Compartir a través de

¿Qué son las detecciones de riesgo?

Microsoft Entra ID Protection puede proporcionar una amplia gama de detecciones de riesgo que se pueden usar para identificar actividades sospechosas en su organización. Las tablas incluidas en este artículo resumen la lista de detecciones de riesgo de inicio de sesión y usuario, incluidos los requisitos de licencia o si la detección se produce en tiempo real o sin conexión. Puede encontrar más detalles sobre cada detección de riesgos siguiendo las tablas.

  • Los detalles completos sobre la mayoría de las detecciones de riesgo requieren Microsoft Entra ID P2.
    • Los clientes sin licencias P2 de Microsoft Entra ID reciben detecciones titulada Riesgo adicional detectado sin detalles de detección de riesgos.
    • For more information, see the license requirements.
  • Para obtener información sobre las detecciones de riesgos de identidad de carga de trabajo, consulte Protección de identidades de carga de trabajo.

Note

Para obtener más información sobre las detecciones en tiempo real frente a los niveles de riesgo y las detecciones sin conexión, consulte Tipos y niveles de detección de riesgos.

Detecciones de riesgo de inicio de sesión asignadas a riskEventType

Seleccione una detección de riesgos en la lista para ver la descripción de la detección de riesgos, cómo funciona y los requisitos de licencia. In the table, Premium indicates the detection requires at least a Microsoft Entra ID P2 license. Nonpremium indicates the detection is available with Microsoft Entra ID Free. La riskEventType columna indica el valor que aparece en las consultas de Microsoft Graph API.

Detección de riesgos de inicio de sesión Detection type Type riskEventType
Actividad desde una dirección IP anónima Offline Premium riskyIPAddress
riesgo adicional detectado (inicio de sesión) En tiempo real o sin conexión Nonpremium generic ^
Vulneración de identidad de usuario confirmada por el administrador Offline Nonpremium adminConfirmedUserCompromised
Token anómalo (inicio de sesión) En tiempo real o sin conexión Premium anomalousToken
Dirección IP anónima Real-time Nonpremium anonymizedIPAddress
Atypical travel Offline Premium unlikelyTravel
Impossible travel Offline Premium mcasImpossibleTravel
Dirección IP malintencionada Offline Premium maliciousIPAddress
Acceso masivo a archivos confidenciales Offline Premium mcasFinSuspiciousFileAccess
Información sobre amenazas de Microsoft Entra (inicio de sesión) En tiempo real o sin conexión Nonpremium investigationsThreatIntelligence
New country Offline Premium newCountry
Password spray En tiempo real o sin conexión Premium passwordSpray
Suspicious browser Offline Premium suspiciousBrowser
Reenvío sospechoso desde la bandeja de entrada Offline Premium suspiciousInboxForwarding
Reglas de manipulación sospechosa de la bandeja de entrada Offline Premium mcasSuspiciousInboxManipulationRules
anomalía del emisor de tokens Offline Premium tokenIssuerAnomaly
Propiedades de inicio de sesión desconocidas Real-time Premium unfamiliarFeatures
IP de actor de amenazas comprobada Real-time Premium nationStateIP

^ RiskEventType para detección de riesgo adicional detectada es genérico para los inquilinos con Microsoft Entra ID Free o Microsoft Entra ID P1. Hemos detectado algo arriesgado, pero los detalles no están disponibles sin una licencia de Microsoft Entra ID P2.

Detecciones de riesgo de usuario asignadas a riskEventType

Seleccione una detección de riesgos en la lista para ver la descripción de la detección de riesgos, cómo funciona y los requisitos de licencia.

Detección de riesgos de usuario Detection type Type riskEventType
Riesgo adicional detectado (usuario) En tiempo real o sin conexión Nonpremium generic ^
Token anómalo (usuario) En tiempo real o sin conexión Premium anomalousToken
Actividad anómala del usuario Offline Premium anomalousUserActivity
Atacante en el medio Offline Premium attackerinTheMiddle
Leaked credentials Offline Nonpremium leakedCredentials
Información sobre amenazas de Microsoft Entra (usuario) En tiempo real o sin conexión Nonpremium investigationsThreatIntelligence
Posible intento de acceso al token de actualización principal (PRT) Offline Premium attemptedPrtAccess
Tráfico de API sospechoso Offline Premium suspiciousAPITraffic
Patrones de envío sospechosos Offline Premium suspiciousSendingPatterns
El usuario notificó una actividad sospechosa Offline Premium userReportedSuspiciousActivity

^ RiskEventType para detección de riesgo adicional detectada es genérico para los inquilinos con Microsoft Entra ID Free o Microsoft Entra ID P1. Hemos detectado algo arriesgado, pero los detalles no están disponibles sin una licencia de Microsoft Entra ID P2.

