¿Qué es el riesgo?

Las detecciones de riesgo en Azure AD Identity Protection incluyen todas las acciones sospechosas identificadas, relacionadas con las cuentas de usuario en el directorio. Las detecciones de riesgo (vinculadas tanto al usuario como al inicio de sesión) contribuyen a la puntuación de riesgo general del usuario que se encuentra en el informe Usuarios de riesgo.

Identity Protection proporciona a las organizaciones el acceso a recursos eficaces, para ver y responder rápidamente a estas acciones sospechosas.

Información general sobre seguridad que muestra usuarios e inicios de sesión de riesgo

Nota

Identity Protection genera detecciones de riesgo solo cuando se usan las credenciales correctas. El hecho de que se usen credenciales incorrectas en un inicio de sesión no pone en peligro las credenciales.

Tipos de riesgo y detección

El riesgo se puede detectar a nivel de Usuario y de Inicio de sesión; además, existen dos tipos de detección o cálculo: Tiempo real y Sin conexión. Algunos riesgos se consideran premium disponibles solo para Azure AD Premium P2 clientes, mientras que otros están disponibles para clientes con cuentas gratuitas y Azure AD Premium P1.

Un riesgo de inicio de sesión representa la probabilidad de que el propietario de la identidad no haya autorizado una solicitud de autenticación determinada. Se puede detectar una actividad de riesgo para un usuario que no está vinculada a un inicio de sesión malintencionado específico, sino al propio usuario.

Es posible que las detecciones en tiempo real no se muestren en los informes durante un tiempo comprendido entre 5 y 10 minutos. Es posible que las detecciones sin conexión no se muestren en los informes durante 48 horas.

Nota:

Nuestro sistema puede detectar que el evento de riesgo que contribuyó a la puntuación de riesgo del usuario era:

Nuestro sistema descartará el estado de riesgo y mostrará el detalle de riesgo de "La IA confirmó que el inicio de sesión es seguro", por lo que dejará de contribuir al riesgo general del usuario.

Detecciones de Premium

Las detecciones de Premium solo son visibles para clientes de Azure AD Premium P2. Los clientes sin licencias de Azure AD Premium P2 siguen recibiendo las detecciones premium, pero se denominarán "riesgo adicional detectado".

Riesgo de inicio de sesión

Detecciones de riesgo de inicio de sesión premium

Detección de riesgos Tipo de detección Descripción
Viaje atípico Sin conexión Este tipo de detección de riesgos identifica dos inicios de sesión procedentes de ubicaciones geográficamente distantes, donde al menos una de las ubicaciones puede también ser inusual para el usuario, según su comportamiento anterior. El algoritmo tiene en cuenta múltiples factores incluyendo el tiempo transcurrido entre dos inicios de sesión y el tiempo que habría necesitado el usuario para viajar de la primera ubicación a la segunda. Esto indica que otro usuario está usando las mismas credenciales.

Este algoritmo omite "falsos positivos" obvios que contribuyen a una condición de viaje imposible, como las VPN y las ubicaciones que usan con regularidad otros usuarios de la organización. El sistema tiene un período de aprendizaje inicial de 14 días o 10 inicios de sesión, lo que ocurra primero, durante el cual aprende el comportamiento de inicio de sesión del nuevo usuario.
Token anómalo Sin conexión Esta detección indica que hay características anómalas en el token, como una duración inusual del token o un token que se reproduce desde una ubicación desconocida. Esta detección abarca los tokens de sesión y los tokens de actualización.

NOTA: Un token anómalo está ajustado para generar más ruido que otras detecciones en el mismo nivel de riesgo. Esta contrapartida se ha elegido para aumentar la probabilidad de detectar tokens reproducidos que, de lo contrario, pueden pasar desapercibidos. Dado que se trata de una detección de ruido elevada, existe una probabilidad más alta de lo normal de que algunas de las sesiones marcadas por esta detección sean falsos positivos. Se recomienda investigar las sesiones marcadas por esta detección en el contexto de otros inicios de sesión del usuario. Si la ubicación, la aplicación, la dirección IP, el agente de usuario u otras características son inesperadas para el usuario, el administrador del inquilino debe considerar esto como un indicador de una posible reproducción de tokens.
Anomalía del emisor de tokens Sin conexión Esta detección de riesgo indica que el emisor del token SAML asociado puede estar en peligro. Las notificaciones incluidas en el token son inusuales o coinciden con patrones de atacante conocidos.
Dirección IP vinculada al malware Sin conexión Este tipo de detección de riesgos indica inicios de sesión desde direcciones IP infectadas con malware, que se sabe que se comunican activamente con un servidor bot. Esta detección correlaciona las direcciones IP del dispositivo del usuario con direcciones IP que estuvieron en contacto con un servidor bot mientras este último estaba activo.

Esta detección ha quedado en desuso . Identity Protection ya no generará nuevas detecciones de "Dirección IP vinculada a malware". Los clientes que actualmente tienen detecciones de "Dirección IP vinculada a malware" en su inquilino podrán verlas, corregirlas o descartarlas hasta que se alcance el tiempo de retención de detección de 90 días.
Explorador sospechoso Sin conexión La detección sospechosa del explorador indica un comportamiento anómalo basado en la actividad de inicio de sesión sospechosa en varios inquilinos de distintos países en el mismo explorador.
Propiedades de inicio de sesión desconocidas Tiempo real Este tipo de detección de riesgos considera que el historial de inicio de sesión anterior busca inicios de sesión anómalos. El sistema almacena información sobre inicios de sesión anteriores y desencadena una detección de riesgos cuando se produce un inicio de sesión con propiedades desconocidas para el usuario. Estas propiedades pueden incluir IP, ASN, ubicación, dispositivo, explorador y subred IP del inquilino. Los usuarios recién creados estarán en un periodo de "modo de aprendizaje" en el que la detección de riesgo de las propiedades de inicio de sesión desconocidas estarán desactivadas mientras nuestros algoritmos aprenden el comportamiento del usuario. La duración del modo de aprendizaje es dinámica y depende de cuánto tiempo tarde el algoritmo en recopilar información suficiente sobre los patrones de inicio de sesión del usuario. La duración mínima es de cinco días. Un usuario puede volver al modo de aprendizaje tras un largo período de inactividad.

También se ejecuta esta detección para una autenticación básica o para protocolos heredados. Dado que estos protocolos no tienen propiedades modernas como el identificador de cliente, hay una telemetría limitada para reducir los falsos positivos. Se recomienda que los clientes realicen la migración a la autenticación moderna.

Se pueden detectar propiedades de inicio de sesión desconocidas en inicios de sesión interactivos y no interactivos. Cuando esta detección se realiza en inicios de sesión no interactivos, merece mayor supervisión debido al riesgo de ataques de reproducción de tokens.
Dirección IP malintencionada Sin conexión Esta detección indica el inicio de sesión desde una dirección IP malintencionada. Una dirección IP se considera malintencionada si se recibe una alta tasa de errores debidos a credenciales no válidas desde la dirección IP u otros orígenes de reputación de IP.
Reglas de manipulación sospechosa de la bandeja de entrada Sin conexión Esta detección se debe a Microsoft Defender for Cloud Apps. Esta detección analiza su entorno y activa alertas cuando se establecen reglas sospechosas que eliminan o mueven mensajes o carpetas en la bandeja de entrada de un usuario. Esta detección puede indicar que: la cuenta del usuario está en peligro, los mensajes se están ocultando intencionadamente, y el buzón se está usando para distribuir correo no deseado o malware en su organización.
Difusión de contraseña Sin conexión Un ataque de difusión de contraseñas es aquel por el que se ataca a varios nombres de usuario mediante contraseñas comunes, en un único ataque por la fuerza bruta, para obtener acceso no autorizado. Esta detección de riesgo se desencadena cuando se realiza correctamente un ataque de difusión de contraseñas. Por ejemplo, el atacante se autentica correctamente en la instancia detectada.
Viaje imposible Sin conexión Esta detección se debe a Microsoft Defender for Cloud Apps. Esta detección identifica actividades de usuario (en una o varias sesiones) que se originan desde ubicaciones geográficamente distantes dentro de un período de tiempo menor que el necesario para viajar de la primera ubicación a la segunda. Esto indica que otro usuario está usando las mismas credenciales.
Nuevo país Sin conexión Esta detección se debe a Microsoft Defender for Cloud Apps. Esta detección tiene en cuenta las ubicaciones de actividad anteriores para determinar las ubicaciones nuevas e infrecuentes. El motor de detección de anomalías almacena información sobre las ubicaciones anteriores utilizadas por los usuarios de la organización.
Actividad desde una dirección IP anónima Sin conexión Esta detección se debe a Microsoft Defender for Cloud Apps. Esta detección identifica que los usuarios estaban activos desde una dirección IP que se ha identificado como una dirección IP de proxy anónima.
Reenvío sospechoso desde la bandeja de entrada Sin conexión Esta detección se debe a Microsoft Defender for Cloud Apps. Esta detección busca reglas de reenvío de correo electrónico sospechosas, por ejemplo, si un usuario creó una regla de bandeja de entrada que reenvía una copia de todos los correos electrónicos a una dirección externa.
Acceso masivo a archivos confidenciales Sin conexión Esta detección se debe a Microsoft Defender for Cloud Apps. Esta detección analiza su entorno y activa alertas cuando los usuarios acceden a varios archivos desde Microsoft SharePoint o Microsoft OneDrive. Solo se desencadena una alerta si el número de archivos a los que se accede no es común para el usuario y los archivos pueden contener información confidencial.

