¿Se trabaja KQL en profundidad?

Sí. Incluye KQL esencial y avanzado, optimización, joins, parsers, hunting queries, reglas analíticas y consultas orientadas a incidentes reales.

¿Incluye automatización SOAR?

Sí. Se trabajan automation rules, playbooks, Logic Apps, notificaciones, enriquecimiento, escalado, aprobación humana y respuesta controlada.

¿Está actualizado al nuevo portal de Defender?

Sí. El curso está diseñado para la experiencia de Microsoft Sentinel en Defender Portal, teniendo en cuenta que Azure Portal dejará de soportar Sentinel después del 31 de marzo de 2027.

¿Incluye Sentinel Data Lake?

Sí. Se cubre Sentinel Data Lake, tiers de almacenamiento, Analytics tier, retención, costes, forense, cumplimiento y estrategias de datos a gran escala.

¿Se trabaja integración con Defender XDR?

Sí. Hay bloques específicos de Defender XDR, Defender for Endpoint, Defender for Office 365, Defender for Cloud, Entra ID y operaciones unificadas.

¿Sirve para equipos SOC?

Sí. El curso está pensado para SOC, blue team, threat hunters, ingenieros de seguridad, cloud security y responsables de operación defensiva.

¿Se cubren fuentes no Microsoft?

Sí. Incluye AWS, Google Cloud, firewalls, VPN, proxies, DNS, SaaS, aplicaciones propias, Syslog, CEF, APIs y conectores de terceros.

¿Se trabaja optimización de costes?

Sí. Es una parte central: ingesta, retención, pricing, fuentes ruidosas, tiers, Data Collection Rules, summary rules y dashboards de coste.

¿La formación es bonificable por FUNDAE?

Sí. Al tratarse de formación corporativa orientada a empresa, puede bonificarse hasta el 100% mediante FUNDAE según el crédito disponible y las condiciones aplicables de la organización.

Curso de Microsoft Sentinel para equipos de ciberseguridad y SOC

Aprende con el curso de Microsoft Sentinel para empresas hasta 100% bonificado, a medida para tu organización.

Totalmente práctico y aplicable

Formación en Microsoft Sentinel a medida

100% bonificable a través de FUNDAE

Curso TUTORIZADO por expertos

Solicitar precio

Calcula mis créditos de FUNDAE

Solicitar precio

Calcula mis créditos de FUNDAE

Modalidad Aula Virtual Personalizada

Curso de Microsoft Sentinel en Aula Virtual Personalizada

Nuestra modalidad AVP es una formación en directo, práctica y 100% adaptada a vuestro equipo. No trabajamos con contenidos genéricos: diseñamos la formación en función de vuestro nivel, objetivos, procesos internos y necesidades reales de aplicación.

Solicitar información

Temario 100% a medida

Creamos el temario desde cero a partir de vuestras necesidades, nivel del equipo y objetivos concretos, priorizando aquellos contenidos que realmente aporten valor en el día a día.

Proyectos personalizados

Durante la formación trabajaremos con archivos, ejemplos, informes o procesos similares a los que utiliza vuestro equipo, para que el aprendizaje sea directamente aplicable al puesto de trabajo.

Sesiones en directo con consultor experto

Un formador especialista imparte las clases en tiempo real, resolviendo dudas, revisando casos concretos y adaptando el ritmo de la formación a la evolución del grupo.

Calendario adaptado a vuestra disponibilidad

Definimos conjuntamente fechas, horarios y duración de las sesiones para facilitar la asistencia del equipo y minimizar el impacto en la operativa diaria de la empresa.

Bonificación FUNDAE

Curso de Microsoft Sentinel hasta 100% Bonificable a través de FUNDAE

Tu bonificación paso a paso

Forma a tu equipo sin costes mediante la bonificación estatal.
Este programa de Microsoft Sentinel para empresas es subvencionable hasta el 100%.

Potencia las habilidades de edición y automatización de tus profesionales.
Accede a una formación avanzada en Microsoft Sentinel práctica y orientada a resultados.
Prepara a tu equipo para los retos documentales del entorno laboral actual.
Gestionamos gratis tu bonificación de este curso corporativo de Microsoft Sentinel ante FUNDAE.

Hablar con un asesor

01.

Calcula tu bonificación

02.

Revisamos tu caso

03.

Preparamos la gestión

04.

Tu equipo realiza el curso

05.

Aplicas la bonificación

Hablar con un asesor

La formación que decides
te devuelve dinero

Todos nuestros cursos son bonificables a través de FUNDAE.
Gestionamos toda la documentación por ti.

100%Tramitación incluida

48hTiempo medio de gestión

9,4Satisfacción general

Calcula tu crédito aproximado

Empleados a formar10

Crédito bonificable estimado

420€*

*Cálculo orientativo

Confirmar mi crédito

Impacto real

Cubre Sentinel de extremo a extremo

Diseñamos despliegue A Medida de Microsoft Sentinel en empresas, detección y respuesta con Defender y Azure bonificable por FUNDAE. Diseñamos el plan formativo.

Actualizado al portal moderno de Microsoft Defender La formación prioriza la experiencia de operaciones unificadas, clave porque Sentinel dejará de estar soportado en Azure Portal después del 31 de marzo de 2027.

Orientado a SOC real y no solo a configuración Incluye procesos de triage, tuning, handoff, métricas, falsas alarmas, cobertura MITRE, playbooks, reporting, mantenimiento y mejora continua.

Controla costes desde el diseño El curso trabaja ingesta, retención, tiers, Data Lake, fuentes ruidosas, transformaciones, dashboards de coste y priorización de datos por valor defensivo.

Integra SIEM, XDR, SOAR e IA Sentinel se trabaja conectado con Defender XDR, Security Copilot, Defender for Cloud, Entra ID, Purview, Logic Apps y el ecosistema Microsoft Security.

Genera entregables operativos reutilizables Los alumnos crean arquitectura, reglas, KQL, playbooks, watchlists, workbooks, matriz MITRE, modelo SOC, plan de coste y proyecto integrador.

Solicitar propuesta sin coste

Personaliza el temario al 100% para tu equipo

Diseñamos una formación a medida utilizando los documentos y flujos de trabajo reales de tu empresa.

Agendar cita con CTOAgendar cita con CTO

Nuestra plataforma

Nueva Plataforma
de E-learningFormación en directo con plataforma de apoyo para reforzar el aprendizaje

Acceso a las grabaciones

Los alumnos podrán revisar las sesiones grabadas para repasar conceptos clave, recuperar explicaciones concretas o reforzar aquellos contenidos que necesiten después de la clase en directo.

Recursos formativos

Materiales, sesiones grabadas y documentación de apoyo quedan centralizados en la plataforma para que el equipo pueda consultarlos durante y después de la formación.

Confirmación de asistencia

La plataforma permite registrar y confirmar la asistencia de los participantes, facilitando el seguimiento de la formación y la gestión documental necesaria para la bonificación FUNDAE.

Ejercicios prácticos

Después de la formación en directo, los alumnos podrán acceder a ejercicios prácticos para aplicar lo trabajado en clase y consolidar el aprendizaje con actividades guiadas.

Acceso a las grabaciones

Los alumnos podrán revisar las sesiones grabadas para repasar conceptos clave, recuperar explicaciones concretas o reforzar aquellos contenidos que necesiten después de la clase en directo.

Recursos formativos

Materiales, sesiones grabadas y documentación de apoyo quedan centralizados en la plataforma para que el equipo pueda consultarlos durante y después de la formación.

Confirmación de asistencia

La plataforma permite registrar y confirmar la asistencia de los participantes, facilitando el seguimiento de la formación y la gestión documental necesaria para la bonificación FUNDAE.

