Implementar Controles de Seguridad de Extremo a Extremo para Cargas de Trabajo en la Nube e IA

Como candidato a este curso, eres ingeniero de seguridad y protege los sistemas y datos de la organización en entornos cloud e híbridos, implementando controles de seguridad integrales que previenen accesos no autorizados y mitigan riesgos de forma proactiva. Este puesto abarca múltiples dominios de seguridad, incluyendo identidad, red, aplicación, datos y computación. Este puesto también garantiza que las plataformas, datos, identidades e infraestructuras utilizadas por cargas de trabajo de IA estén implementadas y monitorizadas de forma segura. Trabajas estrechamente con arquitectos, administradores, ingenieros, analistas y desarrolladores responsables de Azure, Microsoft 365, identidad y acceso, protección de la información, operaciones de seguridad, devops, desarrollo de aplicaciones, plataformas de bases de datos y redes. Debes tener experiencia práctica en administración de Microsoft Azure y entornos híbridos, incluyendo computación, red y almacenamiento. Debes tener un profundo conocimiento del ID Microsoft Entra y de la administración de Microsoft 365. Tus responsabilidades para este puesto incluyen:

• Asegurar el acceso a recursos mediante Microsoft Entra ID y Azure Key Vault

• Hacer cumplir la seguridad y el cumplimiento normativo

• Asegurar almacenamiento, bases de datos y redes

• Computación de seguridad

• Asegurar soluciones de IA

• Gestión y seguimiento de la postura de seguridad

Acceso seguro a los recursos utilizando Microsoft Entra

• Gestionar e implementar métodos de autenticación en Microsoft Entra ID: Aprende a planificar, desplegar y gestionar la autenticación segura en Microsoft Entra ID. Este módulo cubre métodos de autenticación, MFA con acceso condicional, opciones sin contraseña y restablecimiento de contraseñas en autoservicio.
• Implementar y configurar la Gestión de Identidad Privilegiada (PIM): Implementa el acceso privilegiado Just-in-Time utilizando Gestión de Identidad Privilegiada (PIM) para reducir el privilegio permanente entre roles de Microsoft Entra, recursos Azure y acceso basado en grupos para entornos en la nube y IA.
• Autentica tu plugin de API para agentes declarativos con APIs seguras: Al crear aplicaciones para el trabajo, normalmente se integra con APIs seguras. Aprende sobre las dos formas comunes de asegurar las API: clave API y OAuth2, y cómo integrarlas al crear un plugin de API para agentes declarativos que funcionan en Microsoft 365 Copilot.

Azure Key Vault seguro con defensa en profundidad para cargas de trabajo en la nube y la IA

• Configurar y asegurar Azure Key Vault: Configura un Azure Key Vault reforzado en seguridad para cargas de trabajo empresariales. Aplica protección contra eliminación y purga suave, aplica el acceso RBAC de privilegio mínimo con activación just-in-time y asegura el perímetro de la red usando reglas de firewall y endpoints privados.
• Gestionar claves y secretos en Azure Key Vault: Gestiona el ciclo de vida de seguridad de las claves y secretos criptográficos en Azure Key Vault. Configura claves respaldadas por HSM, implementa Bring Your Own Key (BYOK) para escenarios regulatorios, configura rotaciones automáticas de claves y construye rotaciones secretas sin tiempo de inactividad usando patrones de doble credencial.
• Gestionar certificados y monitorizar Azure Key Vault: Gestionar el ciclo de vida de los certificados en Azure Key Vault mediante la emisión integrada de autoridades certificadoras y la renovación automática. Habilitar el registro diagnóstico para crear una pista de auditoría lista para investigar, configurar reglas de alerta basadas en registros e integrar Event Grid para automatizar el ciclo de vida en tiempo real.
• Protect Azure Key Vault with Microsoft Defender for Cloud: Protege Azure Key Vault con Microsoft Defender for Cloud. Utiliza el escaneo secreto sin agentes de Defender CSPM para descubrir credenciales expuestas en máquinas virtuales (VMs) y despliegues en la nube, habilitar Microsoft Defender para Key Vault para detectar patrones de acceso maliciosos y responder eficazmente a las alertas de seguridad de Key Vault.

