Puntos clave
- Automatiza la auditoría de inicios de sesión de Entra ID: crea un pipeline multitenant de auditoría de inicios de sesión de Entra ID con Microsoft Graph PowerShell para automatizar la recopilación de registros, estandarizar los filtros y obtener evidencias repetibles para las auditorías de cumplimiento y seguridad.
- Protege el registro de aplicación y los permisos: usa permisos de aplicación (no delegados) para la recopilación desatendida y multitenant, protege las credenciales y asegúrate de contar con el consentimiento de administrador de cada tenant para un acceso a los datos seguro y escalable.
- Define un esquema coherente y enriquece los registros de inicio de sesión: define un esquema normalizado para los registros de inicio de sesión y enriquece los campos (geolocalización, ASN) para mejorar la precisión de las detecciones y afinar el filtrado en las investigaciones.
- Convierte los datos de auditoría en señales de seguridad: transforma los datos de auditoría en señales de seguridad aplicando filtros de alto valor (autenticación heredada, fallos de MFA, sesiones de riesgo) y generando informes automáticos y resúmenes mensuales de cumplimiento.
- Programa, almacena y conserva las exportaciones de Entra ID: implementa exportaciones programadas con políticas de retención para garantizar evidencias duraderas y con control de versiones.
Los registros de auditoría de Microsoft Entra son la forma más rápida de confirmar intentos de robo de cuentas, sesiones de riesgo y desviaciones de las políticas. Sin embargo, este método no escala bien en entornos multitenant. Necesitas un pipeline de PowerShell basado en Graph que te permita recopilar datos de forma repetible y programada, aplicar filtros coherentes y conservar evidencias duraderas.
Guía para aprovechar al máximo los registros de Microsoft Entra ID
📌 Requisitos previos:
- Microsoft Graph PowerShell debe estar ya instalado y actualizado.
- Debes poder registrar aplicaciones en Microsoft Entra con permisos de mínimo privilegio para los informes de inicio de sesión (se recomiendan permisos de aplicación).
- Hay que obtener el consentimiento en cada tenant y contar con una estrategia segura de secretos o identidades administradas.
- Necesitas un espacio de almacenamiento centralizado para las exportaciones.
- Necesitas un espacio de trabajo de informes para los resúmenes mensuales y las evidencias para las QBR.
Paso 1: elige las fuentes y define el esquema
Los registros de inicio de sesión contienen información muy valiosa. Cuando construyes un pipeline de auditoría de inicios de sesión de Entra en varios tenants, tienes que saber exactamente qué datos recopilas y cómo los vas a usar. Para ello:
- Prioriza los registros de inicio de sesión (de usuarios y de entidades de servicio) y decide si también necesitas Directory Audit para entender bien lo que ocurre.
- Define un conjunto de columnas mínimo y coherente. Por ejemplo: marca de tiempo, UPN/objectId del usuario, displayName/appId de la aplicación, clientAppUsed (autenticación moderna frente a heredada), IP/ubicación, resultado de MFA, estado (códigos de error) y correlationId. Puedes añadir o quitar datos según tu caso concreto.
Al terminar, deberías tener un plan claro de qué datos vas a recopilar durante la auditoría. Eso facilita las detecciones y ayuda a generar informes fiables.
Paso 2: protege el registro de aplicación y los permisos
Para aprovechar al máximo los datos de inicio de sesión de Entra, tienes que habilitar la recopilación desatendida y multitenant de forma segura, protegiendo el registro de aplicación y los permisos que has activado.
Para ello, primero registra una aplicación en Entra para los informes siguiendo estos pasos:
- Ve al centro de administración de Microsoft Entra e inicia sesión.
- Ve a Entra ID > Registros de aplicaciones > Nuevo registro.
- Asigna un nombre a tu aplicación de informes.
- En Tipos de cuenta admitidos puedes especificar quién puede usar la aplicación. Estas son las opciones disponibles:
- Cuentas solo en este directorio organizativo
- Cuentas en cualquier directorio organizativo
- Cuentas en cualquier directorio organizativo y cuentas personales de Microsoft
- Cuentas personales de Microsoft
- Selecciona Registrar.
💡Nota: asigna solo los permisos necesarios para los informes y la auditoría de inicios de sesión (permisos de aplicación).
Una vez configurada la aplicación de informes, guarda las credenciales en un almacén seguro y rota el acceso a los registros. Registra el estado del consentimiento de cada tenant con la aplicación de informes y ten los datos listos para las próximas fechas de revisión.
Al terminar, tendrás una base reforzada y auditable para la recopilación automatizada.