Ejercicios prácticos

Después de la formación en directo, los alumnos podrán acceder a ejercicios prácticos para aplicar lo trabajado en clase y consolidar el aprendizaje con actividades guiadas.

Practica y mejora con nuestra plataforma

Una plataforma practica, con IA integrada y pensada para que mejores desarrollando. Se adapta a tu ritmo, te corrige al instante y te muestra tu progreso real.

Correccion magica

Feedback inteligente

Aprende de cada acierto y fallo con explicaciones claras

Me interesa

Programa formativo

Temario del curso

Encuentra todo el temario del curso aquí.

Temario

Comprensión de Microsoft Sentinel como plataforma SIEM/SOAR cloud-native para detección, investigación, hunting, respuesta y visibilidad de amenazas en entornos empresariales.
Diferenciación entre SIEM tradicional, SIEM cloud-native, XDR, SOAR, data lake de seguridad y operaciones unificadas.
Revisión de los componentes clave: Log Analytics workspace, conectores, tablas, analytics rules, incidents, workbooks, hunting, playbooks, watchlists y threat intelligence.
Análisis del papel de Sentinel dentro del ecosistema Microsoft Security y su integración con Defender XDR, Defender for Cloud, Entra ID, Microsoft 365 y Purview.
Evaluación de escenarios multicloud y multiplataforma donde Sentinel agrega datos de Microsoft, AWS, Google Cloud, firewalls, endpoints, SaaS y aplicaciones propias.
Diseño de objetivos realistas para un despliegue Sentinel: visibilidad, detección, reducción de MTTD, automatización, evidencias y respuesta coordinada.
Identificación de errores habituales: ingestar demasiados logs sin estrategia, crear alertas ruidosas, no asignar owners o no medir costes.
Creación de una matriz inicial de fuentes, casos de uso, criticidad, detecciones y coste esperado.
Revisión de la documentación oficial de Sentinel como base para capacidades de ataque, visibilidad, hunting y respuesta.
Ejercicio práctico: diseñar el alcance de Sentinel para una empresa con Microsoft 365, Azure, firewalls y endpoints.

Comprensión de Microsoft Sentinel como plataforma SIEM/SOAR cloud-native para detección, investigación, hunting, respuesta y visibilidad de amenazas en entornos empresariales.
Diferenciación entre SIEM tradicional, SIEM cloud-native, XDR, SOAR, data lake de seguridad y operaciones unificadas.
Revisión de los componentes clave: Log Analytics workspace, conectores, tablas, analytics rules, incidents, workbooks, hunting, playbooks, watchlists y threat intelligence.
Análisis del papel de Sentinel dentro del ecosistema Microsoft Security y su integración con Defender XDR, Defender for Cloud, Entra ID, Microsoft 365 y Purview.
Evaluación de escenarios multicloud y multiplataforma donde Sentinel agrega datos de Microsoft, AWS, Google Cloud, firewalls, endpoints, SaaS y aplicaciones propias.
Diseño de objetivos realistas para un despliegue Sentinel: visibilidad, detección, reducción de MTTD, automatización, evidencias y respuesta coordinada.
Identificación de errores habituales: ingestar demasiados logs sin estrategia, crear alertas ruidosas, no asignar owners o no medir costes.
Creación de una matriz inicial de fuentes, casos de uso, criticidad, detecciones y coste esperado.
Revisión de la documentación oficial de Sentinel como base para capacidades de ataque, visibilidad, hunting y respuesta.
Ejercicio práctico: diseñar el alcance de Sentinel para una empresa con Microsoft 365, Azure, firewalls y endpoints.

¿Tienes dudas?

Estamos aquí para ayudarte

Reservar plaza

Tema 1: Microsoft Sentinel como SIEM/SOAR cloud-native

Comprensión de Microsoft Sentinel como plataforma SIEM/SOAR cloud-native para detección, investigación, hunting, respuesta y visibilidad de amenazas en entornos empresariales.
Diferenciación entre SIEM tradicional, SIEM cloud-native, XDR, SOAR, data lake de seguridad y operaciones unificadas.
Revisión de los componentes clave: Log Analytics workspace, conectores, tablas, analytics rules, incidents, workbooks, hunting, playbooks, watchlists y threat intelligence.
Análisis del papel de Sentinel dentro del ecosistema Microsoft Security y su integración con Defender XDR, Defender for Cloud, Entra ID, Microsoft 365 y Purview.
Evaluación de escenarios multicloud y multiplataforma donde Sentinel agrega datos de Microsoft, AWS, Google Cloud, firewalls, endpoints, SaaS y aplicaciones propias.
Diseño de objetivos realistas para un despliegue Sentinel: visibilidad, detección, reducción de MTTD, automatización, evidencias y respuesta coordinada.
Identificación de errores habituales: ingestar demasiados logs sin estrategia, crear alertas ruidosas, no asignar owners o no medir costes.
Creación de una matriz inicial de fuentes, casos de uso, criticidad, detecciones y coste esperado.
Revisión de la documentación oficial de Sentinel como base para capacidades de ataque, visibilidad, hunting y respuesta.
Ejercicio práctico: diseñar el alcance de Sentinel para una empresa con Microsoft 365, Azure, firewalls y endpoints.

Tema 2: Operaciones de seguridad unificadas en Microsoft Defender Portal

Comprensión del cambio estratégico de Sentinel hacia Microsoft Defender Portal y la experiencia de operaciones de seguridad unificadas.
Revisión de la fecha clave: después del 31 de marzo de 2027 Sentinel dejará de estar soportado en Azure Portal y se utilizará en Defender Portal.
Identificación de beneficios de la experiencia unificada: incident queue, investigación centralizada, alertas, XDR, SIEM, exposición, threat intelligence e IA generativa.
Diferenciación entre capacidades de Sentinel puras y capacidades adicionales al combinarlo con Defender XDR.
Revisión de navegación, menús, incidentes, hunting, analytics, content hub y configuración dentro del portal moderno.
Preparación de plan de transición desde Azure Portal a Defender Portal para organizaciones existentes.
Identificación de funcionalidades limitadas cuando Sentinel se usa sin Defender XDR u otros servicios Microsoft habilitados.
Diseño de roles y permisos para analistas que trabajan en el portal unificado.
Creación de procedimientos operativos para que el SOC investigue desde una consola central.
Ejercicio práctico: definir roadmap de adopción de Defender Portal para un SOC que ya usa Sentinel.

Tema 3: Arquitectura de despliegue y diseño de workspaces

Diseño de arquitectura de Microsoft Sentinel basada en uno o varios Log Analytics workspaces según región, tenant, unidad de negocio, entorno o requisitos regulatorios.
Comparación entre workspace centralizado, workspaces por región, workspaces por tenant y modelos híbridos.
Evaluación de impacto de multi-workspace en detección, costes, consultas, administración y reporting.
Diseño de naming convention, etiquetas, grupos de recursos, suscripciones y ownership.
Gestión de permisos mediante Azure RBAC, roles de Sentinel, Log Analytics y privilegios mínimos.
Preparación de entornos de desarrollo, pruebas y producción para contenido Sentinel.
Evaluación de integración con Microsoft Lighthouse, Azure Arc o escenarios multi-tenant cuando proceda.
Diseño de separación entre datos productivos, laboratorio, auditoría y entornos sensibles.
Documentación de arquitectura, dependencias y responsables.
Ejercicio práctico: diseñar arquitectura de workspaces para una empresa con varias filiales y requisitos de residencia de datos.