Detecciones de riesgo de inicio de sesión

Actividad desde una dirección IP anónima

Esta detección se descubre utilizando la información que proporciona Microsoft Defender for Cloud Apps. Esta detección identifica que los usuarios estaban activos desde una dirección IP identificada como una dirección IP de proxy anónima.

  • Calculated offline
  • License requirement: Microsoft Entra ID P2 and Microsoft 365 E5, Enterprise Mobility + Security E5, or standalone license for Microsoft Defender for Cloud Apps.

Riesgo adicional detectado (inicio de sesión)

Esta detección indica que se descubrió una de las detecciones premium. Dado que las detecciones premium solo son visibles para los clientes de Microsoft Entra ID P2, se les denomina Riesgo adicional detectado para los clientes sin licencias de Id. de Entra P2 de Microsoft.

  • Calculado en tiempo real o sin conexión
  • Requisito de licencia: Microsoft Entra ID Free o Microsoft Entra ID P1

Vulneración de identidad de usuario confirmada por el administrador

Esta detección indica que un administrador ha seleccionado Confirmar que el usuario está en peligro en la interfaz de usuario de usuarios de riesgo o mediante riskyUsers API. Para ver qué administrador confirmó que este usuario está en peligro, comprueba el historial de riesgos del usuario (a través de la interfaz de usuario o la API).

  • Calculated offline
  • Requisito de licencia: Microsoft Entra ID Free o Microsoft Entra ID P1

Token anómalo (autenticación)

Esta detección indica características anómalas en el token, como una duración inusual o un token reproducido desde una ubicación desconocida. Esta detección abarca "Tokens de sesión" y "Tokens de actualización".

Un token anómalo está ajustado para generar más ruido que otras detecciones en el mismo nivel de riesgo. Se ha optado por este equilibrio para aumentar la probabilidad de detectar tokens reproducidos que, de lo contrario, podrían pasar desapercibidos. Hay una probabilidad más alta de lo normal de que algunas de las sesiones marcadas por esta detección sean falsos positivos. Se recomienda investigar las sesiones marcadas por esta detección en el contexto de otros inicios de sesión del usuario. Si la ubicación, la aplicación, la dirección IP, el Agente de usuario u otras características son inesperadas para el usuario, el administrador debe considerar este riesgo como un indicador de la posible reproducción de tokens.

Dirección IP anónima

Este tipo de detección de riesgos indica inicios de sesión desde una dirección IP anónima (por ejemplo, el explorador Tor o redes VPN anónimas). Estas direcciones IP normalmente las usan actores que quieren ocultar su información de inicio de sesión (dirección IP, ubicación, dispositivo, etc.) con fines potencialmente malintencionados.

  • Calculado en tiempo real
  • Requisito de licencia: Microsoft Entra ID Free o Microsoft Entra ID P1

Atypical travel

Este tipo de detección de riesgo identifica dos inicios de sesión procedentes de ubicaciones geográficamente distantes, donde al menos una de las ubicaciones puede también ser inusual para el usuario, según su comportamiento anterior. El algoritmo tiene en cuenta múltiples factores, como el tiempo transcurrido entre los dos inicios de sesión y el tiempo que habría necesitado el usuario para viajar de la primera ubicación a la segunda. Este riesgo podría indicar que otro usuario está usando las mismas credenciales.

Este algoritmo omite "falsos positivos" obvios que contribuyen a una condición de viaje imposible, como las VPN y las ubicaciones que usan con regularidad otros usuarios de la organización. El sistema tiene un período de aprendizaje inicial de 14 días o 10 inicios de sesión, lo que ocurra primero, durante el cual aprende el comportamiento de inicio de sesión del nuevo usuario.