Hacer cumplir la gobernanza de la seguridad y el cumplimiento normativo

• Hacer cumplir la gobernanza con Azure Policy y bloqueos de recursos: Hacer cumplir los estándares de seguridad antes de que los recursos lleguen a la producción usando Azure Policy. Asignar definiciones e iniciativas de políticas integradas en el ámbito del grupo de gestión, crear definiciones personalizadas con tareas automatizadas de remediación y proteger los recursos críticos de la eliminación usando bloqueos de recursos de Azure.
• Configurar controles de seguridad y remediar recomendaciones en Defender for Cloud: Configurar los estándares de seguridad de Defender for Cloud en el ámbito de los grupos de gestión y desplegar sistemáticamente controles de seguridad para remediar las recomendaciones. Gestionar estándares de seguridad personalizados, asignar la propiedad de las recomendaciones usando reglas de gobernanza y remediar a gran escala usando Fix, tareas de remediación de políticas Azure y exenciones estructuradas.
• Evalúa el cumplimiento normativo en Defender for Cloud: En este módulo, utilizas Microsoft Defender for Cloud para evaluar la postura de cumplimiento de tu organización frente a los marcos de seguridad. Exploras el panel de control de cumplimiento normativo, investigas lagunas de control, asignas estándares regulatorios y generas informes listos para auditoría que comunican el estado de cumplimiento a las partes interesadas.
• Gestionar y ajustar correctamente las asignaciones de roles RBAC para obtener el menor privilegio: Implementar la gobernanza de acceso de privilegios mínimos en Azure y Microsoft Entra ID. Asignar roles integrados en el alcance adecuado, crear roles personalizados para los recursos de Azure y las operaciones de directorio de Microsoft Entra. Luego identificar y remediar accesos sobreprivilegiados usando revisiones de acceso de Microsoft Entra y análisis de identidad de Defender for Cloud Security Posture Management (CSPM).
• Proteger los datos de copia de seguridad con las funciones de seguridad de Azure Backup: Protege los datos de la copia de seguridad de Azure contra ransomware, eliminación accidental y administradores malintencionados. Configura eliminación suave mejorada, inmutabilidad en la bóveda, autorización multiusuario con Resource Guard y controles RBAC para lograr una postura de seguridad excelente en las bóvedas de Recovery Services.
• Implementar controles de seguridad en infraestructuras como código: Integrar controles de seguridad en la infraestructura como canalizaciones de código para evitar que recursos Azure no conformes lleguen a producción. Integrar el escaneo de seguridad IaC usando Microsoft Defender for DevOps y la extensión Microsoft DevOps (MSDO), y configurar Azure Policy en un flujo de trabajo de política como código para hacer cumplir el cumplimiento de seguridad en el momento del despliegue.

Implementar seguridad para Azure Storage para el ingeniero de seguridad en la nube e IA

• Describe los servicios de almacenamiento en Azure: Este módulo te introduce en el almacenamiento en Azure, incluyendo aspectos como diferentes tipos de almacenamiento y cómo una infraestructura distribuida puede hacer que tus datos sean más resilientes.
• Implementar seguridad y gestionar el acceso para Azure Storage: Implementar controles de seguridad a nivel de cuenta y gobernanza de acceso para Azure Storage. Configurar configuraciones de transferencia segura, elegir modelos de autorización apropiados, aplicar políticas de acceso almacenado para la gestión del ciclo de vida de SAS y aplicar la desactivación de la clave compartida usando Azure Policy para proteger las cuentas de almacenamiento utilizadas por agentes de IA y cargas de trabajo empresariales.
• Configurar la seguridad de red para Azure Storage: Configurar controles de acceso a nivel de red para las cuentas de almacenamiento de Azure. Aplicar reglas de firewall, definir acceso basado en red virtual y IP, configurar reglas de instancias de recursos para servicios de IA de Azure, gestionar excepciones de servicios confiables e implementar endpoints privados para eliminar la exposición a endpoints públicos.
• Implementar Microsoft Defender para el almacenamiento: Habilitar y configurar Microsoft Defender for Storage para detectar amenazas contra Azure Blob Storage, Azure Files y Azure Data Lake Storage. Configurar la monitorización de actividades, el escaneo de malware con controles de costes, la detección de amenazas de datos sensibles y el enrutamiento de alertas para asegurar que los resultados de Defender lleguen al equipo de seguridad correspondiente.

Implementar seguridad para bases de datos SQL Azure

• Configurar la seguridad a nivel de plataforma para Azure SQL: Configurar autenticación, aislamiento de red, cifrado y controles de acceso para Azure SQL Database e SQL Managed Instance. Implementar autenticación solo Microsoft Entra ID con acceso a identidad gestionada para cargas de trabajo de IA, desplegar endpoints privados y aplicar cifrado transparente de datos, enmascaramiento dinámico de datos y seguridad a nivel de fila para proteger datos financieros sensibles.
• Configurar auditorías para Azure SQL Database e SQL Managed Instance: Configura los registros de auditoría para Azure SQL Database e SQL Managed Instance para crear registros de cumplimiento resistentes a manipulaciones. Establece grupos de acciones de auditoría, enruta los registros a Azure Monitor, Event Hubs y almacenamiento inmutable de blobs, y configura auditorías específicas de SQL Managed Instance para cumplir con los requisitos de auditoría regulatoria financiera.
• Implementar Microsoft Defender para bases de datos: Habilitar Microsoft Defender para Bases de Datos para detectar inyección SQL, patrones anómalos de consulta y exposiciones a vulnerabilidades en los servicios SQL de Azure. Habilitar la protección en el ámbito de suscripción usando Azure Policy, configurar líneas base de evaluación de vulnerabilidades y enrutar alertas de seguridad al equipo de operaciones de seguridad.

