> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-en-es/mdr/deploy/microsoft-defender.md).
# Microsoft Defender
Conecta tu inquilino de Microsoft Defender XDR / Defender for Endpoint a Stoïk para que el equipo CERT de Stoïk pueda supervisarlo y responder ante él, como parte de la oferta MDR (Managed Detection and Response). A diferencia de CrowdStrike o SentinelOne, Stoïk no vende licencias de Microsoft Defender: las licencias siguen siendo tuyas y tú mantienes el control de tu inquilino de Microsoft.
{% hint style="warning" %}
La gestión de MS Defender EDR está actualmente en beta. Háznoslo saber si tienes comentarios o encuentras algún problema.
{% endhint %}
Tu inquilino está conectado a Stoïk de dos maneras, y ambas son necesarias:
* **La aplicación de Stoïk** ([Parte A](#part-a-authorise-the-stoik-application)): envía tus alertas y la lista de dispositivos protegidos a Stoïk Protect.
* **La cuenta invitada de Stoïk MDR** ([Parte B](#part-b-give-the-stoik-cert-team-access-to-your-defender-portal)): permite al equipo CERT de Stoïk investigar y responder en tu portal de Defender (cronología del dispositivo, aislamiento, respuesta en vivo).
La configuración solo se completa cuando Stoïk puede ver todos tus dispositivos protegidos en el portal de Defender: consulta [Comprueba la configuración y notifica a Stoïk](#check-the-setup-and-notify-stoik).
## Requisitos previos
* El alcance de las licencias se acuerda con tu representante de ventas de Stoïk, como parte de la compra de Stoïk MDR. Stoïk no compra licencias de Microsoft en tu nombre.
* Las estaciones de trabajo tienen Defender for Endpoint Plan 2 (incluido en Microsoft 365 E5 / A5, y en Defender for Business para pymes).
* Una **Administrador global** cuenta del inquilino que contiene tus dispositivos de Defender. Para [B.3](#b.3-create-the-stoik-role-in-defender), un **Administrador de seguridad** también funciona.
## Implementa Defender en tus dispositivos
Asignar una licencia no es lo mismo que desplegar el agente de Defender for Endpoint. Todos los dispositivos deben incorporarse.
* **Estaciones de trabajo:** incorpóralas mediante Intune, Group Policy o el script local. Consulta la [Incorporación de dispositivos](https://learn.microsoft.com/en-us/defender-endpoint/onboarding) documentación de Microsoft para los métodos disponibles.
* **Servidores**, una de dos opciones:
* Una licencia de servidor de Defender for Endpoint: suscríbela primero como parte del alcance de tus licencias; consulta [Requisitos previos](#prerequisites)y luego incorpora los servidores con el paquete de incorporación de Microsoft.
* **Microsoft Defender for Servers** (Defender for Cloud): en `Defender for Cloud` > `Configuración del entorno` > tu suscripción > `Planes de Defender` > `Servidores` > `Configuración`, establezca **Protección de endpoints** a **Activado**. Conecta los servidores locales a través de **Azure Arc** primero. La suscripción de Azure debe pertenecer al **mismo inquilino de Microsoft** al que conectas a Stoïk; de lo contrario, los servidores aparecerán en la consola de otro inquilino.
* **Windows Server 2012 R2 / 2016:** usa el agente unificado moderno. Los dispositivos que aún estén incorporados mediante Microsoft Monitoring Agent (MMA) deben migrarse: MMA dejará de funcionar el 26 de febrero de 2027. Consulta la [guía de migración](https://learn.microsoft.com/en-us/defender-endpoint/update-agent-mma-windows).
{% hint style="warning" %}
Que un dispositivo aparezca en `MDR` > `Activos monitorizados` en Stoïk Protect no significa que Defender for Endpoint esté instalado y activo en él. Los activos que se muestran allí provienen de Entra ID, no de Defender en sí, así que un dispositivo puede aparecer antes de que el agente se haya implementado realmente, y los servidores que no estén unidos a Entra pueden no aparecer. La lista de referencia es `Activos` > `Dispositivos` en el portal de Defender.
{% endhint %}
## Parte A: Autoriza la aplicación de Stoïk
Autoriza la aplicación de Stoïk con un solo clic desde Stoïk Protect.
{% hint style="warning" %}
Realiza la Parte A y la Parte B en el **mismo inquilino de Microsoft**: el que muestra tus dispositivos bajo `Activos` > `Dispositivos` en el portal de Defender.