Paso 3: conéctate con Graph PowerShell y ejecuta consultas de referencia
Primero, descarga el módulo de Microsoft Graph PowerShell. Después, sigue estos pasos para conectar Windows PowerShell a tu tenant de Microsoft Entra ID:
- Establece la política de ejecución de PowerShell en remote signed con este comando:
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser - Ejecuta este comando para instalar el módulo de Microsoft Graph PowerShell:
Install-Module -Name Microsoft.Entra -Repository PSGallery -Scope CurrentUser -Force -AllowClobber - Ejecuta
Connect-Entra -Scopes 'User.Read.All'e inicia sesión con una cuenta de administrador de tu tenant cuando se te solicite.
Hecho esto, ya puedes:
- Autenticarte de forma no interactiva en cada tenant mediante el registro de aplicación.
- Ejecutar consultas de referencia en una ventana de 24 a 72 horas y exportar los resultados a CSV/JSON.
- Validar los campos clave (aplicación cliente, resultado de MFA, códigos de error) y la gestión de las zonas horarias.
Una vez conectado a Microsoft Graph, ya puedes hacer consultas más útiles y exportar los datos que necesitas para la auditoría.
Paso 4: crea filtros y detecciones de alto valor
Ya tienes los registros en bruto, así que toca dar el siguiente paso: convertir todos esos datos en señales de seguridad sobre las que puedas actuar. Para ello:
- Crea filtros guardados en Microsoft Entra para autenticación heredada, fallos repetidos de MFA, ubicaciones o ASN desconocidos, inicios de sesión de alto riesgo y aplicaciones cliente inusuales.
- Añade enriquecimiento de datos (geolocalización, ASN, departamento del usuario) y listas de permitidos por tenant para reducir el ruido.
- Define umbrales y niveles de gravedad asociados a playbooks concretos (investigar, avisar al CSM, abrir un incidente).
Con todo esto, detectarás los problemas con mucha más facilidad. Así reduces el tiempo de triaje y tu equipo puede actuar de forma más coherente.
Paso 5: programa, almacena y conserva las evidencias
Haz un seguimiento de tus datos y de los resultados de tus auditorías internas. De este modo, las evidencias se mantienen en el tiempo y están listas para auditorías externas.
Para ello:
- Programa extracciones cada hora o cada día, con lógica de recuperación de datos para evitar huecos.
- Escribe las exportaciones de cada tenant en carpetas estructuradas; aplica control de versiones y políticas de retención.
- Genera resúmenes diarios y mensuales con el número de detecciones y la variación de las tendencias.
Llevar el control de todos tus datos te da un histórico más fiable para las investigaciones, el cumplimiento y el relato de tus QBR.
Paso 6: alertas e informes a escala multitenant
Ahora que tienes los datos y los informes listos, puedes detectar riesgos más rápido y demostrar avances. Comparte los datos con todas las partes implicadas e inclúyelos en informes preparados para las QBR.
Para integrar bien las detecciones en tus flujos de trabajo habituales:
- Crea rutas de alerta para las detecciones críticas (por ejemplo, picos de autenticación heredada o fallos persistentes de MFA).
- Publica cuadros de mando mensuales de seguridad de los inicios de sesión por tenant: tasa de autenticación heredada, tasa de fallos de MFA, inicios de sesión de riesgo, anomalías geográficas y MTTR.
- Haz seguimiento de las tareas de corrección (deshabilitar protocolos heredados, reforzar el acceso condicional, formar a los usuarios) y confirma la mejora en el resumen del mes siguiente.
Así creas operaciones de ciclo cerrado que reducen el riesgo y demuestran valor, e integras el pipeline de auditoría sin fricciones en tu día a día.
Ideas de integración con NinjaOne para procesar los registros de inicio de sesión de Microsoft Entra y otros datos
- Automatización: ejecuta scripts de PowerShell programados y etiqueta los tenants según el estado del consentimiento y la salud de la recopilación.
- Monitorización: configura una alerta para fallos de tareas, exportaciones vacías o picos de detecciones inusuales.
Guía de inicio rápido
Para crear un pipeline así, normalmente necesitas:
1. Configurar Entra ID: asegúrate de tener varios tenants configurados en Entra ID.
2. Usar la API de Microsoft Graph: aprovecha la API de Microsoft Graph para acceder a los registros de inicio de sesión de todos los tenants.
3. Módulos de PowerShell: utiliza módulos como Microsoft.Graph para PowerShell para interactuar con Entra ID.
4. Scripting: escribe scripts de PowerShell para consultar los registros de inicio de sesión, filtrar los datos de auditoría y exportar informes.
Aprovecha los registros de auditoría de Microsoft Entra para mejorar tus operaciones
Un pipeline basado en Microsoft Graph y gestionado con PowerShell convierte los registros de inicio de sesión de Entra en un activo operativo muy potente. Te da recopilación repetible, detecciones fiables y evidencias listas para auditoría.
Temas relacionados:
