Un inicio de sesión exitoso no siempre representa una operación legítima. Una cuenta comprometida puede acceder al correo, descargar archivos confidenciales, crear reglas para desviar mensajes o registrar dispositivos sin activar una alerta inmediata. Por eso, saber cómo auditar accesos Microsoft 365 no es una tarea administrativa aislada: es una medida directa para proteger la continuidad operativa, la reputación y la información crítica de la empresa.
Microsoft 365 concentra correo, documentos, conversaciones, calendarios y credenciales de negocio. Para una dirección general, la pregunta no debería ser únicamente si el equipo de TI puede consultar registros, sino si puede responder con evidencia a tres situaciones: quién accedió, desde dónde lo hizo y qué acciones realizó después. Esa visibilidad permite actuar antes de que un incidente se convierta en una interrupción, fraude o pérdida de datos.
Qué debe responder una auditoría de accesos
Auditar accesos no significa revisar miles de eventos sin un propósito definido. Significa establecer una línea base del comportamiento normal y detectar las desviaciones que requieren investigación. En Microsoft 365, una revisión útil debe relacionar identidad, ubicación, dispositivo, aplicación, hora y actividad posterior.
Por ejemplo, un gerente que inicia sesión desde CDMX todos los días hábiles y aparece conectado desde otro país a las 3:00 a.m. no necesariamente sufrió un compromiso. Puede estar viajando, usar una VPN corporativa o haber cambiado de proveedor de internet. Sin embargo, si ese acceso coincide con la desactivación de MFA, la creación de una regla de reenvío externo y la descarga masiva de archivos, la prioridad cambia de inmediato.
La auditoría debe ayudar a distinguir una excepción legítima de una señal de ataque. Para lograrlo, TI necesita contexto operativo y reglas claras de escalamiento, no solo una consola con registros disponibles.
Preparar Microsoft 365 antes de revisar eventos
La calidad de una auditoría depende de la configuración previa. Si no se habilita el registro adecuado o no se conserva la información por el tiempo necesario, será difícil reconstruir lo ocurrido cuando aparezca una alerta o una solicitud de dirección.
Verifique la auditoría unificada
El primer paso es confirmar que la auditoría está habilitada en el portal de cumplimiento de Microsoft Purview. El registro de auditoría unificada concentra actividades de Exchange Online, SharePoint, OneDrive, Teams, Entra ID y otras cargas de trabajo. Desde ahí pueden consultarse acciones como inicios de sesión, cambios de permisos, eliminación de archivos, creación de buzones compartidos o modificaciones en reglas de correo.
No conviene asumir que todos los eventos tienen la misma retención. El periodo disponible depende del licenciamiento, la configuración y las políticas aplicadas. Defina cuánto tiempo necesita conservar evidencia según el tipo de información que maneja su empresa, requisitos contractuales y riesgos del negocio. Para muchas organizaciones, investigar un incidente detectado semanas después requiere registros que ya no deberían depender únicamente de la retención estándar.
Ordene identidades, roles y cuentas privilegiadas
Una auditoría pierde valor cuando existen cuentas genéricas, administradores sin dueño definido o usuarios que conservan permisos después de cambiar de puesto. Mantenga un inventario de cuentas activas, cuentas de servicio, buzones compartidos, invitados externos y roles administrativos.
Los privilegios más altos merecen una vigilancia diferenciada. Una cuenta con permisos de administrador global, Exchange, SharePoint o seguridad puede modificar controles que después dificulten la investigación. Aplique el principio de mínimo privilegio y procure que la administración se realice con cuentas separadas de las utilizadas para correo y trabajo cotidiano.
Cómo auditar accesos Microsoft 365 paso a paso
La revisión debe combinar los registros de inicio de sesión de Microsoft Entra ID con las actividades auditadas dentro de Microsoft 365. El primero explica el acceso; el segundo revela lo que sucedió con ese acceso.
1. Revise inicios de sesión con criterios de riesgo
En el centro de administración de Microsoft Entra ID, consulte los registros de inicio de sesión. Filtre por usuarios críticos, aplicaciones utilizadas, ubicaciones, resultados de autenticación y nivel de riesgo. No busque únicamente errores. Un atacante que ya obtuvo una contraseña y logró superar o evadir un control puede generar un acceso exitoso.
Priorice eventos con estas características: inicio desde ubicaciones inusuales, direcciones IP no reconocidas, dispositivos nuevos, varios intentos fallidos seguidos de un acceso exitoso, autenticación con protocolos heredados o cambios repentinos en el método de MFA. También conviene revisar accesos a aplicaciones que no forman parte del patrón habitual del usuario.
