Puntos clave
- Comprende el objetivo: auditar el uso de roles en Microsoft 365 ayuda a detectar elevaciones de privilegios, cambios de políticas y acciones administrativas que podrían indicar amenazas internas o cuentas de administrador comprometidas.
- Usa las herramientas adecuadas: Microsoft Purview, Audit, los registros de auditoría de Entra ID y Microsoft Entra Privileged Identity Management (PIM) ofrecen visibilidad total de las activaciones, asignaciones y actividades de alto riesgo de los roles de administrador.
- Integra las señales de seguridad: combina Microsoft Sentinel, Microsoft Defender XDR y Microsoft Defender for Cloud Apps para correlacionar riesgos de inicio de sesión, cumplimiento de los dispositivos y comportamiento administrativo.
- Define puntos de referencia: supervisa los inicios de sesión de riesgo para detectar anomalías como viajes imposibles, usos inusuales de privilegios y accesos desde dispositivos no conformes.
- Automatiza las alertas: configura alertas automáticas para inicios de sesión de riesgo y escaladas de privilegios, de modo que puedas responder de inmediato y reducir el margen de los atacantes para abusar de los roles elevados.
- Aplica detección avanzada: usa analytics de comportamiento, detecciones personalizadas e inteligencia de amenazas para conectar acciones administrativas sospechosas con patrones de amenaza y detectar y responder más rápido.
La mayoría de las organizaciones supervisan la actividad de los administradores y las señales de amenaza por separado, lo que genera puntos ciegos donde los atacantes pueden actuar sin ser detectados. Una cuenta de administrador comprometida puede activar alertas de riesgo de inicio de sesión y, al mismo tiempo, realizar cambios en las políticas; pero sin correlación, esos eventos parecen no tener relación hasta que el daño ya es considerable.
Por qué conviene auditar el uso de roles en Microsoft 365
Auditar el uso de roles consiste en revisar quién tiene acceso administrativo en Microsoft 365, cuándo se elevó ese acceso y qué acciones se llevaron a cabo durante las sesiones con privilegios elevados. Es un punto clave, ya que los roles de administrador controlan todo tu entorno de Microsoft 365, lo que los convierte en objetivos prioritarios para atacantes y amenazas internas.
Hay muchas formas en que auditar el uso de roles puede reforzar tu postura de seguridad:
- Genera responsabilidad al registrar cada elevación de privilegios y cada acción administrativa con marcas de tiempo detalladas y el contexto del usuario.
- Permite una respuesta rápida ante incidentes, porque ofrece registros de auditoría claros cuando se produce actividad sospechosa.
- Facilita el cumplimiento de requisitos normativos al documentar los patrones de acceso administrativo y los cambios de políticas.
Mira el análisis en vídeo sobre cómo auditar el uso de roles y correlacionarlo con amenazas en tiempo real en Microsoft 365.
Cómo revisar la actividad de los administradores en Microsoft 365
Existen varias herramientas de supervisión nativas que capturan distintos aspectos del comportamiento administrativo y te ayudan a revisar la actividad de los administradores en Microsoft 365. Estas herramientas se complementan entre sí para darte una visibilidad completa de las asignaciones de roles, las elevaciones de privilegios y las acciones administrativas en todo tu tenant.
Herramientas y paneles de supervisión nativos
Microsoft 365 incluye varias herramientas integradas para supervisar la actividad administrativa. Por ejemplo, Microsoft Purview Audit captura las acciones administrativas y los cambios de políticas de todo el tenant con información detallada de cada evento. Los registros de auditoría de Entra ID siguen las asignaciones de roles, las elevaciones de privilegios y los cambios administrativos relacionados con la identidad. Además, Microsoft Entra Privileged Identity Management (PIM) ofrece una supervisión específica de las activaciones de roles just-in-time: alerta sobre usos inusuales de privilegios, aplica flujos de aprobación y genera informes de los roles de alto riesgo.
