{"id":897592,"date":"2026-10-14T14:59:29","date_gmt":"2026-10-14T14:59:29","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/bloquear-ataques-password-spray\/"},"modified":"2026-10-14T14:59:30","modified_gmt":"2026-10-14T14:59:30","slug":"bloquear-ataques-password-spray","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/bloquear-ataques-password-spray\/","title":{"rendered":"C\u00f3mo detectar y bloquear ataques de password spray en Microsoft 365 con Sentinel o los registros de auditor\u00eda"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Puntos clave<\/h2>\n<ul>\n<li>C\u00f3mo detectar un ataque de password spray\n<ul>\n<li>Usa Microsoft Sentinel y consultas KQL para correlacionar los inicios de sesi\u00f3n fallidos repetidos entre usuarios o desde una misma IP y activar alertas.<\/li>\n<li>Habilita el registro de auditor\u00eda unificada en Microsoft Purview para recopilar datos de inicios de sesi\u00f3n fallidos y consultarlos con PowerShell.<\/li>\n<li>Usa comandos de PowerShell para identificar el uso de protocolos heredados (IMAP, POP, SMTP, MAPI), vectores de ataque habituales.<\/li>\n<li>Aplica pol\u00edticas de bloqueo de cuentas por GPO y desactiva la autenticaci\u00f3n b\u00e1sica mediante el registro o las directivas de grupo para reducir la superficie de ataque.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li>Protege toda tu infraestructura frente al password spray y otros ataques\n<ul>\n<li>Ajusta las consultas de detecci\u00f3n para excluir las IP y regiones de confianza y modifica los umbrales para limitar los falsos positivos.<\/li>\n<li>Automatiza la respuesta a incidentes: bloquea las IP sospechosas, deshabilita las cuentas comprometidas y exige MFA a todos los usuarios.<\/li>\n<li>Int\u00e9gralo con plataformas RMM para centralizar las alertas, el despliegue de scripts y la correcci\u00f3n en toda tu infraestructura.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li style=\"list-style-type: none;\"><\/li>\n<\/ul>\n<\/div>\n<p>Esta gu\u00eda te muestra c\u00f3mo detectar y <strong>bloquear ataques de password spray<\/strong> en Microsoft 365. Incluye estrategias para monitorizar los registros en busca de indicios de ataque, con el uso de Microsoft Sentinel y el lenguaje KQL, los registros de auditor\u00eda unificada, PowerShell para detectar el uso de autenticaci\u00f3n heredada y el an\u00e1lisis de registros mediante comandos que puedes ejecutar desde el s\u00edmbolo del sistema o con herramientas de automatizaci\u00f3n de seguridad.<\/p>\n<h2>\u00bfC\u00f3mo se detecta un ataque de password spray?<\/h2>\n<p>Los <a href=\"https:\/\/learn.microsoft.com\/en-us\/security\/operations\/incident-response-playbook-password-spray\" target=\"_blank\" rel=\"noopener\">ataques de password spray<\/a> son ataques de fuerza bruta en los que los atacantes intentan acceder a varias cuentas utilizando contrase\u00f1as comunes o filtradas. Aunque los m\u00e9todos de autenticaci\u00f3n modernos (como <a href=\"https:\/\/www.ninjaone.com\/blog\/how-to-set-up-mfa-in-office-365\/\">MFA<\/a>) ayudan a bloquearlos, los atacantes suelen aprovechar m\u00e9todos de autenticaci\u00f3n heredados (como las credenciales b\u00e1sicas de correo y nombre de usuario <a href=\"https:\/\/learn.microsoft.com\/en-us\/exchange\/clients-and-mobile-in-exchange-online\/disable-basic-authentication-in-exchange-online\" target=\"_blank\" rel=\"noopener\">que se usan para acceder al correo mediante POP3<\/a>) o los portales de inicio de sesi\u00f3n para intentar sortearlos en entornos que todav\u00eda no han completado la transici\u00f3n a m\u00e9todos de autenticaci\u00f3n m\u00e1s seguros.