Un falso positivo es posible. Por eso, antes de bloquear una cuenta crítica, valide si el usuario estaba de viaje, si el acceso provino de una VPN autorizada o si hubo una actividad comercial legítima fuera de horario. La velocidad importa, pero una respuesta sin contexto también puede detener una operación válida.
2. Relacione el inicio de sesión con la actividad posterior
Después de identificar un acceso sospechoso, busque al usuario en el registro de auditoría de Microsoft Purview y delimite una ventana de tiempo. Revise cambios relevantes en correo, documentos y permisos.
En Exchange Online, ponga especial atención a la creación o modificación de reglas de bandeja de entrada, reenvíos automáticos, delegaciones de buzón y cambios en grupos de distribución. El fraude de correo empresarial suele apoyarse en reglas silenciosas que ocultan mensajes o envían copias a direcciones externas.
En SharePoint y OneDrive, observe descargas inusuales, eliminación masiva de archivos, enlaces compartidos públicamente o permisos otorgados a usuarios externos. En Teams, valore cambios en propietarios de equipos, incorporación de invitados o actividad anormal relacionada con archivos compartidos. Ningún evento aislado confirma un incidente, pero la secuencia de eventos sí puede revelar intención.
3. Audite cambios de identidad y privilegios
Los atacantes buscan persistencia. Si logran acceso a una cuenta, pueden intentar registrar un nuevo método de autenticación, agregar una aplicación empresarial con permisos excesivos o elevar privilegios para mantener el control.
Revise periódicamente altas y bajas de usuarios, restablecimientos de contraseña, registros de métodos MFA, cambios en grupos privilegiados, consentimientos de aplicaciones y modificaciones de políticas de acceso condicional. Estas acciones deben tener un responsable, una justificación y, cuando aplique, una aprobación formal.
Las políticas de acceso condicional son particularmente útiles para reducir exposición, pero requieren diseño cuidadoso. Bloquear de forma generalizada puede afectar a colaboradores móviles, proveedores autorizados o aplicaciones heredadas indispensables. La alternativa no es dejar la puerta abierta, sino documentar excepciones, limitar su alcance y revisarlas con una fecha de vencimiento.
4. Documente evidencia y defina la respuesta
Una auditoría útil termina en una decisión. Cuando aparezca un evento de riesgo, documente el usuario afectado, fecha y hora, dirección IP, ubicación reportada, dispositivo, aplicación, resultado de MFA y acciones realizadas tras el acceso. Conserve capturas o exportaciones relevantes bajo controles de acceso, porque esa información puede ser necesaria para análisis posterior.
Defina un procedimiento simple para cada nivel de severidad. Un evento leve puede requerir validación con el usuario; uno moderado puede implicar restablecimiento de contraseña y revisión de reglas de correo; uno crítico puede exigir revocar sesiones, bloquear la cuenta, investigar endpoints y revisar si hubo exfiltración o movimientos laterales.
Convierta los registros en controles preventivos
Revisar accesos una vez al mes sirve para detectar tendencias, pero no basta ante amenazas que evolucionan en minutos. Las alertas deben llegar a personas con capacidad real de evaluar y responder. Para empresas con equipos internos reducidos, el monitoreo administrado puede complementar la operación y evitar que los eventos críticos se pierdan entre tareas diarias.
La prevención sigue concentrando la mayor parte del resultado. No existe una seguridad 100% garantizada, pero cerca del 95% de la protección depende de prevenir, detectar y responder con disciplina. MFA resistente al phishing, acceso condicional, mínimo privilegio, respaldo verificable de Microsoft 365 y capacitación contra fraudes reducen de forma significativa el impacto de una credencial comprometida.
También ayuda presentar reportes ejecutivos mensuales. Dirección no necesita revisar cada evento técnico, pero sí debe conocer cuántos accesos de riesgo se detectaron, qué cuentas privilegiadas existen, qué excepciones siguen activas, cuánto tardó la respuesta y qué acciones reducirán la exposición el siguiente periodo. Esa conversación convierte la ciberseguridad en una decisión de negocio medible.
RealNet acompaña este proceso desde el diagnóstico de identidades y configuraciones hasta el monitoreo y la revisión continua, con atención humana para cuando una alerta exige una decisión rápida. La meta no es llenar reportes, sino proteger la operación que depende de Microsoft 365.
La próxima vez que revise sus accesos, no se pregunte solo si hay registros disponibles. Pregúntese si su empresa podría explicar, en menos de una hora, qué ocurrió con una cuenta crítica y qué acción tomará para que no vuelva a suceder.