Impossible travel

Esta detección se descubre utilizando la información que proporciona Microsoft Defender for Cloud Apps. Esta detección identifica las actividades del usuario (en una sola o varias sesiones) que se originan en ubicaciones geográficamente distantes dentro de un período de tiempo menor que el tiempo necesario para viajar desde la primera ubicación a la segunda. Este riesgo podría indicar que otro usuario está usando las mismas credenciales.

  • Calculated offline
  • License requirement: Microsoft Entra ID P2 and Microsoft 365 E5, Enterprise Mobility + Security E5, or standalone license for Microsoft Defender for Cloud Apps.

Dirección IP malintencionada

Esta detección indica el inicio de sesión desde una dirección IP malintencionada. Una dirección IP se considera malintencionada si se recibe una alta tasa de errores debidos a credenciales no válidas desde la dirección IP u otros orígenes de reputación de IP. En algunos casos, esta detección se desencadena en actividades malintencionadas anteriores.

Acceso masivo a archivos confidenciales

Esta detección se descubre utilizando la información que proporciona Microsoft Defender for Cloud Apps. Esta detección examina el entorno y desencadena alertas cuando los usuarios acceden a varios archivos desde Microsoft SharePoint Online o Microsoft OneDrive. Una alerta solo se desencadena si el número de archivos a los que se accede es poco frecuente para el usuario y los archivos pueden contener información confidencial.

  • Calculated offline
  • License requirement: Microsoft Entra ID P2 and Microsoft 365 E5, Enterprise Mobility + Security E5, or standalone license for Microsoft Defender for Cloud Apps.

Inteligencia sobre amenazas de Microsoft Entra (iniciar sesión)

Este tipo de detección de riesgo indica una actividad de usuario inusual para el usuario en cuestión o coherente con patrones de ataque conocidos. Esta detección está basada en las fuentes de inteligencia sobre amenazas internas y externas de Microsoft.

New country

Esta detección se descubre utilizando la información que proporciona Microsoft Defender for Cloud Apps. Esta detección tiene en cuenta las ubicaciones de actividad anteriores para determinar las ubicaciones nuevas e infrecuentes. El motor de detección de anomalías almacena información sobre las ubicaciones anteriores utilizadas por los usuarios de la organización.

  • Calculated offline
  • License requirement: Microsoft Entra ID P2 and Microsoft 365 E5, Enterprise Mobility + Security E5, or standalone license for Microsoft Defender for Cloud Apps.

Password spray

Un ataque de difusión de contraseñas es aquel por el que se ataca a varias identidades mediante contraseñas comunes, en un único ataque por la fuerza bruta. La detección de riesgos se desencadena cuando la contraseña de una cuenta es válida y ha tenido un intento de inicio de sesión. Esta detección indica que la contraseña del usuario se identificó correctamente a través de un ataque de difusión de contraseñas, no que el atacante pudo acceder a ningún recurso.

Suspicious browser

La detección de actividad sospechosa del navegador indica un comportamiento anómalo basado en la actividad sospechosa de inicio de sesión en varios inquilinos de diferentes países o regiones en el mismo navegador.

Reenvío sospechoso desde la bandeja de entrada

Esta detección se descubre utilizando la información que proporciona Microsoft Defender for Cloud Apps. Esta detección busca reglas de reenvío de correo electrónico sospechosas, por ejemplo, si un usuario creó una regla de bandeja de entrada que reenvía una copia de todos los correos electrónicos a una dirección externa.

  • Calculated offline
  • License requirement: Microsoft Entra ID P2 and Microsoft 365 E5, Enterprise Mobility + Security E5, or standalone license for Microsoft Defender for Cloud Apps.

Reglas de manipulación sospechosa de la bandeja de entrada

Esta detección se descubre utilizando la información que proporciona Microsoft Defender for Cloud Apps. Esta detección analiza su entorno y activa alertas cuando se establecen reglas sospechosas que eliminan o mueven mensajes o carpetas en la bandeja de entrada de un usuario. Esta detección puede indicar que: la cuenta del usuario está en peligro, los mensajes se están ocultando intencionadamente, y el buzón se está usando para distribuir correo no deseado o malware en su organización.