Entre las prioridades de supervisión semanal deberían figurar:
- Activaciones de PIM y asignaciones de roles fuera del horario laboral
- Cambios masivos de políticas o modificaciones de configuración
- Asignaciones de roles permanentes que esquivan los controles con límite de tiempo
- Acciones administrativas desde ubicaciones o dispositivos desconocidos
Métodos de integración de señales de seguridad
Integrar las señales de seguridad con la supervisión de la actividad administrativa refuerza tu capacidad de detección de amenazas. Al conectar los registros de Entra ID con Microsoft Sentinel —ahora disponible directamente en el portal de Microsoft Defender junto a Defender XDR—, puedes correlacionar eventos de riesgo de inicio de sesión, estado de cumplimiento de los dispositivos y acciones administrativas mediante detecciones personalizadas y reglas de analytics en una única cola de incidentes unificada. (Ten en cuenta que las organizaciones que todavía usan Sentinel desde el portal de Azure deberían planificar su migración al portal de Defender, ya que el acceso desde el portal de Azure se está retirando de forma gradual.
Recurrir a Microsoft Defender XDR añade otra capa de contexto, ya que aporta puntuaciones de riesgo de los dispositivos y señales de los endpoints para verificar si las sesiones administrativas provienen de dispositivos de confianza y conformes con las políticas.
Por su parte, Microsoft Defender for Cloud Apps mejora la visibilidad a nivel de aplicación y saca a la luz amenazas como concesiones de OAuth sospechosas o un uso inusual de aplicaciones durante sesiones sensibles. En conjunto, estas integraciones convierten eventos aislados en información útil para actuar.
Microsoft Sentinel frente a Microsoft Defender XDR
Sentinel y Defender XDR se confunden a menudo porque ahora comparten el mismo portal. Estas son sus diferencias:
| Microsoft Sentinel | Microsoft Defender XDR | |
| Qué es | SIEM nativo del cloud con ingesta de registros personalizada, detección basada en KQL y capacidades SOAR | Plataforma de detección y respuesta ampliada (XDR) construida sobre las señales propias de Microsoft |
| Ideal para | Entornos multicloud y equipos que necesitan retención de registros a largo plazo, lógica de detección personalizada o correlación con herramientas ajenas a Microsoft | Organizaciones que trabajan principalmente con Microsoft 365 y necesitan detección y respuesta ante amenazas listas para usar |
| Dónde está | Disponible en el portal de Microsoft Defender (el acceso desde el portal de Azure se está retirando; su retirada total está prevista para marzo de 2027) | Nativo del portal de Microsoft Defender |
| Licencias | Se factura por el consumo de Sentinel (no requiere licencia de Defender XDR ni E5) | Requiere licencia de Microsoft Defender XDR (normalmente E5 o equivalente) |
Definición del comportamiento de referencia
Definir patrones de comportamiento de referencia ayuda a distinguir la actividad administrativa legítima de posibles acciones maliciosas. Documenta las ventanas de elevación habituales de cada equipo, las herramientas administrativas y los rangos de IP esperados, y los calendarios de mantenimiento rutinario para los cambios de configuración importantes.
La documentación de referencia debe recoger, en esencia, los patrones administrativos estándar e identificar las excepciones que requieren un examen más detallado. Las cuentas de servicio y las cuentas de emergencia (break-glass) necesitan configuraciones de supervisión especiales que tengan en cuenta sus patrones de uso particulares y su mayor nivel de riesgo.
¿Qué son los inicios de sesión de riesgo y la correlación de amenazas?
Los inicios de sesión de riesgo, marcados por Entra Identity Protection, señalan anomalías como viajes imposibles, patrones de autenticación inusuales y otros indicios de que una cuenta está comprometida. Para auditar el uso de roles, correlaciona estas señales con la actividad administrativa y detecta posibles intentos de secuestro de cuentas antes de que se abuse del acceso privilegiado.
Configuración de alertas automáticas de inicios de sesión de riesgo
Las alertas automáticas de inicios de sesión de riesgo te avisan en tiempo real cuando las cuentas administrativas presentan un comportamiento de autenticación sospechoso. Configura las políticas de Identity Protection para generar alertas ante inicios de sesión de riesgo medio y alto desde cuentas administrativas, con notificaciones escaladas para el rol de Administrador global y otros roles de gran impacto.