Tema 4: Conectores de datos Microsoft

Configuración de conectores para Microsoft Defender XDR, Defender for Endpoint, Defender for Office 365, Defender for Identity, Defender for Cloud Apps y Defender for Cloud.
Integración de Entra ID, sign-in logs, audit logs, identity protection y actividad de usuarios.
Conexión con Microsoft 365, Exchange, SharePoint, Teams y eventos de colaboración.
Revisión de qué tablas genera cada conector y qué casos de uso habilita.
Priorización de fuentes Microsoft según madurez, volumen, coste y valor defensivo.
Validación de ingesta y detección de errores en conectores.
Gestión de permisos necesarios para activar conectores.
Diseño de casos de uso de detección a partir de identidad, endpoint, correo y cloud.
Revisión del catálogo de conectores out-of-the-box de Microsoft Sentinel, actualizado por Microsoft con pasos de despliegue para cada conector.
Ejercicio práctico: seleccionar conectores Microsoft prioritarios para un SOC corporativo.

Tema 5: Conectores multicloud, SaaS y terceros

Integración de fuentes externas como AWS, Google Cloud, firewalls, proxies, VPN, EDR no Microsoft, IAM, CASB, SaaS, DNS, WAF y aplicaciones corporativas.
Evaluación de métodos de ingesta: conectores nativos, CEF, Syslog, AMA, API, Event Hub, Logic Apps, custom logs y data collection rules.
Diseño de casos de uso por fuente externa: acceso anómalo, tráfico sospechoso, cambios administrativos, actividad cloud, malware, exfiltración y abuso de credenciales.
Control de volumen y coste antes de incorporar fuentes de alto ruido.
Normalización de logs heterogéneos para que sean útiles en detecciones e investigaciones.
Gestión de credenciales, tokens, permisos y secretos usados por conectores.
Validación de parsing, timestamps, campos críticos y consistencia.
Documentación de cada fuente: owner, finalidad, tablas, coste, retención y detecciones asociadas.
Revisión de conectores y playbooks SOAR disponibles para integrar productos y servicios del entorno.
Ejercicio práctico: diseñar plan de incorporación de fuentes no Microsoft priorizadas por riesgo.

Tema 6: Azure Monitor Agent, Syslog, CEF y Data Collection Rules

Comprensión del papel de Azure Monitor Agent en la ingesta moderna de logs desde servidores, appliances y entornos híbridos.
Diseño de recolección de Syslog y CEF para firewalls, proxies, VPN, Linux, appliances de seguridad y soluciones de terceros.
Configuración conceptual de Data Collection Rules para controlar qué datos se recopilan y dónde se envían.
Validación de facility, severity, host, timestamp, device vendor, device product y campos CEF relevantes.
Gestión de problemas comunes: parsing incorrecto, timezone, duplicidad, pérdida de eventos, agentes sin conectividad y errores de certificados.
Diseño de arquitectura con log forwarders y alta disponibilidad.
Filtrado previo de eventos innecesarios para reducir ruido y coste.
Documentación de configuración de cada fuente Syslog/CEF.
Preparación de monitorización del estado de agentes y conectores.
Ejercicio práctico: diseñar pipeline de ingesta CEF para firewall corporativo.

Tema 7: Tablas, esquemas, ASIM y normalización

Comprensión de tablas principales de Sentinel y Log Analytics: SecurityAlert, SecurityIncident, SigninLogs, AuditLogs, CommonSecurityLog, Device*, Email*, Identity- y tablas personalizadas.
Uso de ASIM como capa de normalización para consultas, detecciones y hunting reutilizable entre fuentes diferentes.
Diseño de detecciones basadas en modelos normalizados para no depender de un único fabricante.
Identificación de campos clave: TimeGenerated, Account, IPAddress, DeviceName, URL, Action, Result, ThreatName, Entity y Severity.
Revisión de problemas de normalización que rompen correlaciones: nombres inconsistentes, campos vacíos, timestamps erróneos y logs incompletos.
Creación de criterios de calidad de datos antes de usar una fuente para detección.
Uso de parsers para adaptar logs personalizados al modelo de consulta.
Documentación de esquemas y campos críticos por fuente.
Preparación de queries reutilizables para analistas.
Ejercicio práctico: normalizar campos de una fuente ficticia para hunting y detección.

Tema 8: KQL esencial para analistas Sentinel

Dominio de operadores básicos de KQL: `where`, `project`, `extend`, `summarize`, `order by`, `take`, `distinct`, `join`, `union` y `let`.
Filtrado temporal y uso correcto de `TimeGenerated` para investigaciones rápidas.
Creación de consultas legibles y mantenibles para analistas SOC.
Uso de agregaciones para detectar patrones, picos, usuarios, IPs, dispositivos y anomalías.
Enriquecimiento de eventos con campos calculados y normalización de valores.
Uso de joins para correlacionar identidad, endpoint, red y correo.
Optimización básica de consultas para reducir coste y mejorar rendimiento.
Conversión de consultas de investigación en detecciones candidatas.
Creación de una biblioteca inicial de queries del SOC.
Ejercicio práctico: construir consultas KQL para investigar accesos sospechosos, malware y actividad administrativa.

Tema 9: KQL avanzado para detección y hunting

Uso de `make_set`, `make_list`, `mv-expand`, `parse`, `extract`, `bag_unpack`, `series`, `bin`, `arg_max` y funciones avanzadas.
Creación de detecciones basadas en ventanas temporales, comportamiento histórico, rareza y correlación multi-fuente.
Diseño de consultas con variables, funciones reutilizables y parámetros.
Optimización avanzada para grandes volúmenes: filtrar pronto, proyectar campos necesarios, evitar joins costosos y usar tablas adecuadas.
Correlación de señales de identidad, endpoint, correo, red y cloud.
Búsqueda de patrones de ataque asociados a MITRE ATT&CK.
Creación de consultas robustas frente a ruido y falsos positivos.
Documentación de hipótesis, fuentes requeridas y límites de cada query.
Preparación de queries para analytics rules, hunting queries y workbooks.
Ejercicio práctico: crear hunting query avanzada para detección de movimiento lateral o abuso de identidad.

Tema 10: Analytics rules y detecciones personalizadas

Diseño de reglas analíticas scheduled, near-real-time, Microsoft security, Fusion y detecciones basadas en ML cuando apliquen.
Configuración de severidad, entidades, tácticas MITRE, descripción, frecuencia, periodo de búsqueda y agrupación de eventos.
Creación de reglas personalizadas a partir de hipótesis de ataque y queries KQL validadas.
Reducción de falsos positivos mediante thresholds, allowlists, watchlists y contexto de negocio.
Diseño de naming convention para reglas, versiones, owners y estado.
Mapeo de entidades para mejorar investigación: account, host, IP, URL, file, process y cloud resource.
Gestión de lifecycle de reglas: draft, testing, production, tuning, retired.
Revisión de reglas out-of-the-box antes de habilitarlas.
Documentación de lógica, fuentes, respuesta esperada y playbooks asociados.
Ejercicio práctico: crear regla analítica para actividad anómala de cuenta privilegiada.

Tema 11: Incident management y triage SOC

Comprensión de cómo Sentinel agrupa alertas en incidentes y cómo el analista debe gestionarlos.
Diseño de proceso de triage: validar, clasificar, asignar, investigar, escalar, cerrar y documentar.
Uso de entidades, timeline, alertas relacionadas, comentarios y evidencias.
Priorización por severidad, impacto, activo, usuario, exposición y contexto.
Creación de criterios de cierre: true positive, false positive, benign positive, duplicate o informational.
Redacción de comentarios útiles para handoff entre analistas.
Gestión de incidentes correlacionados con Defender XDR en el portal unificado.
Definición de SLAs internos para investigación y respuesta.
Medición de MTTD, MTTR, backlog y tasa de falsos positivos.
Ejercicio práctico: investigar un incidente ficticio desde alerta inicial hasta cierre documentado.