Implementar controles de seguridad de red en Azure

• Segmentar y aislar cargas de trabajo de Azure usando controles de seguridad de red: Segmenta las cargas de trabajo de Azure para controlar el movimiento lateral y hacer cumplir el acceso a la red con menor privilegio usando NSGs, ASGs, Azure Virtual Network Manager y verificación con Network Watcher.
• Centralizar y hacer cumplir la inspección de tráfico usando Azure Firewall: Despliega Azure Firewall para centralizar la inspección del tráfico y hacer cumplir políticas de filtrado en todo tu entorno Azure. Azure Firewall incluye bloqueos basados en inteligencia de amenazas y despliegue de Hub Virtual Seguro para tráfico de radio y ramas.
• Conectividad remota segura e híbrida mediante pasarelas VPN y Microsoft Entra Private Access: Reforzar la seguridad de la pasarela VPN de Azure y desplegar Microsoft Entra Private Access para sustituir el acceso amplio de VPN por acceso por aplicación consciente de la identidad, que haga cumplir los principios de conectividad Zero Trust.
• Eliminar la exposición pública de los servicios PaaS de Azure en la red: Eliminar la exposición pública a la red de Azure PaaS y servicios de IA usando endpoints privados y Azure Private Link, y luego imponer la adopción a gran escala usando Azure Policy y Defender for Cloud.

Implementar seguridad para la IA

• Acceso seguro para Microsoft Entra Agent Identity: Aplicar controles de acceso condicional a las identidades de agentes de IA en Microsoft Entra Agent Identity. Mapear cómo se autentican los agentes, configurar políticas que apliquen las condiciones de acceso y gestionar el ciclo de vida de la identidad del agente para reducir el riesgo de agentes comprometidos o sobreprivilegiados.
• Analizar los riesgos de identidad de la IA usando Microsoft Defender XDR: Utiliza Microsoft Defender XDR para descubrir agentes de IA que operan en tu entorno, evaluar el radio de explosión de la identidad de cada agente y analizar rutas de ataque que puedan conducir a acceso no autorizado a datos o recursos.
• Habilitar protección en tiempo real para los agentes de Copilot Studio: Configura Microsoft Defender para Apps en la Nube para proporcionar protección en tiempo de ejecución para los agentes de Copilot Studio. Activa la protección en la configuración del portal Defender para IA, coordina con los administradores de Power Platform para la configuración del ID de la aplicación y verifica que el inventario de agentes, las alertas y los datos de Advanced Hunting aparezcan en Microsoft Defender XDR.
• Configurar la seguridad de la pasarela de IA en Microsoft Foundry: Utiliza AI Gateway en Microsoft Foundry para asegurar y gobernar el tráfico de modelos de IA. Examina la arquitectura de la pasarela, crea y configura una instancia de gateway con controles de seguridad, y aplica restricciones de acceso y monitorización para hacer cumplir la política y detectar el mal uso.
• Configurar y gestionar las barreras de seguridad en Microsoft Foundry: Las barreras de seguridad de Microsoft Foundry ayudan a proteger cargas de trabajo de IA aplicando controles de seguridad configurables que evalúan tanto las indicaciones como las respuestas. Aprenderás a entender los modelos de seguridad integrados, probar y perfeccionar barreras de seguridad, crear listas de bloqueo, configurar filtros de contenido y validar que las protecciones funcionan como se espera. Estas capacidades ayudan a las organizaciones a prevenir interacciones inseguras o que violan políticas, proteger datos sensibles y mantener la confianza en aplicaciones asistidas por IA.
• Proteger cargas de trabajo de IA con Microsoft Defender for Cloud: Microsoft Defender for Cloud ayuda a proteger las cargas de trabajo de IA combinando descubrimiento, gestión de postura y protección en tiempo de ejecución en una sola plataforma. Aprenderás a habilitar el plan de cargas de trabajo de IA, revisar información en el panel de seguridad de Datos e IA, evaluar la postura usando Cloud Security Posture Management (CSPM), detectar amenazas en tiempo de ejecución con Cloud Workload Protection (CWP) e investigar incidentes en Microsoft Defender XDR. Estas capacidades trabajan conjuntamente para identificar lagunas de configuración, detectar comportamientos sospechosos y proporcionar visibilidad de extremo a extremo en tus entornos de IA.
• Habilitar la protección de cargas de trabajo de Defender for AI Services en Microsoft Defender for Cloud: Habilita y configura el plan Defender for AI Services en Microsoft Defender for Cloud para detectar amenazas que apunten a cargas de trabajo de Azure AI Services. Luego configura los componentes del plan y monitoriza la postura de seguridad de IA usando el Panel de Datos y Seguridad de IA.
• Gestionar agentes usando Microsoft Agent 365: Utiliza Microsoft Agent 365 para gobernar los agentes de IA en tu entorno Microsoft 365. Activa la interfaz de gestión de Agent 365, registra agentes y aplica controles de acceso, y monitoriza la actividad y el uso de los agentes para hacer cumplir las políticas de gobernanza de IA de tu organización.
• Identificar riesgos de datos de IA utilizando la Gestión de Postura de Seguridad de Datos de Microsoft Purview: Utiliza la Gestión de Postura de Seguridad de Datos de Microsoft Purview para IA para descubrir cómo fluyen los datos sensibles a través de las herramientas de IA, identificar contenido sobreexpuesto de SharePoint y revisar los riesgos de interacción generados por Copilot y las aplicaciones de IA.