{% endhint %}
1. Inicie sesión en [Stoïk Protect](https://app.stoik.io) con tu cuenta de Stoïk.
2. Ve a `MDR` > `Configuración`.
3. Haz clic en **Conecta tu cuenta de Microsoft**.
4. Se te redirige a Microsoft. Revisa los permisos solicitados por la aplicación Stoïk MDR y haz clic en **Aceptar**.
5. Se te devuelve a Stoïk Protect. La **Configuración** página muestra la conexión como **Conectado**, junto con el **ID del inquilino de Microsoft**. Anótalo: debe ser el mismo ID de inquilino que el que copies en el paso [B.1](#b.1-invite-the-stoik-mdr-user). Si es diferente, has conectado otro inquilino: contacta con antes de continuar.
## Parte B: Da acceso al equipo CERT de Stoïk a tu portal de Defender
Realiza los cuatro pasos, B.1 a B.4, independientemente de tu configuración de Defender. Los inquilinos de Microsoft usan distintos modelos de permisos: el predeterminado, los roles heredados de Defender for Endpoint o Defender XDR Unified RBAC (el valor predeterminado para los inquilinos nuevos en Defender for Endpoint desde 2025). Estos pasos funcionan en todos ellos, y un paso que no sea necesario en tu inquilino no causa ningún problema.
### B.1: Invita al usuario de Stoïk MDR
{% stepper %}
{% step %}
Ve a [portal.azure.com](https://portal.azure.com) (o [entra.microsoft.com](https://entra.microsoft.com)) con un **Administrador global** .
{% endstep %}
{% step %}
Ve a `Usuarios` > `Todos los usuarios`, luego haz clic en **Invitar usuario externo**.
{% endstep %}
{% step %}
Rellena:
* **Dirección de correo:** `mdr_api@stoikcert.onmicrosoft.com`
* **Nombre para mostrar:** `Stoik_Mdr_Api`
Copia tu **ID del inquilino** (que se muestra en el paso 3 del formulario de invitación). Debe coincidir con el ID del inquilino que se muestra en Stoïk Protect en la Parte A.
{% endstep %}
{% step %}
Vaya al **Asignaciones** pestaña, haz clic en **Agregar rol**, busca y selecciona **Operador de seguridad**, luego haz clic en **Seleccione**.
{% hint style="info" %}
Si después el rol no aparece en la lista de asignaciones, se trata de un error de visualización conocido de Microsoft. Actualiza la página; por lo general, el rol se aplica correctamente.
{% endhint %}
{% endstep %}
{% step %}
Haz clic en **Revisar + invitar**, luego **Invitar** para finalizar.
{% endstep %}
{% endstepper %}
{% hint style="info" %}
En tu inquilino, el nombre de usuario del invitado pasa a ser `mdr_api_stoikcert.onmicrosoft.com#EXT#@.onmicrosoft.com`. En los siguientes pasos, búscalo por su nombre para mostrar **Stoik\_Mdr\_Api**, no por su dirección de correo.
{% endhint %}
Una directiva de Acceso Condicional bloquea al usuario invitado
Si tu inquilino tiene directivas de Acceso Condicional, pueden bloquear la cuenta invitada de Stoïk MDR. Excluye el `Stoik-MDR` grupo, creado en [B.2](#b.2-create-the-stoik-mdr-group), de la directiva de bloqueo:
1. Ve a `Protección` > `Acceso Condicional` > `Directivas`.
2. Haz clic en la directiva que está bloqueando el acceso.
3. En la `Usuarios` sección, haz clic en la `Excluir` pestaña, marca `Usuarios y grupos`, luego busca y selecciona el `Stoik-MDR` grupo.
4. Haz clic en **Guardar**.
Tu inquilino exige MFA
Si tu inquilino exige MFA, se solicitará al usuario de Stoïk MDR, y el equipo CERT de Stoïk no puede completarlo. En lugar de eximir la cuenta de MFA, configura una confianza entre inquilinos para que el MFA ya realizado en el inquilino de Stoïk sea aceptado por el tuyo:
1. Inicia sesión en el [Centro de administración de Microsoft Entra](https://entra.microsoft.com).
2. Ve a `Identidad` > `Identidades externas` > `Configuración de acceso entre inquilinos`.
3. En la `Configuración organizativa` pestaña, haz clic en **Agregar organización**.
4. Escribe el ID del inquilino de Stoïk `8100d7bd-172a-492e-bb96-e3f923731bd9` (o `stoikcert.onmicrosoft.com`), selecciónalo y luego haz clic en **Agregar**.
