{"id":899353,"date":"2026-10-14T16:10:31","date_gmt":"2026-10-14T16:10:31","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/auditoria-inicios-sesion-entra-id\/"},"modified":"2026-10-14T16:10:32","modified_gmt":"2026-10-14T16:10:32","slug":"auditoria-inicios-sesion-entra-id","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/auditoria-inicios-sesion-entra-id\/","title":{"rendered":"C\u00f3mo crear un pipeline multitenant de auditor\u00eda de inicios de sesi\u00f3n de Entra ID con PowerShell"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Puntos clave<\/h2>\n<ul>\n<li>Automatiza la auditor\u00eda de inicios de sesi\u00f3n de Entra ID: crea un pipeline multitenant de auditor\u00eda de inicios de sesi\u00f3n de Entra ID con Microsoft Graph PowerShell para automatizar la recopilaci\u00f3n de registros, estandarizar los filtros y obtener evidencias repetibles para las auditor\u00edas de cumplimiento y seguridad.<\/li>\n<li>Protege el registro de aplicaci\u00f3n y los permisos: usa permisos de aplicaci\u00f3n (no delegados) para la recopilaci\u00f3n desatendida y multitenant, protege las credenciales y aseg\u00farate de contar con el consentimiento de administrador de cada tenant para un acceso a los datos seguro y escalable.<\/li>\n<li>Define un esquema coherente y enriquece los registros de inicio de sesi\u00f3n: define un esquema normalizado para los registros de inicio de sesi\u00f3n y enriquece los campos (geolocalizaci\u00f3n, ASN) para mejorar la precisi\u00f3n de las detecciones y afinar el filtrado en las investigaciones.<\/li>\n<li>Convierte los datos de auditor\u00eda en se\u00f1ales de seguridad: transforma los datos de auditor\u00eda en se\u00f1ales de seguridad aplicando filtros de alto valor (autenticaci\u00f3n heredada, fallos de MFA, sesiones de riesgo) y generando informes autom\u00e1ticos y res\u00famenes mensuales de cumplimiento.<\/li>\n<li>Programa, almacena y conserva las exportaciones de Entra ID: implementa exportaciones programadas con pol\u00edticas de retenci\u00f3n para garantizar evidencias duraderas y con control de versiones.<\/li>\n<\/ul>\n<\/div>\n<p>Los <strong>registros de auditor\u00eda de Microsoft Entra<\/strong> son la forma m\u00e1s r\u00e1pida de confirmar intentos de robo de cuentas, sesiones de riesgo y desviaciones de las pol\u00edticas. Sin embargo, este m\u00e9todo no escala bien en entornos <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/seguimiento-excepciones-de-mfa\/\">multitenant<\/a>. Necesitas un pipeline de PowerShell basado en Graph que te permita recopilar datos de forma repetible y programada, aplicar filtros coherentes y conservar evidencias duraderas.<\/p>\n<h2>Gu\u00eda para aprovechar al m\u00e1ximo los registros de Microsoft Entra ID<\/h2>\n<p>\ud83d\udccc<strong> Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Microsoft Graph PowerShell debe estar ya instalado y actualizado.<\/li>\n<li>Debes poder registrar aplicaciones en Microsoft Entra con permisos de m\u00ednimo privilegio para los informes de inicio de sesi\u00f3n (se recomiendan permisos de aplicaci\u00f3n).<\/li>\n<li>Hay que obtener el consentimiento en cada tenant y contar con una estrategia segura de secretos o identidades administradas.<\/li>\n<li>Necesitas un <a href=\"https:\/\/www.ninjaone.com\/es\/documentacion-de-ti\/\">espacio de almacenamiento centralizado<\/a> para las exportaciones.<\/li>\n<li>Necesitas un espacio de trabajo de informes para los res\u00famenes mensuales y las evidencias para las QBR.