El enrutamiento de las alertas debe dirigir las notificaciones a equipos de seguridad capaces de responder de inmediato: revocar tokens, cerrar sesiones y exigir comprobaciones de autenticación adicionales. La integración con los flujos de respuesta a incidentes garantiza un tratamiento coherente de los inicios de sesión de riesgo que afectan a cuentas administrativas.
Detección de escaladas de privilegios de administrador
Detectar escaladas de privilegios no autorizadas es fundamental para proteger tu capa administrativa. Vigila las asignaciones de roles inusuales, sobre todo las concesiones permanentes de roles de gran impacto como Administrador global o Administrador de roles con privilegios, que se salgan de los patrones habituales.
PIM da músculo a tu supervisión con alertas integradas para actividades de elevación sospechosas: solicitudes fuera de horario, activaciones desde ubicaciones desconocidas o cambios de rol encadenados en muy poco tiempo. Para reforzar el control y auditar mejor el uso de roles, aplica flujos de aprobación a los roles sensibles e incorpora supervisión humana en los momentos realmente críticos.
Identificación de anomalías geográficas
La detección de anomalías geográficas ayuda a descubrir escenarios de viaje imposible, en los que las cuentas de administrador se autentican desde ubicaciones muy distantes en intervalos de tiempo irreales. Estos patrones suelen apuntar a credenciales comprometidas o al uso compartido de cuentas, algo que incumple las políticas.
Al correlacionar los inicios de sesión con el estado de confianza del dispositivo y los datos de reputación de IP, reduces los falsos positivos sin perder de vista las amenazas reales. Las sesiones que se originan en países o regiones poco habituales deberían activar pasos de verificación adicionales y una supervisión más estrecha.
Verificación de la confianza del dispositivo
La verificación de la confianza del dispositivo garantiza que las acciones administrativas se originen en endpoints gestionados y conformes que cumplen tus estándares de seguridad. Las políticas de acceso condicional deberían exigir cumplimiento del dispositivo, unión híbrida al dominio u otros indicadores de confianza antes de permitir el acceso a los portales administrativos.
Los dispositivos no gestionados o no conformes que intentan realizar acciones administrativas suponen un riesgo de seguridad importante que justifica una investigación inmediata y, si procede, el cierre de la sesión.
Cómo supervisar la actividad administrativa con señales de seguridad
Supervisar la actividad administrativa con señales de seguridad exige implantar reglas de detección que correlacionen las acciones administrativas con inteligencia de amenazas contextual. Este enfoque va más allá del simple registro y aporta información útil sobre cuentas administrativas que podrían estar comprometidas.
Fuentes de inteligencia de amenazas en tiempo real
Las fuentes de inteligencia de amenazas dan a los administradores visibilidad en vivo de IP, dominios y patrones de ataque maliciosos. Integradas con Microsoft Defender Threat Intelligence o con fuentes de terceros, marcan las sesiones administrativas que interactúan con infraestructura maliciosa conocida.
Las principales fuentes de inteligencia incluyen:
- Fuentes de reputación de IP para detectar conexiones desde orígenes maliciosos
- Datos de reputación de dominios para detectar aplicaciones OAuth sospechosas
- Inteligencia sobre patrones de ataque para reconocer técnicas habituales de compromiso de cuentas
- Datos de geolocalización para validar los inicios de sesión frente a las ubicaciones esperadas
Implantación de analytics de comportamiento
La implantación de analytics de comportamiento recurre al machine learning y al análisis estadístico para auditar el uso de roles e identificar desviaciones respecto a los patrones de comportamiento administrativo habituales. Por ejemplo, la capa de comportamientos UEBA de Microsoft Sentinel, disponible en el portal de Defender, convierte grandes volúmenes de registros en bruto en información de comportamiento legible.
Las reglas de comportamiento personalizadas pueden incluso identificar patrones concretos relevantes para tu entorno, como acciones administrativas fuera del horario laboral, cambios masivos de configuración o un uso inusual de aplicaciones durante sesiones administrativas. Estas reglas deben contemplar las variaciones legítimas del comportamiento administrativo sin perder sensibilidad ante posibles amenazas.