Tema 12: Entidades, investigación y visualización de relaciones

Uso de entidades como eje de investigación: usuarios, hosts, IPs, archivos, URLs, procesos, cuentas cloud y recursos.
Análisis de relaciones entre entidades para reconstruir actividad sospechosa.
Uso de gráficos, timeline e información contextual para acelerar investigación.
Enriquecimiento de entidades con watchlists, threat intelligence y datos externos.
Identificación de entidades críticas: cuentas privilegiadas, servidores críticos, endpoints sensibles y sistemas expuestos.
Creación de consultas centradas en entidad para investigar actividad antes y después del incidente.
Documentación de hallazgos por entidad afectada.
Gestión de entidades compartidas entre incidentes.
Integración con UEBA para comportamiento de usuario.
Ejercicio práctico: reconstruir actividad sospechosa de un usuario comprometido.

Tema 13: Automation rules y playbooks SOAR

Diferenciación entre automation rules y playbooks basados en Azure Logic Apps.
Diseño de automatizaciones para asignar incidentes, cambiar severidad, añadir etiquetas, enriquecer datos, notificar y escalar.
Creación de playbooks para Teams, Outlook, ServiceNow, Jira, Defender, Entra, firewalls y sistemas externos.
Aplicación de aprobación humana antes de acciones sensibles como bloqueo de usuario, aislamiento de dispositivo o eliminación de permisos.
Gestión de permisos de Logic Apps, identidades administradas, conectores y secretos.
Prevención de automatizaciones peligrosas que cierran incidentes o ejecutan contención sin contexto suficiente.
Registro de resultados de playbooks en comentarios de incidente.
Monitorización de ejecuciones, errores y tiempos de respuesta.
Uso del catálogo SOAR de Sentinel para acelerar integraciones.
Ejercicio práctico: diseñar playbook de enriquecimiento y notificación para phishing.

Tema 14: Logic Apps para respuesta y orquestación

Comprensión de Azure Logic Apps como motor de automatización detrás de playbooks de Sentinel.
Diseño de flujos con triggers de incidente, acciones condicionales, bucles, scopes, control de errores y conectores.
Integración con Teams, Outlook, Defender, Entra, ServiceNow, Jira, HTTP, APIs y sistemas internos.
Gestión de credenciales y secretos mediante identidades administradas y Key Vault cuando proceda.
Control de errores, reintentos y timeouts en playbooks críticos.
Diseño de playbooks reutilizables para distintos tipos de incidente.
Documentación de entradas, salidas, owners y permisos.
Separación entre automatización de bajo riesgo y respuesta de alto impacto.
Pruebas de playbooks en entorno de laboratorio.
Ejercicio práctico: crear diseño de Logic App para intake, enriquecimiento y escalado de incidente.

Tema 15: Threat Intelligence en Sentinel

Ingesta y gestión de indicadores de compromiso desde fuentes Microsoft, TAXII, STIX, Defender Threat Intelligence, MISP u otras plataformas.
Uso de indicadores para enriquecer alertas, hunting, reglas analíticas e investigaciones.
Gestión de ciclo de vida de IoCs: alta, expiración, confianza, fuente, severidad y falso positivo.
Correlación entre IoCs y eventos internos.
Creación de detecciones basadas en IPs, dominios, URLs, hashes y comportamiento asociado.
Prevención de ruido por feeds de baja calidad.
Priorización de inteligencia relevante para el sector y superficie de ataque.
Integración con MITRE ATT&CK y campañas conocidas.
Preparación de informes de threat intelligence para el SOC.
Ejercicio práctico: diseñar proceso de uso de IoCs para hunting e incidentes.

Tema 16: UEBA y Entity Behavior Analytics

Comprensión de User and Entity Behavior Analytics como capacidad para detectar anomalías de comportamiento de usuarios y entidades.
Revisión de cómo UEBA puede acelerar flujos de detección mediante visibilidad sobre comportamiento anómalo.
Identificación de escenarios: cuentas comprometidas, movimiento lateral, acceso inusual, actividad privilegiada, cambio de ubicación y anomalías de dispositivo.
Uso de insights de entidad durante investigación.
Integración de UEBA con incidentes, hunting y análisis de riesgo.
Revisión de novedades recientes como el widget de UEBA en Defender Portal en preview anunciado por Microsoft en enero de 2026.
Ajuste de expectativas: UEBA no sustituye detecciones deterministas ni análisis humano.
Reducción de falsos positivos mediante contexto de negocio.
Documentación de casos de uso UEBA por perfil de usuario.
Ejercicio práctico: investigar comportamiento anómalo de cuenta desde perspectiva UEBA.

Tema 17: Hunting proactivo con Microsoft Sentinel

Diseño de hipótesis de hunting basadas en amenazas, activos críticos, MITRE ATT&CK, vulnerabilidades y cambios recientes.
Uso de hunting queries para buscar señales débiles no cubiertas por detecciones existentes.
Creación de hunts recurrentes y campañas de búsqueda.
Organización de hunting por técnica: phishing, persistencia, credenciales, movimiento lateral, exfiltración y abuso cloud.
Gestión de hallazgos de hunting y conversión en reglas analíticas.
Uso de bookmarks para marcar eventos relevantes durante investigaciones.
Documentación de hipótesis, query, resultados, falsos positivos y acciones.
Integración de threat intelligence en hunting.
Medición del valor de hunting para mejorar detección.
Ejercicio práctico: ejecutar hunting conceptual de abuso de credenciales en entorno ficticio.

Tema 18: MITRE ATT&CK y cobertura de detección

Mapeo de reglas, hunting queries, alertas e incidentes a tácticas y técnicas MITRE ATT&CK.
Identificación de gaps de cobertura por táctica: Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Exfiltration e Impact.
Creación de matriz de cobertura del SOC basada en fuentes disponibles.
Priorización de técnicas relevantes para el sector y stack tecnológico.
Uso de MITRE para explicar madurez de detección a dirección.
Diseño de detecciones a partir de técnicas críticas.
Evaluación de cobertura defensiva frente a ransomware, phishing, BEC y cloud attacks.
Conexión entre MITRE, threat intelligence y analytics rules.
Documentación de dependencias de datos para cada técnica.
Ejercicio práctico: construir matriz de cobertura MITRE para Sentinel.

Tema 19: Workbooks y visualización operativa

Creación de workbooks para visualización de incidentes, ingesta, coste, fuentes, usuarios, endpoints, cloud, MITRE y KPIs SOC.
Uso de parámetros, filtros, gráficos, tablas, queries y visualizaciones dinámicas.
Diseño de dashboards para analistas, responsables SOC, CISO, GRC y operaciones.
Creación de workbooks de salud de conectores, errores de ingesta y volumen de datos.
Visualización de tendencias de incidentes, falsos positivos, severidad y tiempos de respuesta.
Integración de KQL avanzado en paneles reutilizables.
Evitación de dashboards decorativos sin acciones claras.
Documentación de propietario y finalidad de cada workbook.
Revisión de contenido del Content Hub como punto de partida.
Ejercicio práctico: diseñar workbook SOC ejecutivo y workbook técnico de ingesta.

Tema 20: Content Hub, soluciones y contenido reutilizable

Uso de Content Hub para descubrir, instalar y gestionar soluciones, analytics rules, workbooks, playbooks, parsers y hunting queries.
Revisión de contenidos por tecnología: Microsoft, AWS, Cisco, Palo Alto, Fortinet, Okta, Zscaler, SAP, ServiceNow y otros.
Evaluación de calidad y pertinencia antes de habilitar contenido out-of-the-box.
Adaptación de reglas instaladas a contexto, naming convention y política interna.
Gestión de versiones y actualizaciones de soluciones.
Documentación de dependencias de datos y permisos.
Retirada de contenido que genera ruido o no aporta valor.
Creación de contenido interno reutilizable.
Alineación con casos de uso SOC.
Ejercicio práctico: seleccionar un paquete de contenido y planificar su adaptación al entorno.