<\/li>\n<\/ul>\n<h3>Paso 1: elige las fuentes y define el esquema<\/h3>\n<p>Los registros de inicio de sesi\u00f3n contienen informaci\u00f3n muy valiosa. Cuando construyes un pipeline de auditor\u00eda de inicios de sesi\u00f3n de Entra en varios tenants, tienes que saber exactamente qu\u00e9 datos recopilas y c\u00f3mo los vas a usar. Para ello:<\/p>\n<ul>\n<li>Prioriza los registros de inicio de sesi\u00f3n (de usuarios y de entidades de servicio) y decide si tambi\u00e9n necesitas Directory Audit para entender bien lo que ocurre.<\/li>\n<li> Define un conjunto de columnas m\u00ednimo y coherente. Por ejemplo: marca de tiempo, UPN\/objectId del usuario, displayName\/appId de la aplicaci\u00f3n, clientAppUsed (autenticaci\u00f3n moderna frente a heredada), IP\/ubicaci\u00f3n, resultado de MFA, estado (c\u00f3digos de error) y correlationId. Puedes a\u00f1adir o quitar datos seg\u00fan tu caso concreto.<\/li>\n<\/ul>\n<p>Al terminar, deber\u00edas tener un plan claro de qu\u00e9 datos vas a recopilar durante la auditor\u00eda. Eso facilita las detecciones y ayuda a generar informes fiables.<\/p>\n<h3>Paso 2: protege el registro de aplicaci\u00f3n y los permisos<\/h3>\n<p>Para aprovechar al m\u00e1ximo los datos de inicio de sesi\u00f3n de Entra, tienes que habilitar la recopilaci\u00f3n desatendida y multitenant de forma segura, protegiendo el registro de aplicaci\u00f3n y los permisos que has activado.<\/p>\n<p>Para ello, primero registra una aplicaci\u00f3n en Entra para los informes siguiendo estos pasos:<\/p>\n<ol>\n<li>Ve al <a href=\"https:\/\/entra.microsoft.com\/\" target=\"_blank\" rel=\"noopener\">centro de administraci\u00f3n de Microsoft Entra<\/a> e <strong>inicia sesi\u00f3n<\/strong>.<\/li>\n<li>Ve a <strong>Entra ID<\/strong> &gt; <strong>Registros de aplicaciones<\/strong> &gt; <strong>Nuevo registro<\/strong>.<\/li>\n<li>Asigna un nombre a tu aplicaci\u00f3n de informes.<\/li>\n<li>En <strong>Tipos de cuenta admitidos<\/strong> puedes especificar qui\u00e9n puede usar la aplicaci\u00f3n. Estas son las opciones disponibles:\n<ul>\n<li>Cuentas solo en este directorio organizativo<\/li>\n<li>Cuentas en cualquier directorio organizativo<\/li>\n<li>Cuentas en cualquier directorio organizativo y cuentas personales de Microsoft<\/li>\n<li>Cuentas personales de Microsoft<\/li>\n<\/ul>\n<\/li>\n<li>Selecciona <strong>Registrar<\/strong>.<\/li>\n<\/ol>\n<p>\ud83d\udca1<strong>Nota<\/strong>: asigna solo los permisos necesarios para los informes y la auditor\u00eda de inicios de sesi\u00f3n (permisos de aplicaci\u00f3n).<\/p>\n<p>Una vez configurada la aplicaci\u00f3n de informes, guarda las credenciales en un almac\u00e9n seguro y rota el acceso a los registros. Registra el estado del consentimiento de cada tenant con la aplicaci\u00f3n de informes y ten los datos listos para las pr\u00f3ximas fechas de revisi\u00f3n.<\/p>\n<p>Al terminar, tendr\u00e1s una base reforzada y auditable para la recopilaci\u00f3n automatizada.<\/p>\n<h3>Paso 3: con\u00e9ctate con Graph PowerShell y ejecuta consultas de referencia<\/h3>\n<p>Primero, <a href=\"https:\/\/learn.microsoft.com\/en-us\/powershell\/entra-powershell\/installation?view=entra-powershell&#038;tabs=powershell%2Cv1&#038;pivots=windows\" target=\"_blank\" rel=\"noopener\">descarga el m\u00f3dulo de Microsoft Graph PowerShell<\/a>. Despu\u00e9s, sigue estos pasos para conectar Windows PowerShell a tu tenant de Microsoft Entra ID:<\/p>\n<ol>\n<li>Establece la pol\u00edtica de ejecuci\u00f3n de PowerShell en remote signed con este comando: <strong><code>Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser<\/code><\/strong><\/li>\n<li>Ejecuta este comando para instalar el m\u00f3dulo de Microsoft Graph PowerShell:<strong><code>Install-Module -Name Microsoft.Entra -Repository PSGallery -Scope CurrentUser -Force -AllowClobber<\/code><\/strong><\/li>\n<li>Ejecuta <strong><code>Connect-Entra -Scopes 'User.Read.All'<\/code><\/strong> e inicia sesi\u00f3n con una cuenta de administrador de tu tenant cuando se te solicite.