<\/p>\n<p>Estos ataques de password spray se pueden detectar monitorizando los registros en busca de intentos de inicio de sesi\u00f3n fallidos repetidos y actividad sospechosa en endpoints de autenticaci\u00f3n heredada. La automatizaci\u00f3n es fundamental para detectar y mitigar los ataques de password spray, ya que cualquier acceso no autorizado debe bloquearse de inmediato y hay que actualizar las credenciales de los usuarios afectados.<\/p>\n<p>Los objetivos principales al automatizar la protecci\u00f3n de Microsoft 365 frente a los ataques de password spray deber\u00edan incluir:<\/p>\n<ul>\n<li>Detectar patrones de inicio de sesi\u00f3n fallido en varias cuentas<\/li>\n<li>Correlacionar los intentos de inicio de sesi\u00f3n desde IP o ubicaciones geogr\u00e1ficas poco habituales<\/li>\n<li>Bloquear la autenticaci\u00f3n heredada<\/li>\n<li>Automatizar los bloqueos de cuentas o la generaci\u00f3n de alertas cuando se detecte un ataque<\/li>\n<li>Reforzar los sistemas mediante cambios de pol\u00edticas, scripts y registro<\/li>\n<\/ul>\n<p>Antes de implementar la prevenci\u00f3n automatizada del password spray, necesitar\u00e1s:<\/p>\n<ul>\n<li>Un tenant de Microsoft 365 con la auditor\u00eda habilitada<\/li>\n<li>Azure Sentinel o Microsoft 365 Defender Plan 2 (para la b\u00fasqueda avanzada)<\/li>\n<li>El registro de auditor\u00eda unificada habilitado en Microsoft Purview<\/li>\n<li>Acceso de administrador a Microsoft Graph, PowerShell y la configuraci\u00f3n de GPO<\/li>\n<\/ul>\n<p>Puedes mejorar la protecci\u00f3n de los endpoints y la automatizaci\u00f3n integrando tus despliegues de Microsoft 365 con una soluci\u00f3n de <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/rmm-gestion-de-supervision-remota\/\">monitorizaci\u00f3n y gesti\u00f3n remota (RMM)<\/a>, que permite centralizar la monitorizaci\u00f3n y las alertas y automatizar acciones de correcci\u00f3n en toda tu infraestructura.<\/p>\n<h2>Detectar patrones de password spray con Microsoft Sentinel y KQL<\/h2>\n<p>Puedes usar el <a href=\"https:\/\/learn.microsoft.com\/en-us\/kusto\/query\/?view=microsoft-fabric\" target=\"_blank\" rel=\"noopener\">lenguaje de consulta Kusto (KQL)<\/a> para consultar <a href=\"https:\/\/learn.microsoft.com\/en-us\/azure\/sentinel\/overview\" target=\"_blank\" rel=\"noopener\">Microsoft Sentinel<\/a> y detectar comportamientos que podr\u00edan indicar un ataque de password spray. A continuaci\u00f3n tienes un ejemplo de consulta KQL que busca varios inicios de sesi\u00f3n fallidos con la misma contrase\u00f1a:<\/p>\n<p><strong>SigninLogs<\/strong><br \/>\n<strong>| where ResultType == 50053<\/strong><br \/>\n<strong>| summarize Attempts=count() by UserPrincipalName, IPAddress<\/strong><br \/>\n<strong>| where Attempts &gt; 5<\/strong><br \/>\n<strong>Ejemplo KQL 2: monitorizar los inicios de sesi\u00f3n fallidos desde la misma IP dirigidos a varios usuarios:<\/strong><br \/>\n<strong>SigninLogs<\/strong><br \/>\n<strong>| where ResultType == 50053 or ResultType == 50126<\/strong><br \/>\n<strong>| summarize CountByIP = count(), AccountsTargeted = dcount(UserPrincipalName) by IPAddress<\/strong><br \/>\n<strong>| where AccountsTargeted &gt; 10 and CountByIP &gt; 30<\/strong><br \/>\n<strong>Ejemplo KQL 3: excluir ubicaciones conocidas y seguras:<\/strong><br \/>\n<code><strong>| where Location != \"YourSafeLocation\"<\/strong><\/code><\/p>\n<p>Esta consulta sirve para configurar reglas de an\u00e1lisis en Sentinel que activen alertas cuando se superen los umbrales.