¿Por qué la identidad necesita su propia vigilancia?
Un atacante que entra con un usuario y una contraseña válidos no necesita malware. Inicia sesión, lee el correo, descarga ficheros de SharePoint o Drive y crea reglas, todo con herramientas legítimas. Para el EDR, nada de eso tiene por qué parecer sospechoso.
Microsoft, en su Digital Defense Report 2025, indica que los ataques de identidad crecieron un 32 % en el primer semestre de 2025, que más del 97 % son ataques de contraseña y que el MFA puede bloquear más del 99 % de ellos. El informe Cloud Threat Horizons de Google (primer semestre de 2026) señala que, en los incidentes en entornos cloud y SaaS que atendió Mandiant en el segundo semestre de 2025, los atacantes explotaron problemas de identidad para el acceso inicial en el 83 % de los casos.
¿Qué señales de identidad delatan una cuenta comprometida?
| Señal | Qué puede indicar | Dónde se ve |
|---|---|---|
| Inicio de sesión desde un país, red o dispositivo inusual | Credenciales robadas en manos de un tercero | Registros de inicio de sesión de Entra ID, System Log de Okta, auditoría de Google Workspace |
| Varias peticiones de MFA rechazadas y luego una aceptada | Fatiga de MFA: el atacante insiste hasta que el usuario acepta | Eventos de MFA del proveedor de identidad |
| Registro de un nuevo método de MFA | Persistencia: el atacante añade su propio teléfono o aplicación | Auditoría de métodos de autenticación |
| Muchos fallos de contraseña repartidos entre cuentas | Password spraying | Registros de inicio de sesión y eventos de los controladores de dominio |
| Consentimiento a una aplicación OAuth desconocida | Acceso persistente al buzón o a los ficheros sin necesidad de contraseña | Auditoría de aplicaciones de Entra ID o Google Workspace |
| Alta en grupos privilegiados o cambio de rol | Escalada de privilegios | Auditoría del directorio |
| Peticiones Kerberos o de replicación anómalas | Kerberoasting o DCSync en Active Directory | Eventos de seguridad de los controladores de dominio |
Una señal aislada rara vez basta: un viaje imposible puede ser una VPN. Lo que confirma el compromiso es la secuencia, por ejemplo un acceso inusual, un método MFA nuevo y una regla de buzón en la misma hora.
¿Qué acciones de respuesta se ejecutan sobre una identidad?
Las acciones son parecidas en todos los proveedores aunque cambien de nombre. Conviene combinarlas, porque cada una cierra una puerta distinta:
- Revocar sesiones: invalida los tokens de actualización y las cookies de sesión. En Microsoft Entra ID, la documentación avisa de que la revocación puede tardar unos minutos y de que las aplicaciones que usan tokens de acceso conservan el acceso hasta que el token caduca (una hora por defecto), salvo las compatibles con la evaluación continua de acceso (CAE).
- Forzar el cambio de contraseña. En identidades híbridas, Microsoft recomienda deshabilitar la cuenta y restablecer la contraseña dos veces en el Active Directory local; si la cambias desde la nube, comprueba que la escritura diferida de contraseñas está activa para que el cambio llegue al directorio local.
- Bloquear o suspender la cuenta mientras se investiga. Úsalo con criterio en cuentas de servicio, porque puede detener aplicaciones.
- Eliminar los métodos MFA añadidos por el atacante y revocar consentimientos OAuth sospechosos.
- Marcar al usuario como comprometido, en los proveedores que lo permiten, para que actúen las políticas de acceso condicional basadas en riesgo.
¿En qué se diferencia de las integraciones de correo y endpoint?
La identidad es el punto común de casi todo lo demás: correo, ficheros en la nube, VPN y aplicaciones SaaS dependen del mismo inicio de sesión. Por eso sus acciones tienen más alcance que aislar un equipo. Bloquear una cuenta corta el acceso del atacante a todos esos servicios a la vez, y también el del usuario legítimo, así que estas acciones suelen requerir validación humana.
¿Qué conviene revisar en tu proveedor de identidad?
- Retención de registros suficiente: con algunas licencias, la consola solo guarda los inicios de sesión durante pocos días.
- La lista de cuentas de emergencia y de servicio que nunca deben bloquearse de forma automática.
- Ubicaciones y rangos de IP habituales (oficinas, VPN corporativa) para reducir falsos positivos.
- En Active Directory local, la auditoría de los eventos de seguridad activada en los controladores de dominio, no solo los registros de Entra ID.
Cómo te ayuda Ciberia
Ciberia MDR se integra con tu proveedor de identidad y vigila 24/7 inicios de sesión anómalos y cambios de MFA y de privilegios, correlacionados con correo, endpoint y cloud. Ciberia CTM aporta una señal previa al ataque, las credenciales de tu empresa filtradas, y Ciberia Intel añade el contexto sobre infostealers y campañas que las roban. Ante una cuenta comprometida, sus agentes de IA proponen la respuesta, un analista valida las decisiones con impacto y la acción se orquesta según la herramienta: revocar sesiones, forzar el cambio de contraseña o bloquear la cuenta. El SLA contractual es de 15 minutos desde la alerta crítica hasta la contención inicial.