<\/li>\n<\/ol>\n<p>Hecho esto, ya puedes:<\/p>\n<ul>\n<li>Autenticarte de forma no interactiva en cada tenant mediante el registro de aplicaci\u00f3n.<\/li>\n<li>Ejecutar consultas de referencia en una ventana de 24 a 72 horas y exportar los resultados a CSV\/JSON.<\/li>\n<li>Validar los campos clave (aplicaci\u00f3n cliente, resultado de MFA, c\u00f3digos de error) y la gesti\u00f3n de las zonas horarias.<\/li>\n<\/ul>\n<p>Una vez conectado a Microsoft Graph, ya puedes hacer consultas m\u00e1s \u00fatiles y exportar los datos que necesitas para la auditor\u00eda.<\/p>\n<h3>Paso 4: crea filtros y detecciones de alto valor<\/h3>\n<p>Ya tienes los registros en bruto, as\u00ed que toca dar el siguiente paso: convertir todos esos datos en se\u00f1ales de seguridad sobre las que puedas actuar. Para ello:<\/p>\n<ul>\n<li>Crea filtros guardados en Microsoft Entra para autenticaci\u00f3n heredada, fallos repetidos de MFA, ubicaciones o ASN desconocidos, inicios de sesi\u00f3n de alto riesgo y aplicaciones cliente inusuales.<\/li>\n<li>A\u00f1ade enriquecimiento de datos (geolocalizaci\u00f3n, ASN, departamento del usuario) y listas de permitidos por tenant para reducir el ruido.<\/li>\n<li>Define umbrales y niveles de gravedad asociados a playbooks concretos (investigar, avisar al CSM, abrir un incidente).<\/li>\n<\/ul>\n<p>Con todo esto, detectar\u00e1s los problemas con mucha m\u00e1s facilidad. As\u00ed reduces el tiempo de triaje y tu equipo puede actuar de forma m\u00e1s coherente.<\/p>\n<h3>Paso 5: programa, almacena y conserva las evidencias<\/h3>\n<p>Haz un seguimiento de tus datos y de los resultados de tus auditor\u00edas internas. De este modo, las evidencias se mantienen en el tiempo y est\u00e1n listas para auditor\u00edas externas.<\/p>\n<p>Para ello:<\/p>\n<ul>\n<li>Programa extracciones cada hora o cada d\u00eda, con l\u00f3gica de recuperaci\u00f3n de datos para evitar huecos.<\/li>\n<li>Escribe las exportaciones de cada tenant en carpetas estructuradas; aplica control de versiones y pol\u00edticas de retenci\u00f3n.<\/li>\n<li>Genera res\u00famenes diarios y mensuales con el n\u00famero de detecciones y la variaci\u00f3n de las tendencias.<\/li>\n<\/ul>\n<p>Llevar el control de todos tus datos te da un hist\u00f3rico m\u00e1s fiable para las investigaciones, el cumplimiento y el relato de tus QBR.<\/p>\n<h3>Paso 6: alertas e informes a escala multitenant<\/h3>\n<p>Ahora que tienes los datos y los informes listos, puedes detectar riesgos m\u00e1s r\u00e1pido y demostrar avances. Comparte los datos con todas las partes implicadas e incl\u00fayelos en informes preparados para las QBR.<\/p>\n<p>Para integrar bien las detecciones en tus flujos de trabajo habituales:<\/p>\n<ul>\n<li>Crea rutas de alerta para las detecciones cr\u00edticas (por ejemplo, picos de autenticaci\u00f3n heredada o fallos persistentes de MFA).<\/li>\n<li>Publica cuadros de mando mensuales de seguridad de los inicios de sesi\u00f3n por tenant: tasa de autenticaci\u00f3n heredada, tasa de fallos de MFA, inicios de sesi\u00f3n de riesgo, anomal\u00edas geogr\u00e1ficas y MTTR.<\/li>\n<li>Haz seguimiento de las tareas de correcci\u00f3n (deshabilitar protocolos heredados, reforzar el acceso condicional, formar a los usuarios) y confirma la mejora en el resumen del mes siguiente.<\/li>\n<\/ul>\n<p>As\u00ed creas operaciones de ciclo cerrado que reducen el riesgo y demuestran valor, e integras el pipeline de auditor\u00eda sin fricciones en tu d\u00eda a d\u00eda.