<\/p>\n<h2>Detecci\u00f3n ligera con los registros de auditor\u00eda unificada de Microsoft 365 en Purview<\/h2>\n<p><a href=\"https:\/\/learn.microsoft.com\/en-us\/purview\/audit-log-enable-disable\" target=\"_blank\" rel=\"noopener\">Habilita el registro de auditor\u00eda unificada<\/a> en Microsoft Purview con el siguiente comando en <a href=\"https:\/\/learn.microsoft.com\/en-us\/powershell\/exchange\/connect-to-exchange-online-powershell?view=exchange-ps\" target=\"_blank\" rel=\"noopener\">Exchange Online PowerShell<\/a>:<\/p>\n<p><strong>Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true<\/strong><\/p>\n<p>Despu\u00e9s, puedes buscar los intentos de inicio de sesi\u00f3n fallidos con este comando:<\/p>\n<p><strong>Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-1) -EndDate (Get-Date) -Operations UserLoggedIn |<\/strong><br \/>\n<strong>Where-Object { $_.AuditData.ResultStatus -eq \u00abFailed\u00bb }<\/strong><\/p>\n<p>A continuaci\u00f3n puedes usar herramientas de an\u00e1lisis para correlacionar estas entradas con direcciones IP y frecuencia, deducir si hay intentos de ataque y bloquear esos or\u00edgenes. Para ello, puedes exportar los datos del registro de auditor\u00eda en formato .csv:<\/p>\n<p><code><strong>Export-Csv -Path \"C:\\Logs\\M365_LoginFailures.csv\" -NoTypeInformation<\/strong><\/code><\/p>\n<h2>Identificar el uso de autenticaci\u00f3n heredada con PowerShell (habitual en los intentos de password spray)<\/h2>\n<p>Los ataques de password spray suelen tener como objetivo protocolos heredados como POP, IMAP y SMTP. Aunque estos protocolos est\u00e1n obsoletos en Microsoft 365, algunas organizaciones los mantienen habilitados o conservan infraestructura conectada que utiliza tecnolog\u00edas de autenticaci\u00f3n antiguas e insegurasn. Puedes detectar la autenticaci\u00f3n heredada del correo ejecutando el siguiente comando en Exchange Online PowerShell:<\/p>\n<p><strong>Get-SignInLogs | Where-Object { $_.ClientAppUsed -in @(\u00abIMAP\u00bb, \u00abPOP\u00bb, \u00abSMTP\u00bb, \u00abMAPI\u00bb, \u00abExchange ActiveSync\u00bb) } |<\/strong><br \/>\n<strong>Select-Object UserPrincipalName, ClientAppUsed, IPAddress<\/strong><\/p>\n<p>Y para desactivar estos m\u00e9todos en un usuario concreto:<\/p>\n<p><strong>Set-CASMailbox user@example.com -ImapEnabled $false -PopEnabled $false -MAPIEnabled $false -SmtpClientAuthenticationDisabled $true<\/strong><\/p>\n<h2>Bloquear protocolos heredados y forzar el bloqueo de cuentas con GPO<\/h2>\n<p>Adem\u00e1s de proteger Microsoft 365 frente al password spray, puedes proteger los dispositivos endpoint de los intentos de inicio de sesi\u00f3n repetidos mediante <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/directiva-de-grupo-en-active-directory\/\">directivas de grupo<\/a> en un entorno de dominio de Windows. Para aplicar estas restricciones a nivel de SO en entornos h\u00edbridos:<\/p>\n<ul>\n<li>Abre la consola de administraci\u00f3n de directivas de grupo<\/li>\n<li>Ve a <strong>Configuraci\u00f3n del equipo &gt; Configuraci\u00f3n de Windows &gt; Configuraci\u00f3n de seguridad &gt; Directivas de cuenta &gt; Directiva de bloqueo de cuenta<\/strong><\/li>\n<li>Establece el <strong>Umbral de bloqueo de cuenta<\/strong> en 5 intentos no v\u00e1lidos<\/li>\n<li>Establece la <strong>Duraci\u00f3n del bloqueo de cuenta<\/strong> en 15 minutos<\/li>\n<\/ul>\n<p>Puedes usar <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/administration\/windows-commands\/wevtutil\" target=\"_blank\" rel=\"noopener\">wevtutil<\/a> para buscar intentos de inicio de sesi\u00f3n fallidos en los registros de seguridad y, si quieres, automatizar el proceso con despliegue de scripts o soluciones RMM:<\/p>\n<p><strong>wevtutil qe Security \u00ab\/q:*[System[(EventID=4625)]]\u00bb \/c:20 \/f:text<\/strong><\/p>\n<p>Tambi\u00e9n puedes imponer la autenticaci\u00f3n moderna y desactivar la autenticaci\u00f3n b\u00e1sica como alternativa en Outlook mediante directivas de grupo: despliega el valor de registro <strong>\u00abAlwaysUseMSOAuthForAutoDiscover\u00bb=dword:00000001<\/strong> en la clave de registro ubicada en <strong>HKEY_CURRENT_USER\\Software\\Microsoft\\Exchange<\/strong>.<\/p>\n<h2>Resoluci\u00f3n de problemas y otros consejos y herramientas de detecci\u00f3n<\/h2>\n<p>Para asegurarte de que tus medidas de mitigaci\u00f3n del password spray en Microsoft 365 funcionan correctamente, comprueba que:<\/p>\n<ul>\n<li>La ingesta del registro de auditor\u00eda unificada est\u00e1 habilitada<\/li>\n<li>Las IP o regiones de confianza est\u00e1n en la lista de permitidos de las consultas de Sentinel para reducir los falsos positivos, mientras que los inicios de sesi\u00f3n desde pa\u00edses lejanos de los que nunca esperar\u00edas un intento quedan bloqueados por completo<\/li>\n<li>Se usa el acceso condicional para bloquear la autenticaci\u00f3n y las aplicaciones heredadas, en lugar de confiar en que los usuarios hagan la transici\u00f3n por su cuenta<\/li>\n<li>Se ampl\u00edan los intervalos de tiempo de las consultas KQL y se ajustan las variables de umbral para detectar comportamientos sospechosos<\/li>\n<li>Las cuentas de usuario se bloquean autom\u00e1ticamente cuando el riesgo de inicio de sesi\u00f3n es alto<\/li>\n<\/ul>\n<p>Para evitar que los ataques de password spray tengan \u00e9xito, implementa MFA en toda tu infraestructura de TI y para todos los usuarios. Tambi\u00e9n conviene auditar con regularidad el acceso de terceros para eliminar las cuentas de servicio que no se usan o revisar sus permisos. Adem\u00e1s, los usuarios finales deber\u00edan recibir <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/creacion-de-una-cultura-de-seguridad-consejos-practicos-para-detectar-un-phishing\/\">formaci\u00f3n peri\u00f3dica sobre buenas pr\u00e1cticas de ciberseguridad y tratamiento de datos<\/a> (como identificar solicitudes de inicio de sesi\u00f3n sospechosas e intentos de phishing) para garantizar que tu organizaci\u00f3n est\u00e9 protegida y cumpla la normativa.<\/p>\n<h2>As\u00ed ayuda un RMM a proteger toda tu infraestructura frente al password spray y otros ataques<\/h2>\n<p><a href=\"https:\/\/www.ninjaone.com\/es\/rmm\/\">La monitorizaci\u00f3n y gesti\u00f3n remota (RMM) de NinjaOne<\/a> permite a los t\u00e9cnicos monitorizar y gestionar endpoints de forma remota, adem\u00e1s de avisarles de posibles incidentes de ciberseguridad. Tambi\u00e9n puede usarse para desplegar scripts que desinstalen software heredado que intente autenticarse en Microsoft 365 con m\u00e9todos inseguros y para vigilar los intentos de fuerza bruta.<\/p>\n<p>NinjaOne RMM tambi\u00e9n sirve para aplicar configuraciones predeterminadas seguras en todos los dispositivos y ejecutar scripts de correcci\u00f3n que deshabiliten usuarios y a\u00edslen endpoints cuando se detecten anomal\u00edas. Ofrece visibilidad completa de todos los endpoints con los SO m\u00e1s utilizados, en cualquier ubicaci\u00f3n.