Creación de reglas de alerta personalizadas
Crear reglas de alerta personalizadas permite detectar escenarios de amenaza concretos que las reglas estándar podrían pasar por alto. Céntrate en correlaciones de gran impacto que combinen acciones administrativas con señales de seguridad para reducir los falsos positivos sin perder eficacia en la detección.
Unas reglas personalizadas eficaces podrían correlacionar activaciones de PIM con riesgo de inicio de sesión medio o alto, detectar cambios en las políticas administrativas tras eventos de autenticación de riesgo o identificar modificaciones masivas de usuarios durante sesiones sospechosas.
Además, para crear reglas nuevas hoy, Microsoft recomienda usar detecciones personalizadas en lugar de las reglas de analytics heredadas, exclusivas de Sentinel. Las detecciones personalizadas funcionan tanto en Microsoft Sentinel como en Microsoft Defender XDR desde el portal unificado de Defender, admiten detecciones en tiempo real ilimitadas y asignan entidades automáticamente a los datos de Defender XDR. Las reglas de analytics existentes siguen funcionando, pero de ahora en adelante la nueva lógica de correlación debería crearse como detecciones personalizadas.
Cómo comprobar si hay actividad sospechosa en una cuenta de Microsoft
Cuando investigues actividad sospechosa en una cuenta de Microsoft, sigue un enfoque estructurado que preserve las pruebas y contenga las posibles amenazas. Al auditar el uso de roles, el objetivo es actuar rápido sin dejar escapar detalles que orienten la remediación y eviten que vuelva a ocurrir.
Estos son los pasos clave:
- Revisa los registros de inicio de sesión de Microsoft Entra ID en busca de direcciones IP, ubicaciones, dispositivos y aplicaciones cliente desconocidas que se salgan de los patrones de uso normales.
- Comprueba los cambios recientes en contraseñas, dispositivos de MFA y ajustes de seguridad que puedan indicar un compromiso.
- Examina las acciones administrativas, como cambios de políticas y elevaciones de privilegios realizados durante el periodo sospechoso.
- Revoca las sesiones activas y los tokens de actualización de inmediato;, y luego fuerza el restablecimiento de la contraseña con una autenticación multifactor robusta.
- Documenta los hallazgos y las acciones para dar apoyo a la respuesta a incidentes y a un posible análisis forense.
Convierte las alertas de Microsoft 365 en información de seguridad real
Microsoft 365 te dice qué ha pasado, mientras que NinjaOne te muestra por qué. Al combinar el contexto de los endpoints con la actividad de las cuentas, puedes ver qué dispositivos cumplen las políticas, qué acciones son de riesgo y por dónde podrían propagarse las amenazas. Pruébalo gratis hoy mismo.
Guía de inicio rápido
NinjaOne ofrece varias funciones para supervisar y correlacionar la actividad de los roles de administrador:
1. Supervisión de seguridad:
– La solución de copia de seguridad SaaS permite seguir la actividad de las cuentas de administrador
– Aporta información sobre el uso de los roles de administrador y los posibles riesgos de seguridad
– Permite supervisar cuentas con privilegios, incluidos los administradores globales
2. Funciones clave:
– Detecta cuentas de administrador inactivas
– Sigue la actividad de las cuentas de administrador
– Proporciona registros de auditoría de las acciones administrativas
– Ayuda a identificar posibles vulnerabilidades de seguridad en las asignaciones de roles
3. Enfoques de supervisión recomendados:
– Usa las herramientas de supervisión nativas de Microsoft 365
– Aprovecha las funciones de supervisión de seguridad de NinjaOne
– Revisa los registros de inicio de sesión y los informes de actividad
– Configura políticas de acceso condicional
– Vigila la actividad inusual en los roles de administrador
No obstante, para lograr la correlación de amenazas más completa, conviene combinar la supervisión de NinjaOne con las herramientas de seguridad nativas de Microsoft, como Microsoft Defender for Endpoint y los informes de seguridad de Azure AD.