<\/p>\n<h2>Ideas de integraci\u00f3n con NinjaOne para procesar los registros de inicio de sesi\u00f3n de Microsoft Entra y otros datos<\/h2>\n<ul>\n<li><strong>Automatizaci\u00f3n<\/strong>: ejecuta <a href=\"https:\/\/www.ninjaone.com\/es\/mdm\/powershell-remoto\/\">scripts de PowerShell<\/a> programados y etiqueta los tenants seg\u00fan el estado del consentimiento y la salud de la recopilaci\u00f3n.<\/li>\n<li><strong>Monitorizaci\u00f3n<\/strong>: configura una <a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/supervision-remota-aviso-de-alertas\/\">alerta<\/a> para fallos de tareas, exportaciones vac\u00edas o picos de detecciones inusuales.<\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Gu\u00eda de inicio r\u00e1pido<\/h2><p>Para crear un pipeline as\u00ed, normalmente necesitas:<\/p>\n<p>1. <b>Configurar Entra ID<\/b>: aseg\u00farate de tener <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/auditoria-de-endpoints-huerfanos\/\">varios tenants<\/a> configurados en Entra ID.<br \/>\n2. <b>Usar la API de Microsoft Graph<\/b>: aprovecha la <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/api-graph-informes-cumplimiento-multitenant\/\">API de Microsoft Graph<\/a> para acceder a los registros de inicio de sesi\u00f3n de todos los tenants.<br \/>\n3. <b>M\u00f3dulos de PowerShell<\/b>: utiliza m\u00f3dulos como <code>Microsoft.Graph<\/code> para PowerShell para interactuar con Entra ID.<br \/>\n4. <b>Scripting<\/b>: escribe scripts de <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/automatizacion-con-powershell\/\">PowerShell<\/a> para consultar los registros de inicio de sesi\u00f3n, filtrar los datos de auditor\u00eda y exportar informes.<\/p>\n<\/div>\n<h2>Aprovecha los registros de auditor\u00eda de Microsoft Entra para mejorar tus operaciones<\/h2>\n<p>Un pipeline basado en Microsoft Graph y gestionado con PowerShell convierte los registros de inicio de sesi\u00f3n de Entra en un activo operativo muy potente. Te da recopilaci\u00f3n repetible, detecciones fiables y evidencias listas para auditor\u00eda.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/sso-azure-ad-apps-linea-de-negocio\/\">C\u00f3mo configurar el SSO con Azure AD para aplicaciones de negocio<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/registrar-dispositivos-azure-en-intune\/\">C\u00f3mo registrar dispositivos de Azure en Intune<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/ventajas-e-inconvenientes-azure-active-directory\/\">Ventajas e inconvenientes de Microsoft Azure: Active Directory<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/limpiar-dispositivos-obsoletos-azure-ad\/\">C\u00f3mo usar PowerShell para exportar el inventario de dispositivos inactivos de Azure y depurarlo<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Los registros de auditor\u00eda de Microsoft Entra son la forma m\u00e1s r\u00e1pida de confirmar intentos de robo de cuentas, sesiones de riesgo y desviaciones de las pol\u00edticas. Sin embargo, este m\u00e9todo no escala bien en entornos multitenant. Necesitas un pipeline de PowerShell basado en Graph que te permita recopilar datos de forma repetible y programada, [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":742358,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-899353","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899353","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=899353"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899353\/revisions"}],"predecessor-version":[{"id":899354,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899353\/revisions\/899354"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/742358"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=899353"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=899353"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=899353"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}