Implementar seguridad para servidores y máquinas virtuales

• Implementar cifrado de disco para máquinas virtuales Azure: Selecciona y configura el enfoque adecuado de cifrado de disco para máquinas virtuales Azure. Compara las opciones de cifrado gestionado de disco, configura el cifrado en el host con claves gestionadas por el cliente usando Disk Encryption Sets, aplica cifrado confidencial de disco a máquinas virtuales confidenciales y aplica el cumplimiento del cifrado de disco usando Azure Policy.
• Configurar funciones de seguridad de lanzamiento confiable para máquinas virtuales Azure: Configura las funciones de seguridad de Trusted Launch para las máquinas virtuales de Azure. Activa Secure Boot, vTPM y monitorización de integridad para proteger contra malware a nivel de arranque y rootkits. Actualiza las VMs existentes de Gen1 y Gen2 al tipo de seguridad de Trusted Launch y impone la adopción a gran escala usando Azure Policy.
• Planificar e implementar Azure Bastion: Planifica y despliega Azure Bastion para proporcionar acceso seguro a RDP y SSH basado en navegador a máquinas virtuales sin exponer direcciones IP públicas ni puertos de gestión. Selecciona el SKU adecuado según los requisitos de escala y funcionalidades, despliega y configura Bastion en una red virtual Azure y conéctate a las máquinas virtuales usando tanto métodos de portal como de cliente nativo.
• Gestionar la seguridad de los servidores híbridos habilitados para Arc: Gestionar los controles de seguridad para servidores híbridos habilitados con Azure Arc. Configurar la seguridad de RBAC y extensiones para evitar modificaciones no autorizadas de agentes. Luego aplicar Azure Policy para hacer cumplir las líneas de seguridad en las máquinas inscritas en Arc. Por último, monitorizar la postura de seguridad de servidores híbridos en Microsoft Defender for Cloud.
• Implementar Microsoft Defender para Servidores: Integra las máquinas virtuales Azure y los servidores híbridos conectados a Arc en Microsoft Defender for Servers. Selecciona el Plan 1 o el Plan 2 según los requisitos de capacidad, configura el escaneo de vulnerabilidades usando Defender Vulnerability Management sin agente y basado en agentes. Luego integra Microsoft Defender para Endpoint y gestiona las capacidades de escaneo sin agente para inventario de software, secretos, detección de malware y monitorización de la integridad de archivos.
• Habilitar y hacer cumplir el acceso justo a tiempo a VM: Habilita y configura el acceso justo a tiempo a VM en Microsoft Defender for Cloud para eliminar permanentemente los puertos RDP y SSH abiertos. Configura políticas de acceso por puerto, solicita acceso con tiempo limitado a las máquinas virtuales, audita la actividad de acceso y aplica la adopción de JIT en todo tu patrimonio de máquinas virtuales usando Azure Policy.
• Enforce la configuración de seguridad de las máquinas virtuales con Azure Machine Configuration: Auditar y hacer cumplir la configuración de seguridad del sistema operativo en máquinas virtuales Azure y servidores habilitados con Arc usando Azure Machine Configuration. Aplicar políticas de seguridad integradas para Windows y Linux, configurar modos de auditoría y aplicación, y crear configuraciones personalizadas para los requisitos de seguridad específicos de la organización.