Tema 21: Watchlists, allowlists y enriquecimiento de contexto

Creación de watchlists para activos críticos, VIPs, cuentas de servicio, IPs internas, proveedores, aplicaciones, excepciones y allowlists.
Uso de watchlists en KQL, reglas analíticas y hunting.
Gestión de ciclo de vida de listas: owner, actualización, expiración y validación.
Prevención de allowlists demasiado amplias que oculten ataques.
Enriquecimiento de incidentes con criticidad de activo, propietario, entorno y función de negocio.
Uso de watchlists para reducir falsos positivos.
Integración con CMDB o inventario cuando exista.
Documentación de fuentes de verdad para cada lista.
Control de cambios sobre listas sensibles.
Ejercicio práctico: crear watchlist de activos críticos y usarla en una regla.

Tema 22: Costes, ingesta, retención y optimización

Comprensión del modelo de costes de Sentinel, donde los costes dependen de ingesta, retención, Azure Monitor, servicios asociados y configuración.
Diseño de estrategia de ingesta por valor defensivo: no todos los logs merecen estar en Analytics tier.
Revisión de planes de logs, retención, archive, search y estrategias para datos de investigación o cumplimiento.
Identificación de fuentes ruidosas: firewalls, DNS, proxies, endpoints, debug logs, cloud audit y aplicaciones.
Uso de filtros, transformaciones y Data Collection Rules para reducir volumen.
Creación de workbooks de coste por tabla, fuente, conector y tendencia.
Evaluación de compromiso entre visibilidad, coste y retención.
Preparación de previsiones presupuestarias y alertas de coste.
Revisión del pricing flexible de Sentinel con tiers de datos orientados a equilibrar cobertura y coste.
Ejercicio práctico: optimizar una arquitectura de ingesta con reducción de coste sin perder detección crítica.

Tema 23: Microsoft Sentinel Data Lake y tiers de almacenamiento

Comprensión de Sentinel Data Lake como evolución para almacenamiento y análisis de seguridad a gran escala.
Diferenciación entre Analytics tier para detección, alertas e incident management, y Data Lake tier para optimización de coste y retención amplia.
Diseño de estrategia de qué datos mantener en Analytics y cuáles derivar a tiers de menor coste o data lake.
Evaluación de casos de uso: forense, cumplimiento, hunting histórico, investigación retrospectiva y retención extendida.
Revisión de impacto en queries, detecciones, reporting y tiempos de acceso.
Planificación de retención por tipo de dato: identidad, endpoint, red, cloud, SaaS, auditoría y aplicaciones.
Identificación de datos de alto valor para detección inmediata frente a datos útiles para investigación posterior.
Gestión de cumplimiento y evidencias con retención adecuada.
Documentación de política de almacenamiento de seguridad.
Ejercicio práctico: diseñar modelo de retención y tiers para una empresa regulada.

Tema 24: Summary rules, transformación e ingeniería de datos

Uso de summary rules para resumir datos de alto volumen y mejorar consultas operativas.
Diseño de tablas agregadas para dashboards, detecciones de tendencia y reporting ejecutivo.
Evaluación de cuándo transformar datos en ingesta frente a transformar en consulta.
Reducción de cardinalidad y ruido antes de almacenar.
Creación de datos derivados para hunting y detección.
Gestión de pipelines de datos de seguridad con criterios de coste y rendimiento.
Validación de que las transformaciones no eliminan evidencias críticas.
Documentación de lógica de transformación.
Coordinación entre ingeniería de datos, SOC y compliance.
Ejercicio práctico: diseñar resumen diario de actividad de autenticación y alertas.

Tema 25: Integración con Microsoft Defender XDR

Comprensión de la integración entre Sentinel y Defender XDR dentro del portal unificado.
Revisión de cómo Defender XDR recopila, correlaciona y analiza señales de endpoints, identidades, email, aplicaciones y recursos OT/IoT.
Gestión de incidentes combinados entre XDR y SIEM.
Identificación de cuándo investigar en Defender, cuándo en Sentinel y cuándo correlacionar ambos.
Uso de incident queue, entidades, timeline y alertas correlacionadas.
Diseño de casos de uso: phishing con endpoint impactado, identidad comprometida, correo malicioso y actividad cloud.
Preparación de workflows SOC para entornos Microsoft-first.
Reducción de duplicidad de alertas entre Defender y Sentinel.
Creación de playbooks y reglas que aprovechen señales XDR.
Ejercicio práctico: diseñar investigación de incidente multi-etapa con Defender XDR y Sentinel.

Tema 26: Integración con Microsoft Defender for Cloud y entornos cloud

Conexión de Defender for Cloud con Sentinel para alertas, recomendaciones y postura de seguridad.
Diseño de casos de uso en Azure, AWS y Google Cloud: exposición pública, cambios de IAM, vulnerabilidades, workload protection y actividad sospechosa.
Correlación entre alertas cloud, identidad, red y actividad de aplicaciones.
Priorización de incidentes cloud por criticidad de recurso y exposición.
Creación de reglas para actividad administrativa sospechosa.
Uso de workbooks para postura cloud y tendencias de incidentes.
Integración con procesos de remediación y owners de plataforma.
Revisión de costes de ingesta cloud.
Documentación de playbooks de respuesta cloud.
Ejercicio práctico: diseñar detección de cambio crítico en recurso cloud.

Tema 27: Integración con Microsoft Entra ID e identidad

Ingesta y análisis de sign-in logs, audit logs, risky users, risky sign-ins y cambios de configuración.
Detección de password spray, impossible travel, MFA fatigue, cambios de privilegio, consent grant abuse y actividad de cuentas de servicio.
Diseño de reglas analíticas para cuentas privilegiadas y aplicaciones empresariales.
Uso de watchlists para VIPs, admins, break-glass accounts y cuentas críticas.
Correlación entre identidad, endpoint, correo y cloud.
Creación de hunting queries para abuso de identidad.
Integración con Entra ID Protection y Conditional Access.
Diseño de playbooks de respuesta ante cuenta comprometida.
Métricas de riesgo de identidad para dirección.
Ejercicio práctico: investigar actividad anómala de usuario privilegiado.

Tema 28: Seguridad de correo y phishing con Sentinel

Integración de señales de Defender for Office 365, Exchange Online, URLs, adjuntos, remitentes y actividad de usuario.
Detección de phishing, BEC, malware en correo, reglas de buzón sospechosas y abuso de cuentas.
Correlación entre correo recibido, clics, autenticaciones, endpoint y creación de reglas de reenvío.
Diseño de reglas para campañas de phishing dirigidas.
Creación de playbooks para notificar usuarios, abrir ticket, buscar mensajes similares y escalar a SOC.
Uso de threat intelligence para dominios y URLs sospechosas.
Métricas de campañas y usuarios afectados.
Preparación de informes para concienciación.
Reducción de falsos positivos en alertas de correo.
Ejercicio práctico: investigar campaña de phishing simulada desde Sentinel.

Tema 29: Endpoint, malware y ransomware en Sentinel

Integración de señales endpoint desde Defender for Endpoint u otras fuentes EDR.
Detección de ejecución sospechosa, powershell anómalo, persistencia, movimiento lateral, credenciales y ransomware.
Correlación de procesos, archivos, usuario, host, IP y alertas.
Diseño de hunting queries para comportamientos asociados a MITRE ATT&CK.
Creación de incidentes enriquecidos con entidad host y usuario.
Preparación de playbooks de aislamiento, notificación y escalado con aprobación humana.
Métricas de endpoint coverage y respuesta.
Documentación de timeline de infección.
Integración con threat intelligence y hash reputation.
Ejercicio práctico: reconstruir cadena de infección ransomware ficticia.

Tema 30: Redes, firewalls, DNS, proxy y VPN

Ingesta de logs de firewalls, DNS, proxy, VPN, IDS/IPS, WAF y soluciones de red mediante CEF, Syslog o conectores.
Detección de C2, exfiltración, escaneo, conexiones a dominios sospechosos, tráfico anómalo y accesos VPN inusuales.
Normalización de campos de red para hunting y dashboards.
Correlación de IPs, usuarios, dispositivos y destinos externos.
Gestión de ruido de fuentes de alto volumen.
Creación de watchlists para redes internas, proveedores, sedes y activos críticos.
Diseño de alertas de tráfico fuera de patrón.
Visualización de tendencias y top talkers.
Integración con threat intelligence.
Ejercicio práctico: crear detección de conexión sospechosa a infraestructura externa.

Tema 31: Seguridad de aplicaciones y logs personalizados

Ingesta de logs de aplicaciones propias mediante custom logs, API, Event Hub o agentes.
Definición de campos mínimos para detección: usuario, sesión, IP, acción, resultado, recurso, error, tenant y correlación.
Diseño de detecciones sobre abuso funcional, fraude, cambios críticos, errores de autorización y actividad anómala.
Normalización de logs de aplicación para consultas consistentes.
Colaboración con equipos de desarrollo para mejorar logging de seguridad.
Gestión de volumen y retención de logs personalizados.
Creación de dashboards de actividad crítica de aplicación.
Integración con incidentes y playbooks.
Documentación de contrato de logging seguro.
Ejercicio práctico: diseñar esquema de logs de seguridad para aplicación corporativa.

Tema 32: Notebooks, análisis avanzado y ciencia de datos

Uso conceptual de notebooks para investigaciones avanzadas, enriquecimiento, análisis estadístico y hunting complejo.
Integración con datos de Sentinel para análisis fuera de queries tradicionales.
Aplicación de notebooks en investigación de grandes volúmenes, clustering, timeline y enriquecimiento externo.
Revisión de librerías, entornos y permisos necesarios.
Identificación de casos donde KQL es suficiente y donde notebook aporta valor.
Diseño de análisis reproducibles y documentados.
Gestión de datos sensibles en notebooks.
Creación de informes técnicos desde análisis avanzado.
Coordinación entre threat hunters y data scientists.
Ejercicio práctico: diseñar workflow de notebook para investigación retrospectiva.

Tema 33: Inteligencia artificial y Security Copilot con Sentinel

Comprensión del papel de Microsoft Security Copilot como asistente generativo para seguridad e IT.
Identificación de escenarios combinados con Sentinel: resumen de incidentes, explicación de alertas, generación de KQL, investigación guiada y reporting.
Revisión del encaje de IA generativa dentro de operaciones unificadas de Microsoft Security.
Diseño de límites: Security Copilot ayuda a investigar, pero no sustituye evidencia ni decisión del analista.
Preparación de prompts seguros para analistas SOC.
Uso de IA para acelerar documentación y handoff.
Evaluación de riesgos por datos sensibles en prompts.
Integración conceptual con Defender XDR y Sentinel.
Medición de valor operativo de IA en el SOC.
Ejercicio práctico: diseñar un flujo de investigación asistida por IA para un incidente Sentinel.

Tema 34: Gobierno, roles y permisos en Sentinel

Diseño de modelo RBAC para administradores, analistas Tier 1, Tier 2, hunters, ingenieros, GRC y lectores ejecutivos.
Separación de permisos sobre workspace, incidentes, reglas, playbooks, conectores, workbooks y datos.
Gestión de least privilege y acceso just-in-time cuando proceda.
Control de identidades administradas usadas por playbooks.
Auditoría de cambios en reglas, conectores, permisos y automatizaciones.
Revisión de cuentas break-glass y acceso privilegiado.
Documentación de matriz de roles.
Integración con Entra ID, PIM y grupos de seguridad.
Revisión periódica de accesos.
Ejercicio práctico: diseñar matriz RBAC para equipo SOC y plataforma.

Tema 35: Operación diaria del SOC con Sentinel

Diseño de rutinas diarias: revisión de incidentes, conectores, ingesta, reglas, playbooks, costes, alertas críticas y backlog.
Definición de handoff entre turnos y escalado por severidad.
Gestión de falsos positivos y tuning continuo.
Documentación de procedimientos operativos estándar.
Priorización de incidentes por impacto y criticidad.
Gestión de cambios en reglas y conectores.
Revisión de métricas SOC: MTTD, MTTR, volumen, severidad, closure reason y workload.
Creación de reuniones de mejora de detección.
Comunicación con IT, cloud, identidad, compliance y dirección.
Ejercicio práctico: diseñar operating model semanal de un SOC basado en Sentinel.

Tema 36: Gestión de falsos positivos y tuning

Identificación de reglas ruidosas, fuentes de ruido, excepciones legítimas y patrones benignos.
Uso de watchlists, thresholds, suppression, entity mapping y contexto de negocio para reducir ruido.
Creación de proceso de tuning con owner, evidencia y control de cambios.
Evitación de silenciar detecciones críticas por presión operativa.
Análisis de closure reasons y comentarios de analistas.
Revisión periódica de reglas con alto volumen y bajo valor.
Medición de impacto del tuning sobre carga SOC.
Documentación de excepciones temporales y permanentes.
Validación de detecciones tras cambios.
Ejercicio práctico: reducir falsos positivos de una regla sin perder cobertura de ataque.

Tema 37: Detecciones para ransomware y ataques modernos

Diseño de detecciones por cadena de ataque: acceso inicial, ejecución, persistencia, escalada, movimiento lateral, exfiltración e impacto.
Correlación entre correo, identidad, endpoint, red, cloud y aplicaciones.
Uso de MITRE ATT&CK para cubrir técnicas críticas de ransomware.
Creación de reglas de detección de comportamiento: múltiples fallos, cambios masivos, ejecución sospechosa, conexiones anómalas y borrado de backups.
Integración con threat intelligence y hunting.
Diseño de playbooks de notificación y contención con aprobación humana.
Preparación de dashboards de exposición y actividad sospechosa.
Creación de simulaciones conceptuales para probar detecciones.
Documentación de runbook de ransomware.
Ejercicio práctico: diseñar cobertura Sentinel frente a ransomware de extremo a extremo.

Tema 38: Detecciones para insider threat y abuso de privilegios

Identificación de señales de actividad interna anómala: descarga masiva, acceso fuera de horario, uso de cuentas privilegiadas, cambios no autorizados y exfiltración.
Integración de datos de identidad, endpoint, correo, SharePoint, Teams, VPN y aplicaciones.
Uso de UEBA y watchlists de usuarios sensibles o roles críticos.
Creación de detecciones con sensibilidad adecuada para evitar acusaciones injustificadas.
Coordinación con legal, RR. HH. y compliance.
Gestión de privacidad y minimización de datos.
Documentación cuidadosa de evidencias.
Diseño de procesos de escalado restringido.
Preparación de informes ejecutivos con lenguaje prudente.
Ejercicio práctico: investigar caso ficticio de abuso de privilegios.

Tema 39: Detecciones para cloud, SaaS y shadow IT

Detección de creación de recursos públicos, cambios de IAM, uso de ubicaciones no autorizadas, apps OAuth sospechosas y servicios SaaS no aprobados.
Integración de logs cloud, Entra, Defender for Cloud Apps y fuentes externas.
Uso de watchlists para apps permitidas, proveedores y cuentas críticas.
Creación de reglas para accesos desde países inusuales, consentimientos peligrosos y activity spikes.
Correlación con usuario, dispositivo y red.
Preparación de playbooks para revisar apps OAuth y permisos.
Reporting de shadow IT para IT y dirección.
Gestión de riesgos sin bloquear productividad legítima.
Documentación de excepciones.
Ejercicio práctico: diseñar detección de app OAuth sospechosa y respuesta asociada.

