Protección de tenants de Microsoft 365 de inicios de sesión riesgosos

Los inicios de sesión riesgosos son usualmente los que realiza alguien que no es el propietario de una cuenta particular. Con más frecuencia de la pensada, esto es un indicio de una cuenta de usuario comprometida y podría suponer una grave amenaza a la seguridad y confidencialidad de su organización. Si no se monitorean las cuentas de usuarios desde las cuales suceden inicios de sesión riesgosos, su organización podría terminar perdiendo datos críticos para el negocio ante intrusos.

Azure Active Directory muestra detalles sobre inicios de sesión riesgosos en su inquilino de Microsoft 365 en Seguridad > Inicios de sesión riesgosos, pero no hay opciones o filtros para escudriñar los datos con más detalle para determinar los inicios de sesión maliciosos.

¿Cómo ayuda M365 Security Plus?

M365 Security Plus ofrece opciones de geolocalización y de filtrado de IP de clientes para informes de auditoría y disparadores de alertas. Para acciones como inicio de sesión, cambios de contraseñas y creación de cuentas de usuarios, estos filtros le permiten encontrar el país desde el cual se realizó la operación con base en la dirección IP del dispositivo. Al combinar estos filtros con los ajustes de Horas laborales, puede escudriñar la actividad de inicios de sesión con más detalle al verificar si el inicio de sesión se dio o no durante el tiempo designado.

Siga los pasos dados a continuación para crear un perfil de alertas que genere una alarma si se realizan las acciones escogidas fuera de las horas laborales y países establecidos.

1. Vaya a la pestaña Ajustes en la sección Auditoría y monitoreo.
2. Vaya a Configuración > Configuración de auditorías > Perfiles de alertas.
3. Haga clic en Añadir perfiles.
4. Ingrese un Nombre de perfil y Descripción adecuado.
5. Escoja un Servicio de Microsoft 365 y Categoría desde los menús desplegables respectivos.
6. Escoja las Acciones sobre las que desee que se lo alerte.
7. Seleccione un nivel de Gravedad.
8. Ingrese un Mensaje de alerta. Puede usar la opción Macros para personalizar su mensaje usando varios atributos.
9. En Configuración avanzada > Notificaciones, seleccione la casilla Enviar por correo electrónico toda alerta correspondiente a este perfil y escoja una Plantilla de notificación adecuada.
10. En Configuración avanzada > Ajustes de filtro, escoja las opciones Horas laborales y Filtrar por columna. Establezca las horas laborales y escoja el atributo de país en Filtrar por columna.
11. Haga clic en Añadir.

Mientras genera informes de auditoría o de alertas manualmente (en las pestañas Auditoría y monitoreo > Auditoría o Alertas), puede usar el filtro IP de cliente para generar alertas según lo quiera. Al filtrar las IP de los clientes, puede encontrar actividades hechas fuera de la red de su organización o sus intervalos de IP de confianza. Asimismo, puede escoger bloquear o autorizar IP con base en los datos que obtenga. O, para obtener una vista personalizada del tráfico según el país, puede usar la opción Crear nueva vista, disponible en la esquina superior derecha de los informes de auditoría. Ingrese un nombre adecuado para el informe personalizado, y en la sección Resumen basado en, seleccione País.

Para saber más sobre por qué M365 Security Plus es una gran herramienta para monitorear y proteger sus inquilinos de Microsoft 365, haga clic aquí.