Si administras Microsoft Sentinel, hay una noticia importante que probablemente ya hayas visto aparecer en documentación, blogs y sesiones de Microsoft:

Microsoft Sentinel abandonará el portal de Azure y pasará a gestionarse exclusivamente desde Microsoft Defender. Microsoft había anunciado que el portal de Azure dejaría de ser compatible con Sentinel en julio de 2026, pero posteriormente amplió la fecha hasta el 31 de marzo de 2027.

Microsoft está apostando por una experiencia unificada donde SIEM, XDR, Threat Intelligence, Exposure Management y Security Copilot convivan en un único portal: security.microsoft.com.

---

¿Qué está pasando exactamente?

Microsoft Sentinel ya está disponible de forma general en el portal de Microsoft Defender.

Actualmente podemos seguir trabajando desde Azure Portal, pero Microsoft ya ha confirmado que:

A partir del 31 de marzo de 2027 Microsoft Sentinel dejará de estar disponible en Azure Portal y solo podrá utilizarse desde Microsoft Defender.

Es decir:

Antes

• portal.azure.com
• Microsoft Sentinel
• Microsoft Defender XDR
• Distintas experiencias de administración

Futuro

• security.microsoft.com
• Experiencia unificada de SOC
• Sentinel + Defender XDR + Threat Intelligence + Copilot

Todo desde un único lugar.

---

¿Por qué Microsoft está haciendo este cambio?

Si somos sinceros, era algo que se veía venir.

Durante los últimos años Microsoft ha ido trasladando cada vez más capacidades de seguridad hacia el portal de Defender.

Primero llegó Defender for Endpoint. Después Defender for Identity. Más tarde Defender for Office 365. Luego Threat Intelligence. Después Security Copilot. Y ahora Sentinel.

La idea es bastante clara:

Un analista de seguridad no debería estar saltando constantemente entre cinco portales distintos para investigar un incidente.

---

Sentinel + XDR en un mismo sitio

Este es probablemente el cambio más importante. Tradicionalmente teníamos:

Defender XDR

• Alertas de Microsoft Defender.
• Incidentes XDR.
• Investigación.
• Respuesta.

Sentinel

• SIEM.
• Correlación.
• Data Connectors.
• Reglas analíticas.
• Hunting.
• Logs.

Ahora ambos mundos se unen en una única experiencia. Porque en la práctica, cuando investigamos un incidente, nos da igual si la alerta proviene de:

Defender XDR + Sentinel = Panel de Security

• Defender for Endpoint.
• Defender for Identity.
• Defender for Cloud Apps.
• Sentinel.
• Un firewall.
• Un EDR de terceros.

Lo que queremos es ver el ataque completo.

---

El gran beneficiado: Advanced Hunting

Aquí es donde personalmente veo más valor.

Cuando Sentinel se integra con Defender, obtenemos una experiencia mucho más unificada para trabajar con KQL.

En lugar de separar constantemente:

• Logs de Sentinel.
• Alertas de Defender.
• Incidentes.
• Entidades.

Todo converge en la experiencia de Advanced Hunting.

Y para quienes pasamos buena parte del día escribiendo consultas KQL, esto es una mejora bastante interesante.

---

También cambia la gestión de incidentes

Otro cambio importante afecta a los incidentes.

Hasta ahora podíamos encontrarnos con:

• Incidentes de Defender.
• Incidentes de Sentinel.

En el portal unificado, Microsoft utiliza el motor de correlación de Defender XDR para combinar información y construir una visión más completa del ataque.

La idea es reducir ruido y evitar que un mismo incidente aparezca fragmentado en múltiples herramientas.

Porque todos hemos vivido situaciones como:

«Tengo 15 alertas que en realidad pertenecen al mismo ataque.»

---

¿Necesito una licencia E5?

No, y esto es algo importante aclararlo.

Microsoft indica que Sentinel puede utilizarse desde el portal de Defender incluso aunque no dispongamos de Microsoft Defender XDR o licencias E5.

Además, la transición al portal de Defender no supone un coste adicional por sí misma.

El modelo de facturación de Sentinel sigue basado en el consumo habitual del servicio.

---

¿Debo empezar a mirarlo ya?

Mi recomendación sería que si, empieza a familiarizarte cuanto antes.

Porque aunque la fecha límite sea marzo de 2027, Microsoft ya ha dejado claro que:

• Las nuevas capacidades llegan primero al portal de Defender.
• El foco de innovación está en Defender.
• Azure Portal entra en modo mantenimiento para Sentinel.

Es exactamente lo mismo que hemos visto otras veces con otros productos de Microsoft.

Cuando la compañía decide cuál será el portal principal, la innovación suele concentrarse allí.

---

Mi opinión

Personalmente creo que este movimiento tiene bastante sentido.

Llevamos años diciendo que:

• Defender XDR está en un sitio.
• Sentinel en otro.
• Threat Intelligence en otro.
• Security Copilot en otro.

Y para un SOC eso no siempre resulta cómodo. La realidad es que cada vez es más difícil separar dónde termina el SIEM y dónde empieza el XDR. Microsoft parece haber llegado a la misma conclusión. Por eso está construyendo una plataforma unificada donde el analista pueda investigar, correlacionar, cazar amenazas y responder desde un único portal.

Así que si todavía utilizas Sentinel exclusivamente desde Azure Portal, probablemente sea un buen momento para empezar a visitar más a menudo: «security.microsoft.com«. Porque nos guste o no, ahí es donde estará el futuro de Microsoft Sentinel.