Tema 40: Reporting ejecutivo y métricas de valor

Creación de KPIs para medir madurez Sentinel: fuentes conectadas, cobertura MITRE, incidentes, falsos positivos, automatizaciones y tiempos de respuesta.
Diseño de informes para CISO, dirección, auditoría y equipos técnicos.
Traducción de actividad SOC a valor de negocio.
Medición de ahorro por automatización, reducción de ruido y mejora de tiempos.
Visualización de tendencias de amenazas e incidentes.
Reporting de costes, ingesta y optimización.
Preparación de narrativa ejecutiva clara y no alarmista.
Integración con Power BI o workbooks según necesidad.
Documentación de decisiones y riesgos aceptados.
Ejercicio práctico: construir informe mensual de Sentinel para comité de seguridad.

Tema 41: Sentinel para cumplimiento, auditoría y evidencias

Uso de Sentinel como fuente de evidencias para investigaciones, auditorías y revisiones de control.
Diseño de retención adecuada según requisitos internos, regulatorios y forenses.
Creación de consultas y workbooks para evidenciar actividad, accesos, cambios y alertas.
Documentación de incidentes con timeline, acciones, owners y cierre.
Integración con GRC, ISO 27001, ENS, NIST o marcos corporativos.
Control de acceso a datos sensibles durante auditorías.
Preparación de informes de cumplimiento basados en logs.
Gestión de solicitudes de evidencia de forma repetible.
Revisión de límites de Sentinel como fuente única de verdad.
Ejercicio práctico: preparar paquete de evidencias para auditoría ficticia.

Tema 42: Resiliencia, continuidad y mantenimiento de Sentinel

Diseño de controles para asegurar que Sentinel sigue ingiriendo datos críticos y alertando correctamente.
Monitorización del estado de conectores, agentes, playbooks, permisos y costes.
Gestión de cambios y pruebas antes de modificar reglas productivas.
Estrategia de backup/exportación de contenido Sentinel: reglas, workbooks, playbooks, queries y configuraciones.
Uso de IaC, repositorios o plantillas para mantener contenido versionado.
Preparación de plan de continuidad si un conector crítico falla.
Revisión de dependencias externas: APIs, credenciales, certificados, tokens y servicios cloud.
Documentación de procedimiento de recuperación.
Ejecución de revisiones periódicas de salud de plataforma.
Ejercicio práctico: crear checklist de mantenimiento mensual de Sentinel.

Tema 43: DevOps para contenido Sentinel

Gestión de reglas, workbooks, playbooks, parsers y hunting queries como código cuando sea posible.
Uso de repositorios Git para versionar contenido Sentinel.
Creación de pipelines de despliegue de contenido entre entornos.
Revisión por pull request de detecciones y automatizaciones.
Testing de KQL antes de publicar reglas.
Control de cambios, versiones, approvals y rollback.
Organización de contenido por caso de uso, fuente, MITRE y severidad.
Coordinación entre SOC engineering, hunters e infraestructura.
Documentación de release notes de contenido SOC.
Ejercicio práctico: diseñar flujo DevOps para reglas Sentinel.

Tema 44: Migración desde SIEM tradicional a Microsoft Sentinel

Evaluación de SIEM actual: fuentes, reglas, dashboards, casos de uso, retención, costes y procesos SOC.
Priorización de fuentes y detecciones para migración incremental.
Traducción de reglas heredadas a KQL.
Validación paralela entre SIEM antiguo y Sentinel.
Gestión de cambios organizativos en analistas y procesos.
Rediseño de playbooks y automatizaciones.
Control de coste durante coexistencia.
Migración de dashboards y reporting.
Plan de retirada gradual del SIEM anterior.
Ejercicio práctico: diseñar roadmap de migración SIEM a Sentinel en 6 meses.

Tema 45: Proyecto integrador de Microsoft Sentinel

Diseño de arquitectura completa de Sentinel para una empresa con Microsoft 365, Azure, endpoints, firewall, SaaS y aplicaciones internas.
Selección de conectores, tablas, retención, tiers, costes y estrategia de ingesta.
Creación de modelo de roles, permisos, workspaces, naming convention y gobierno.
Diseño de reglas analíticas para identidad, phishing, endpoint, cloud y red.
Creación de hunting queries KQL y matriz MITRE ATT&CK.
Diseño de playbooks SOAR para notificación, enriquecimiento, asignación y escalado.
Creación de watchlists, workbooks, reporting ejecutivo y KPIs SOC.
Integración con Defender Portal, Defender XDR, Security Copilot y Microsoft Security cuando proceda.
Preparación de operating model SOC, tuning, mantenimiento, DevOps de contenido y optimización de costes.
Presentación final defendiendo arquitectura, detecciones, automatización, costes, gobierno, cobertura y plan de evolución.

Perfiles profesionales

Pensado para quienes deben dominar Microsoft Sentinel en su día a día

Analistas SOC y blue team

Este curso permite a los analistas trabajar Sentinel como consola central de investigación, detección, hunting y respuesta, mejorando triage, priorización, correlación de eventos, gestión de incidentes y automatización defensiva.

Ingenieros de seguridad e infraestructura

Los perfiles técnicos aprenderán a conectar fuentes, diseñar arquitectura de ingesta, gestionar agentes, optimizar logs, controlar costes, normalizar datos y mantener Sentinel como plataforma estable.

Administradores Microsoft 365, Azure y Defender

Los equipos que ya trabajan con Microsoft 365, Entra, Defender, Azure y Purview podrán integrar Sentinel dentro de una experiencia unificada de seguridad y mejorar visibilidad entre identidades, endpoints, correo, cloud y SaaS.

Threat hunters y analistas avanzados

Los perfiles de hunting podrán profundizar en KQL, consultas avanzadas, hipótesis, MITRE ATT&CK, threat intelligence, UEBA, notebooks, workbooks y detecciones personalizadas.

Responsables de seguridad y CISO

Los responsables de seguridad podrán entender cómo diseñar una estrategia SIEM/SOAR sostenible, medir valor, controlar coste, priorizar fuentes, gobernar automatizaciones y alinear Sentinel con madurez SOC.

Equipos GRC, compliance y auditoría técnica

Los perfiles de cumplimiento podrán utilizar Sentinel para retención, evidencias, investigación, trazabilidad, reporting, detección de anomalías, revisión de controles y soporte a auditorías.

¿Tienes dudas?

ContáctanosContacta con nosotros

Casos de éxito

Empresas que ya han formado a sus equipos

Experiencias reales de equipos que ya han trabajado con nosotros.

+16

años de liderazgo

+3.500

empresas formadas

Nuestra empresa decidió contratar formación con Imagina aprovechando los créditos de FUNDAE, y fue una gran decisión. La modalidad online nos permitió adaptar los horarios a nuestro equipo. La formación ha sido práctica, clara y útil para el día a día. Es sencillo de gestionar y los resultados son excepcionales.

Hugo Gutiérrez

Analista Financiero

Gracias a Imagina, la eficiencia de nuestras sesiones de capacitación ha mejorado drásticamente. Es sencillo de usar y los resultados son excepcionales.

Luis Martínez

Administrativo

Gracias al aula virtual de Imagina siempre son capaces de adaptar los cursos a nuestras necesidades. El contenido fue muy completo y práctico.

Elena Pérez

Responsable de Recursos Humanos

Mejor de lo esperado, la modalidad online se adapta a nuestros horarios. La ayuda con la bonificación FUNDAE hizo todo más fácil. Práctico y necesario.