  • Calculated offline
  • License requirement: Microsoft Entra ID P2 and Microsoft 365 E5, Enterprise Mobility + Security E5, or standalone license for Microsoft Defender for Cloud Apps.

Anomalía del emisor de tokens

Esta detección de riesgo indica que el emisor del token SAML asociado puede estar en peligro. Las notificaciones incluidas en el token son inusuales o coinciden con patrones de atacante conocidos.

Propiedades de inicio de sesión desconocidas

Este tipo de detección de riesgos considera que el historial de inicio de sesión anterior busca inicios de sesión anómalos. El sistema almacena información sobre inicios de sesión anteriores y desencadena una detección de riesgos cuando se produce un inicio de sesión con propiedades desconocidas para el usuario. Estas propiedades pueden incluir IP, ASN, ubicación, dispositivo, explorador y subred IP del inquilino. Los usuarios recién creados se encuentran en un período de "modo de aprendizaje" en el que la detección de riesgos de propiedades de inicio de sesión desconocidas está desactivada mientras nuestros algoritmos aprenden el comportamiento del usuario. La duración del modo de aprendizaje es dinámica y depende de cuánto tiempo tarde el algoritmo en recopilar información suficiente sobre los patrones de inicio de sesión del usuario. La duración mínima es de cinco días. Un usuario puede volver al modo de aprendizaje tras un largo período de inactividad.

También se ejecuta esta detección para una autenticación básica o para protocolos heredados. Dado que estos protocolos no tienen propiedades modernas, como Id. de cliente, hay datos limitados para reducir los falsos positivos. Se recomienda que los clientes realicen la migración a la autenticación moderna.

Se pueden detectar propiedades de inicio de sesión desconocidas en inicios de sesión interactivos y no interactivos. Cuando esta detección se realiza en inicios de sesión no interactivos, merece mayor supervisión debido al riesgo de ataques de reproducción de tokens.

La selección de un riesgo de propiedades de inicio de sesión desconocido te permite ver información adicional que muestra más detalles sobre por qué se desencadenó este riesgo.

  • Calculado en tiempo real
  • Requisito de licencia: Microsoft Entra ID P2

IP de actor de amenazas comprobada

Calculado en tiempo real. Este tipo de detección de riesgos indica la actividad de inicio de sesión que es coherente con las direcciones IP conocidas asociadas a actores del estado nacional o a grupos de ciberdelincuencia, en función de los datos del Centro de inteligencia sobre amenazas de Microsoft (MSTIC).

  • Calculado en tiempo real
  • Requisito de licencia: Microsoft Entra ID P2

Detecciones de riesgo de usuario

Riesgo adicional detectado (usuario)

Esta detección indica que se descubrió una de las detecciones premium. Dado que las detecciones premium solo son visibles para los clientes de Microsoft Entra ID P2, se les denomina Riesgo adicional detectado para los clientes sin licencias de Id. de Entra P2 de Microsoft.

  • Calculado en tiempo real o sin conexión
  • Requisito de licencia: Microsoft Entra ID Free o Microsoft Entra ID P1

Token anómalo (usuario)

Esta detección indica características anómalas en el token, como una duración inusual o un token reproducido desde una ubicación desconocida. Esta detección abarca "Tokens de sesión" y "Tokens de actualización".

Un token anómalo está ajustado para generar más ruido que otras detecciones en el mismo nivel de riesgo. Se ha optado por este equilibrio para aumentar la probabilidad de detectar tokens reproducidos que, de lo contrario, podrían pasar desapercibidos. Hay una probabilidad más alta de lo normal de que algunas de las sesiones marcadas por esta detección sean falsos positivos. Se recomienda investigar las sesiones marcadas por esta detección en el contexto de otros inicios de sesión del usuario. Si la ubicación, la aplicación, la dirección IP, el Agente de usuario u otras características son inesperadas para el usuario, el administrador debe considerar este riesgo como un indicador de la posible reproducción de tokens.

Actividad anómala del usuario

Esta detección de riesgos tiene como base el comportamiento normal del usuario administrativo en Microsoft Entra ID y detecta patrones anómalos de comportamiento, como los cambios sospechosos en el directorio. La detección se desencadena en el administrador que realiza el cambio o en el objeto que se cambió.

