centralización y visibilidad de los datos, así como para el análisis histórico de grandes volúmenes de conjuntos de datos. Junto con Microsoft, Accenture puede ayudar a nuestros clientes a aprovechar el data lake para ampliar la potencia de Microsoft Sentinel y potenciar la detección de ataques y la corrección proactiva”.

—Rex Thexton, Chief Technology Officer, Accenture Security.

Simplificar las operaciones y estar preparado para la IA

Microsoft Sentinel data lake simplifica la gestión de datos con una experiencia flexible y centralizada en el portal de Microsoft Defender, que reúne los datos de seguridad junto con las herramientas que utilizan los defensores para prevenir, detectar y responder a las ciberamenazas cada día. Los analistas pueden moverse sin interrupciones entre los niveles de análisis y del data lake, lo que permite una respuesta en tiempo real e investigaciones profundas desde una única interfaz. Al hacerlo, todos los datos almacenados en el nivel de análisis están automáticamente disponibles en el nivel del data lake y, dado que está construido sobre formatos abiertos, las organizaciones pueden adaptar los flujos de trabajo analíticos, crear modelos de machine learning (ML) personalizados y aprovechar herramientas conocidas, todo sobre una única copia de sus datos de seguridad, para ampliar el valor del data lake y satisfacer sus necesidades específicas. Tanto si estás consolidando herramientas, escalando tu centro de operaciones de seguridad (SOC) o preparándote para una defensa impulsada por Inteligencia Artificial, el data lake de Sentinel se adapta a su estrategia y trayectoria de seguridad.

Sentinel data lake permite a los equipos del SOC (Centro de Operaciones de Seguridad) avanzar hacia la próxima era de las operaciones de seguridad. Poder garantizar la cobertura de todo tu entorno de seguridad —a través de todas las fuentes de datos y amplios horizontes temporales— permite a los equipos de seguridad detectar proactivamente ciberataques latentes, identificar amenazas emergentes mediante modelos impulsados por IA, reconstruir cronologías de ataques con detalle forense y descubrir de forma retroactiva indicadores de compromiso que de otro modo podrían pasar desapercibidos.

“La superficie de ataque [cibernético] se amplía con cada aplicación y uso de Inteligencia Artificial que se implementa en entornos de nube híbrida, y los ataques impulsados por IA evolucionan con la misma rapidez. Lo que muchas organizaciones aún no tienen no son solo de mejores herramientas, sino de visibilidad en tiempo real de su infraestructura de TI, sus configuraciones y su contexto empresarial. Para entender su exposición total, las organizaciones necesitan la inteligencia de activos adecuada y un esfuerzo compartido del sector. El nuevo Microsoft Sentinel data lake es un valioso paso en esa dirección; IBM se compromete a trabajar con todo el ecosistema para ayudar a resolver ese desafío”.

—Srini Tummalapenta, ingeniero distinguido de IBM, Distinguished Engineer, Chief Technology Officer de IBM Consulting Cybersecurity Services.

Este lanzamiento supone algo más que una evolución del producto, ya que permite a los equipos de operaciones de seguridad responder con mayor rapidez y con la máxima visibilidad. Microsoft Sentinel sigue ampliando los límites con una arquitectura escalable que combina SIEM, detección y respuesta ampliadas (XDR) e inteligencia sobre amenazas en una única experiencia integrada. Sentinel data lake es la base de esta evolución, ya que ayuda a los equipos de seguridad a analizar más datos, de forma más inteligente y más asequible que nunca.