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Gu\u00eda de inicio r\u00e1pido<\/h2><p><strong>Detecci\u00f3n de ataques de password spray en Microsoft 365<\/strong><\/p>\n<p>Aunque <a href=\"https:\/\/www.ninjaone.com\/es\/\">NinjaOne<\/a> no cuenta con una herramienta integrada de detecci\u00f3n de ataques de password spray, puedes aplicar varias estrategias:<\/p>\n<p><strong>1. Monitorizaci\u00f3n con Microsoft Sentinel<\/strong><\/p>\n<p>\u2013 Usa Microsoft Sentinel para monitorizar los registros de inicio de sesi\u00f3n<\/p>\n<p>\u2013 Busca:<br \/>\n\u2013 Varios intentos de inicio de sesi\u00f3n fallidos en distintas cuentas<br \/>\n\u2013 Inicios de sesi\u00f3n desde direcciones IP o ubicaciones geogr\u00e1ficas poco habituales<br \/>\n\u2013 Patrones de autenticaci\u00f3n sospechosos<\/p>\n<p><strong>2. An\u00e1lisis de los registros de auditor\u00eda<\/strong><\/p>\n<p>\u2013 Revisa los registros de inicio de sesi\u00f3n de <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/azure-ad-active-directory\/\">Azure AD<\/a><\/p>\n<p>\u2013 Comprueba si hay:<br \/>\n\u2013 Un volumen elevado de intentos de inicio de sesi\u00f3n fallidos<br \/>\n\u2013 Intentos desde <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/it-service-management\/direccion-ip\/\">direcciones IP<\/a> an\u00f3nimas o sospechosas<br \/>\n\u2013 Intentos de inicio de sesi\u00f3n en varias cuentas de usuario en poco tiempo<\/p>\n<p><strong>3. Otras protecciones recomendadas<\/strong><\/p>\n<p>\u2013 Habilita la <a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/autenticacion-multifactor\/\">autenticaci\u00f3n multifactor (MFA)<\/a><br \/>\n\u2013 Implementa pol\u00edticas de acceso condicional<br \/>\n\u2013 Usa Azure AD Password Protection<br \/>\n\u2013 Configura umbrales de intentos de inicio de sesi\u00f3n<\/p>\n<p><strong>4. Scripts complementarios de NinjaOne<\/strong><\/p>\n<p>\u2013 NinjaOne tiene un script llamado \u00ab<a href=\"https:\/\/www.ninjaone.com\/es\/script-hub\/detectar-ataques-de-fuerza-bruta\/\">Check for Brute Force login attempts<\/a>\u00bb que puede ayudarte a detectar patrones de inicio de sesi\u00f3n sospechosos<\/p>\n<p><strong>Recomendaci\u00f3n:<\/strong> aunque NinjaOne no resuelve esto directamente, te recomendamos usar Microsoft Sentinel o la monitorizaci\u00f3n avanzada de Azure AD junto con enfoques de seguridad en varias capas.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Esta gu\u00eda te muestra c\u00f3mo detectar y bloquear ataques de password spray en Microsoft 365. Incluye estrategias para monitorizar los registros en busca de indicios de ataque, con el uso de Microsoft Sentinel y el lenguaje KQL, los registros de auditor\u00eda unificada, PowerShell para detectar el uso de autenticaci\u00f3n heredada y el an\u00e1lisis de registros [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":552463,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-897592","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/897592","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=897592"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/897592\/revisions"}],"predecessor-version":[{"id":897593,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/897592\/revisions\/897593"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/552463"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=897592"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=897592"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=897592"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}