5. Una vez que la organización aparezca en la lista, haz clic en el enlace de la `Acceso entrante` columna (normalmente `Heredado del valor predeterminado`).
6. Vaya al `Configuración de confianza` .
7. Seleccione **Personalizar configuración**.
8. Marca `Confiar en la autenticación multifactor de los inquilinos de Microsoft Entra`.
9. Haz clic en **Guardar**.
### B.2: Crea el grupo Stoik-MDR
Los grupos de dispositivos de Defender y los roles heredados de Defender solo aceptan grupos, nunca usuarios individuales. Usa este grupo, no el usuario, en todos los pasos siguientes.
1. En [entra.microsoft.com](https://entra.microsoft.com), ve a `Grupos` > `Todos los grupos` > **Nuevo grupo**.
2. Rellena:
* **Tipo de grupo:** `Seguridad`
* **Nombre del grupo:** `Stoik-MDR`
* **Tipo de pertenencia:** `Asignado`
3. En virtud del **Miembros**, haz clic en **No hay miembros seleccionados**, agrega **Stoik\_Mdr\_Api**, luego haz clic en **Crear**.
### B.3: Crea el rol de Stoïk en Defender
Este paso es obligatorio, incluso si no sabes qué modelo de permisos de Defender usa tu inquilino.
{% stepper %}
{% step %}
Ve a [security.microsoft.com](https://security.microsoft.com) con un **Administrador global** o **Administrador de seguridad** .
{% endstep %}
{% step %}
Expandir `Sistema`, haz clic en `Permisos`, luego, en `Microsoft Defender XDR (RBAC unificado)`, seleccione `Roles`.
{% endstep %}
{% step %}
Haz clic en **Crear rol personalizado** y rellena **Nombre del rol** con `stoik_mdr_role`.
{% endstep %}
{% step %}
Conceder permisos: para cada uno de los tres grupos de permisos (**Operaciones de seguridad**, **Postura de seguridad**, **Autorización y configuración**), selecciona **Todos los permisos de lectura y administración**, haz clic en **Aplicar**, luego **Siguiente**.
{% endstep %}
{% step %}
Añade la asignación:
* Haz clic en **Agregar asignación**.
* Nombre: `stoik_mdr_assignment`.
* Asignar a: el **`Stoik-MDR`** grupo.
* Seleccione **Todas las fuentes de datos**.
* Marca **Incluir automáticamente futuras fuentes de datos**.
* Haz clic en **Agregar**, luego **Siguiente**.
{% endstep %}
{% step %}
Haz clic en **Enviar** para finalizar.
{% endstep %}
{% step %}
Aún en `Sistema` > `Permisos` > `Microsoft Defender XDR (RBAC unificado)`, abre **Configuración de cargas de trabajo** (o **Activar cargas de trabajo**) y comprueba que **Microsoft Defender for Endpoint** está **activado**. Si no lo está, el rol anterior se ignora para los dispositivos.
{% endstep %}
{% endstepper %}
Prefieres conservar los roles heredados de Defender for Endpoint
En lugar de activar la carga de trabajo de Defender for Endpoint en RBAC unificado:
1. Ve a `Configuración` > `Puntos de conexión` > `Permisos` > `Roles`.
2. Haz clic en **Agregar elemento** y asígnale el nombre `stoik_mdr_role`.
3. Marca **todos los permisos**, incluido **Respuesta en vivo avanzada**.
4. En **Grupos de usuarios asignados**, agrega `Stoik-MDR`.
5. Haz clic en **Guardar**.
### B.4: Da acceso a todos tus grupos de dispositivos
Omite este paso solo si nunca has creado un grupo de dispositivos. Un grupo de dispositivos con acceso restringido a otros grupos oculta todos sus dispositivos a Stoïk, incluidos los servidores.
1. Ve a `Configuración` > `Puntos de conexión` > `Permisos` > `Grupos de dispositivos`.
2. Para **cada** grupo de dispositivos, **incluido `Dispositivos sin agrupar (predeterminado)`**: ábrelo, ve a la **Acceso de usuario** pestaña, agrega `Stoik-MDR`, luego haz clic en **Guardar**.
Los cambios pueden tardar unas horas en aplicarse.
## Comprueba la configuración y notifica a Stoïk
1. En [security.microsoft.com](https://security.microsoft.com), ve a `Activos` > `Dispositivos` y anota tu número de dispositivos y de servidores (filtra `plataforma del SO` en Windows Server y Linux).
2. En Entra, ve a `Aplicaciones empresariales` > la aplicación de Stoïk > `Permisos`, y comprueba que todos los permisos muestran **Concedido para \**.
3. Envía un correo a con tu **ID del inquilino de Microsoft** y los recuentos de dispositivos y servidores del punto 1.
El equipo CERT de Stoïk inicia sesión entonces con la cuenta invitada y valida la incorporación solo cuando ve `Activos` > `Dispositivos` con los mismos recuentos. Si falta el menú o la lista está vacía, consulta [Solución de problemas](#troubleshooting).
Volver a aprobar la aplicación de Stoïk (clientes existentes)
Cuando Stoïk añade un permiso a su aplicación (por ejemplo, para mostrar tu lista real de dispositivos de Defender en Stoïk Protect o para aislar un dispositivo), un Administrador global de tu inquilino debe aprobarlo de nuevo: abre el enlace enviado por tu CSM de Stoïk y haz clic en **Aceptar**.
Esto solo afecta a la aplicación de Stoïk (Parte A). No cambia el acceso de la cuenta invitada a tu portal de Defender (Parte B).
## Solución de problemas
Stoïk ve alertas pero no el menú Activos > Dispositivos, o una lista de dispositivos vacía
RBAC unificado o los roles heredados están activos y el invitado no tiene ningún rol de Defender, o un grupo de dispositivos restringe el acceso. Completa los pasos [B.2](#b.2-create-the-stoik-mdr-group) a [B.4](#b.4-give-access-to-all-your-device-groups): rol asignado a `Stoik-MDR`, carga de trabajo de Defender for Endpoint activada, grupo agregado a todos los grupos de dispositivos.
Las estaciones de trabajo son visibles, los servidores faltan
Los servidores están en un grupo de dispositivos restringido, la integración de Defender for Servers está desactivada o la suscripción de Azure está en otro inquilino. Consulta [B.4](#b.4-give-access-to-all-your-device-groups) para su grupo de dispositivos, y la sección de servidores de [Implementa Defender en tus dispositivos](#deploy-defender-on-your-devices).
La cuenta invitada no puede iniciar sesión
Una directiva de Acceso Condicional o un requisito de MFA lo bloquea. Consulta los dos menús desplegables bajo [B.1](#b.1-invite-the-stoik-mdr-user).
No se encuentra al invitado al asignar el rol
El nombre de usuario de un invitado contiene `#EXT#`, así que la búsqueda por correo falla. Busca **Stoik\_Mdr\_Api**, o asigna el `Stoik-MDR` grupo.
El ID del inquilino en Stoïk Protect difiere del de la consola de Defender
La Parte A se aprobó en otro inquilino. Contacta con , luego repite [Parte A](#part-a-authorise-the-stoik-application) en el inquilino que contiene tus dispositivos.
Los dispositivos de Stoïk Protect difieren de los de Defender
La lista en Stoïk Protect sigue procediendo de Entra ID, o los permisos de la aplicación no se volvieron a aprobar. Consulta `Volver a aprobar la aplicación de Stoïk` en [Comprueba la configuración y notifica a Stoïk](#check-the-setup-and-notify-stoik).
El botón «Conecta tu cuenta de Microsoft» en Stoïk Protect devuelve un error
Asegúrate de haber iniciado sesión en Microsoft con un **Administrador global** .
La conexión aparece como «Conectado» en Stoïk Protect, pero no aparece ningún host ni ninguna alerta
La primera sincronización de datos puede tardar hasta unas horas.
Un banner menciona dispositivos que se ejecutan mediante MMA
Los servidores más antiguos siguen usando el agente heredado, que dejará de funcionar el 26 de febrero de 2027. Migra los al agente unificado: consulta [Implementa Defender en tus dispositivos](#deploy-defender-on-your-devices).
Para cualquier problema sin resolver o para revocar el acceso de Stoïk a tu inquilino de Microsoft Defender, contacta con .
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.stoik.io/help/help-center-en-es/mdr/deploy/microsoft-defender.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