  • Calculated offline
  • Requisito de licencia: Microsoft Entra ID P2

Atacante en el medio

También conocido como Adversario en el Medio, esta detección de alta precisión se desencadena cuando una sesión de autenticación está vinculada a un proxy inverso malintencionado. En este tipo de ataque, el adversario puede interceptar las credenciales del usuario, incluidos los tokens emitidos al usuario. The Microsoft Security Research team uses Microsoft 365 Defender for Office to capture the identified risk and raises the user to High risk. Se recomienda que los administradores investiguen manualmente al usuario cuando se desencadene esta detección para asegurarse de que se borra el riesgo. La eliminación de este riesgo podría requerir el restablecimiento de contraseña seguro o la revocación de sesiones existentes.

  • Calculated offline
  • Requisito de licencia: Microsoft Entra ID P2

Leaked credentials

Este tipo de detección de riesgos indica que se han filtrado las credenciales válidas del usuario. Cuando los cibercriminales llegan a poner en peligro las contraseñas válidas de usuarios legítimos, es frecuente que compartan estas credenciales recopiladas. Normalmente lo hacen publicándolas en la Web oscura, los sitios de pegado, o bien mediante el intercambio o la venta de esas credenciales en el mercado negro. Cuando el servicio de credenciales filtradas de Microsoft adquiere las credenciales de usuario de la web profunda, los sitios de pegado u otros orígenes, se comparan con las credenciales válidas actuales de los usuarios de Microsoft Entra para encontrar coincidencias válidas. For more information about leaked credentials, see FAQs.

Inteligencia sobre amenazas de Microsoft Entra (usuario)

Este tipo de detección de riesgo indica una actividad de usuario inusual para el usuario en cuestión o coherente con patrones de ataque conocidos. Esta detección está basada en las fuentes de inteligencia sobre amenazas internas y externas de Microsoft.

Posible intento de acceso al token de actualización principal (PRT)

Este tipo de detección de riesgos se descubre utilizando la información proporcionada por Microsoft Defender para punto de conexión (MDE). Un token de actualización principal (PRT) es un artefacto de claves de autenticación de Microsoft Entra en dispositivos Windows 10, Windows Server 2016 y versiones posteriores, iOS y Android. Un PRT es un token web JSON (JWT) emitido a los agentes de tokens de primera entidad de Microsoft para habilitar el inicio de sesión único (SSO) en todas las aplicaciones que se usan en esos dispositivos. Los atacantes pueden intentar acceder a este recurso para desplazarse lateralmente a una organización o realizar el robo de credenciales. Esta detección mueve a los usuarios a alto riesgo y solo se desencadena en organizaciones que implementan MDE. Esta detección es de alto riesgo y se recomienda la corrección de estos usuarios. Aparece con poca frecuencia en la mayoría de las organizaciones debido a su bajo volumen.

  • Calculated offline
  • Requisito de licencia: Microsoft Entra ID P2

Tráfico de API sospechoso

Esta detección de riesgos se notifica cuando se observa un tráfico anómalo de GraphAPI o enumeración de directorios. El tráfico de API sospechoso podría sugerir que un usuario está en peligro y que realiza el reconocimiento en el entorno.

  • Calculated offline
  • Requisito de licencia: Microsoft Entra ID P2

Patrones de envío sospechosos

Este tipo de detección de riesgos se detecta mediante la información proporcionada por Microsoft Defender para Office 365 (MDO). Esta alerta se genera cuando alguien de la organización envió un correo electrónico sospechoso y corre el riesgo de ser o está restringido al envío de correo electrónico. Esta detección mueve a los usuarios a riesgo medio y solo se desencadena en organizaciones que implementan MDO. Esta detección es de bajo volumen y se ve con poca frecuencia en la mayoría de las organizaciones.

  • Calculated offline
  • Requisito de licencia: Microsoft Entra ID P2

El usuario notificó una actividad sospechosa

Esta detección de riesgo se notifica cuando un usuario rechaza una solicitud de autenticación multifactor (MFA) y la notifica como actividad sospechosa. Una solicitud de MFA no iniciada por un usuario puede significar que sus credenciales están en peligro.

  • Calculated offline
  • Requisito de licencia: Microsoft Entra ID P2