Detecciones de riesgo de inicio de sesión no premium

Detección de riesgos Tipo de detección Descripción
Riesgo adicional detectado En tiempo real o sin conexión Esta detección indica que se descubrió una de las detecciones premium. Dado que las detecciones premium solo son visibles para los clientes de Azure AD Premium P2, se denominan "Riesgo adicional detectado" para los clientes sin licencias de Azure AD Premium P2.
Dirección IP anónima Tiempo real Este tipo de detección de riesgos indica inicios de sesión desde una dirección IP anónima (por ejemplo, el explorador Tor o redes VPN anónimas). Estas direcciones IP normalmente las usan actores que quieren ocultar su información de inicio de sesión (dirección IP, ubicación, dispositivo, etc.) con fines potencialmente malintencionados.
Vulneración de identidad de usuario confirmada por el administrador Sin conexión Esta detección indica que un administrador ha seleccionado "Confirmar vulneración de la identidad del usuario" en la interfaz de usuario de Usuarios de riesgo o mediante riskyUsers API. Para ver qué administrador ha confirmado este usuario comprometido, compruebe el historial de riesgos del usuario (a través de la interfaz de usuario o la API).
Inteligencia de Azure AD sobre amenazas Sin conexión Este tipo de detección de riesgo indica una actividad de usuario inusual para el usuario en cuestión o coherente con patrones de ataque conocidos. Esta detección está basada en las fuentes de inteligencia sobre amenazas internas y externas de Microsoft.

Detecciones vinculadas al usuario

Detecciones de riesgo de usuario premium

Detección de riesgos Tipo de detección Descripción
Posible intento de acceso al token de actualización principal (PRT) Sin conexión Este tipo de detección de riesgos lo detecta Microsoft Defender para punto de conexión (MDE). Un token de actualización principal (PRT) es un artefacto de claves de autenticación de Azure AD en dispositivos con Windows 10, Windows Server 2016 y versiones posteriores, iOS y Android. Un PTR es un token JWT (JSON Web Token) que se ha emitido especialmente para agentes de token propios de Microsoft con el fin de habilitar el inicio de sesión único (SSO) en las aplicaciones usadas en esos dispositivos. Los atacantes pueden intentar acceder a este recurso para desplazarse lateralmente a una organización o realizar el robo de credenciales. Esta detección moverá a los usuarios a un riesgo elevado y solo se activará en las organizaciones que hayan implementado MDE. Esta detección es de bajo volumen y será vista con poca frecuencia por la mayoría de las organizaciones. Sin embargo, cuando se produce, es de alto riesgo y los usuarios deben corregirse.
Actividad anómala del usuario Sin conexión Esta detección de riesgos tiene como base el comportamiento normal del usuario administrativo en Azure AD y detecta patrones anómalos de comportamiento, como los cambios sospechosos en el directorio. La detección se desencadena en el administrador que realiza el cambio o en el objeto que se cambió.