Alejandro Sánchez

Director de Operaciones

Hugo Gutiérrez

Analista Financiero

Gracias a Imagina, la eficiencia de nuestras sesiones de capacitación ha mejorado drásticamente. Es sencillo de usar y los resultados son excepcionales.

Luis Martínez

Administrativo

Gracias al aula virtual de Imagina siempre son capaces de adaptar los cursos a nuestras necesidades. El contenido fue muy completo y práctico.

Elena Pérez

Responsable de Recursos Humanos

Mejor de lo esperado, la modalidad online se adapta a nuestros horarios. La ayuda con la bonificación FUNDAE hizo todo más fácil. Práctico y necesario.

Alejandro Sánchez

Director de Operaciones

+16

años de liderazgo

+3.500

empresas formadas

Hugo Gutiérrez

Analista Financiero

Gracias a Imagina, la eficiencia de nuestras sesiones de capacitación ha mejorado drásticamente. Es sencillo de usar y los resultados son excepcionales.

Luis Martínez

Administrativo

Gracias al aula virtual de Imagina siempre son capaces de adaptar los cursos a nuestras necesidades. El contenido fue muy completo y práctico.

Elena Pérez

Responsable de Recursos Humanos

Mejor de lo esperado, la modalidad online se adapta a nuestros horarios. La ayuda con la bonificación FUNDAE hizo todo más fácil. Práctico y necesario.

Alejandro Sánchez

Director de Operaciones

Hugo Gutiérrez

Analista Financiero

Gracias a Imagina, la eficiencia de nuestras sesiones de capacitación ha mejorado drásticamente. Es sencillo de usar y los resultados son excepcionales.

Luis Martínez

Administrativo

Gracias al aula virtual de Imagina siempre son capaces de adaptar los cursos a nuestras necesidades. El contenido fue muy completo y práctico.

Elena Pérez

Responsable de Recursos Humanos

Mejor de lo esperado, la modalidad online se adapta a nuestros horarios. La ayuda con la bonificación FUNDAE hizo todo más fácil. Práctico y necesario.

Alejandro Sánchez

Director de Operaciones

480.000 alumnos formados en Imagina

Ver todas las opiniones

Preguntas frecuentes

Resolvemos todas tus dudas sobre nuestra formación en Microsoft Sentinel

Explora las respuestas a las preguntas que guian a nuestra comunidad. Aqui encontraras claridad sobre como funciona todo, desde el acceso hasta los detalles de los cursos. Si buscas respuestas, este es el lugar para comenzar.

Es un curso avanzado. Parte desde la arquitectura y configuración, pero profundiza en KQL, detecciones, hunting, SOAR, costes, Data Lake, operación SOC y gobierno.

¿Tienes dudas?
Estamos aqui para ayudarte

Contactar

Es un curso avanzado. Parte desde la arquitectura y configuración, pero profundiza en KQL, detecciones, hunting, SOAR, costes, Data Lake, operación SOC y gobierno.

¿Tienes dudas?
Estamos aqui para ayudarte

Contactar

Recursos extra

Descubre nuestros tutoriales

Automatización con Microsoft

Qué es Microsoft Power Automate y para qué sirve

November 05, 2025

Descubre Que es Microsoft Power Automate o Microsoft Flow: Guía Completa de la Herramienta de Automatización de Tareas de Microsoft

Seguridad

¿Qué es Kali Linux y para qué se utiliza?

June 17, 2025

Descubre cómo instalar Kali Linux fácilmente y empieza a usar esta herramienta esencial para pruebas de penetración y análisis forense digital.

Recursos Humanos

Top 5 Cursos Bonificados para Trabajadores en 2025

June 09, 2025

Conoce los cursos bonificados para trabajadores 2025 más demandados y cómo puedes inscribir a tus empleados para aprovechar los créditos formativos de FUNDAE.

Prevención

5 Cursos Obligatorios para cualquier Empresa en 2025

May 26, 2025

Conoce los cursos obligatorios para empresas 2025 y cómo asegurar que tu organización cumpla con las normativas actuales sin riesgos de sanciones.

Recursos Humanos

Cursos Bonificados por Fundación Tripartita en 2025

May 05, 2025

Descubre los mejores cursos bonificados para empresas en 2025 por la Fundación Tripartita. Aumenta la productividad de tu equipo sin costes adicionales.

Recursos extra

Para que aprendas mensualmente
con nosotros

Tutoriales

Nuestra colección de contenido educacional

Qué es Microsoft Power Automate y para qué sirve

¿Qué es Kali Linux y para qué se utiliza?

Top 5 Cursos Bonificados para Trabajadores en 2025

5 Cursos Obligatorios para cualquier Empresa en 2025

Cursos Bonificados por Fundación Tripartita en 2025

Da el salto y aprende con nuestros cursos

Solicita información

Diseñemos hoy el curso que tu empresa necesita

Cuéntanos tus objetivos de negocio y prepararemos una propuesta formativa bonificable totalmente ad hoc

Solicitar presupuesto personalizado

Curso de Microsoft Sentinel para equipos de ciberseguridad y SOC

Aprende con el curso de Microsoft Sentinel para empresas hasta 100% bonificado, a medida para tu organización.

Modalidad Aula Virtual Personalizada

Curso de Microsoft Sentinel hasta 100% Bonificable a través de FUNDAE

Tu bonificación paso a paso

La formación que decideste devuelve dinero

Cubre Sentinel de extremo a extremo

Actualizado al portal moderno de Microsoft Defender La formación prioriza la experiencia de operaciones unificadas, clave porque Sentinel dejará de estar soportado en Azure Portal después del 31 de marzo de 2027.

Orientado a SOC real y no solo a configuración Incluye procesos de triage, tuning, handoff, métricas, falsas alarmas, cobertura MITRE, playbooks, reporting, mantenimiento y mejora continua.

Controla costes desde el diseño El curso trabaja ingesta, retención, tiers, Data Lake, fuentes ruidosas, transformaciones, dashboards de coste y priorización de datos por valor defensivo.

Integra SIEM, XDR, SOAR e IA Sentinel se trabaja conectado con Defender XDR, Security Copilot, Defender for Cloud, Entra ID, Purview, Logic Apps y el ecosistema Microsoft Security.

Genera entregables operativos reutilizables Los alumnos crean arquitectura, reglas, KQL, playbooks, watchlists, workbooks, matriz MITRE, modelo SOC, plan de coste y proyecto integrador.

Personaliza el temario al 100% para tu equipo

Nueva Plataformade E-learningFormación en directo con plataforma de apoyo para reforzar el aprendizaje

Acceso a las grabaciones

Recursos formativos

Confirmación de asistencia

Ejercicios prácticos

Acceso a las grabaciones

Recursos formativos

Confirmación de asistencia

Ejercicios prácticos

Practica y mejora con nuestra plataforma

Temario del curso

Pensado para quienes deben dominar Microsoft Sentinel en su día a día

Empresas que ya han formado a sus equipos

Resolvemos todas tus dudas sobre nuestra formación en Microsoft Sentinel

Descubre nuestros tutoriales

Qué es Microsoft Power Automate y para qué sirve

¿Qué es Kali Linux y para qué se utiliza?

Top 5 Cursos Bonificados para Trabajadores en 2025

5 Cursos Obligatorios para cualquier Empresa en 2025

Cursos Bonificados por Fundación Tripartita en 2025

Para que aprendas mensualmentecon nosotros

Nuestra colección de contenido educacional

Da el salto y aprende con nuestros cursos

Diseñemos hoy el curso que tu empresa necesita

Temario del curso

La formación que decides
te devuelve dinero

Nueva Plataforma
de E-learningFormación en directo con plataforma de apoyo para reforzar el aprendizaje

Para que aprendas mensualmente
con nosotros