Detecciones de riesgo de usuario no premium

Detección de riesgos Tipo de detección Descripción
Riesgo adicional detectado En tiempo real o sin conexión Esta detección indica que se descubrió una de las detecciones premium. Dado que las detecciones premium solo son visibles para los clientes de Azure AD Premium P2, se denominan "Riesgo adicional detectado" para los clientes sin licencias de Azure AD Premium P2.
Credenciales con fugas Sin conexión Este tipo de detección de riesgo indica que se han filtrado las credenciales válidas del usuario. Cuando los cibercriminales llegan a poner en peligro las contraseñas válidas de usuarios legítimos, es frecuente que las compartan. Normalmente lo hacen publicándolas en la Web oscura, los sitios de pegado, o bien mediante el intercambio o la venta de esas credenciales en el mercado negro. Cuando el servicio de credenciales filtradas de Microsoft adquiere las credenciales de usuario de la Web oscura, los sitios de pegado u otros orígenes, se comparan con las credenciales válidas actuales de los usuarios de Azure AD para encontrar coincidencias válidas. Para obtener más información sobre las credenciales filtradas, consulte Preguntas frecuentes.
Inteligencia de Azure AD sobre amenazas Sin conexión Este tipo de detección de riesgo indica una actividad de usuario inusual para el usuario en cuestión o coherente con patrones de ataque conocidos. Esta detección está basada en las fuentes de inteligencia sobre amenazas internas y externas de Microsoft.

Preguntas frecuentes

Niveles de riesgo

Identity Protection clasifica el riesgo en tres niveles: bajo, medio y alto. Al configurar directivas de Identity Protection, también puede configurarlas para que se desencadene una alerta con el nivel Sin riesgo. Sin riesgo significa que no hay ninguna indicación activa de que la identidad del usuario se ha visto en peligro.

Microsoft no proporciona detalles específicos sobre cómo se calcula el riesgo. Cada nivel de riesgo aporta una mayor confianza sobre el hecho de que el usuario o el inicio de sesión están en peligro. Por ejemplo, cosas como un caso de propiedades de inicio de sesión desconocidas para un usuario podría no ser tan amenazante como la filtración de credenciales para otro usuario.

Sincronización de hash de contraseña

Las detecciones de riesgos, como las credenciales filtradas, requieren la presencia de elementos hash de contraseña para que se produzca la detección. Para obtener más información sobre la sincronización de hash de contraseñas, consulte Implementación de la sincronización de hash de contraseñas con la sincronización de Azure AD Connect.

¿Por qué se generan detecciones de riesgo para cuentas de usuario deshabilitadas?

Las cuentas de usuario deshabilitadas se pueden volver a habilitar. Si las credenciales de una cuenta deshabilitada están en peligro y la cuenta se vuelve a habilitar, los actores no autorizados podrían usar esas credenciales para obtener acceso. Identity Protection genera detecciones de riesgos para actividades sospechosas en cuentas de usuario deshabilitadas para alertar a los clientes sobre posibles riesgos para la cuenta. Si una cuenta ya no está en uso y no se habilitará de nuevo, los clientes deben considerar la posibilidad de eliminarla para evitar el riesgo. No se generan detecciones de riesgo para las cuentas eliminadas.

Credenciales con fugas

¿Dónde busca Microsoft las credenciales filtradas?

Microsoft busca las credenciales filtradas en varios lugares, por ejemplo, en:

  • Los sitios de pegado públicos, como pastebin.com y paste.ca, en los que los infiltrados normalmente publican este material. Esta ubicación es la parada obligada para la mayoría de los infiltrados en su búsqueda de credenciales robadas.
  • Organismos de autoridad judicial.
  • Otros grupos de Microsoft que investigan la web oscura.

¿Por qué no veo ninguna credencial filtrada?

Las credenciales filtradas se procesan siempre que Microsoft encuentra un nuevo lote disponible públicamente. Debido a la naturaleza confidencial, las credenciales filtradas se eliminan al poco tiempo de procesarse. Solo se procesarán en el inquilino las nuevas credenciales filtradas que se encuentren después de habilitar la sincronización de hash de contraseñas (PHS). No se realiza la comprobación con los pares de credenciales encontrados anteriormente.

No he encontrado ningún evento de riesgo de credenciales filtradas durante bastante tiempo.

Si no ha detectado ningún evento de riesgo de credenciales filtradas, se debe a los siguientes motivos:

  • No tiene PHS habilitada para el inquilino.
  • Microsoft no ha encontrado ningún par de credenciales filtradas que coincida con sus usuarios.

¿Con qué frecuencia Microsoft procesa nuevas credenciales?

Las credenciales se procesan inmediatamente después de que se han encontrado, normalmente varios lotes al día.

Ubicaciones

La ubicación en las detecciones de riesgo viene determinada por la búsqueda de direcciones IP.

Pasos siguientes