Los usuarios privilegiados inactivos plantean riesgos de seguridad, ya que los atacantes pueden aprovecharse de ellos para obtener acceso no autorizado. Sin una supervisión y desactivación periódicas, estos usuarios obsoletos crean puntos de entrada potenciales para actividades malintencionadas al expandir la superficie de ataque.

Este IoE no puede funcionar sin una licencia de Microsoft Entra ID P1 o P2 debido a restricciones de disponibilidad de datos por parte de Microsoft.
Un usuario inactivo es una cuenta de usuario que ha permanecido inactiva al no completar ningún inicio de sesión correcto durante un período específico (90 días de manera predeterminada, pero se puede personalizar mediante una opción).
Los usuarios inactivos pueden introducir los siguientes riesgos de seguridad y complicaciones operativas:
<ul>
<li>Como objetivos potenciales para los atacantes si estas cuentas tienen contraseñas débiles o que no se han cambiado, lo que facilita una vulneración. Por ejemplo, una <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">alerta de CISA</a> informó lo siguiente:</li>
</ul>
<blockquote>
también se han dirigido campañas a cuentas inactivas pertenecientes a usuarios que ya no trabajan en una organización víctima, pero cuyas cuentas permanecen en el sistema.
</blockquote>
<ul>
<li>Un aumento en la superficie de ataque del inquilino de Entra al crear vulnerabilidades potenciales. Por ejemplo, la misma <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">alerta de CISA</a> informó lo siguiente:</li>
</ul>
<blockquote>
Luego de un restablecimiento de contraseñas obligatorio para todos los usuarios durante un incidente, también se observó que los agentes de SVR iniciaron sesión en cuentas inactivas y siguieron las instrucciones para restablecer la contraseña. Esto permitió que los agentes recuperaran el acceso luego de las actividades de expulsión en respuesta a incidentes.
</blockquote>
<ul>
<li>Acceso a personas que ya no lo necesitan, como exempleados o becarios.</li>
<li>Desperdicio de recursos, como licencias. La identificación, desactivación o eliminación periódicas de usuarios inactivos permite a las organizaciones optimizar la asignación de recursos y ahorrar costos innecesarios.</li>
</ul>
Además, tenga en cuenta el IoE relacionado “Usuario privilegiado no utilizado nunca”, que detecta todos los usuarios que se crearon anteriormente, pero que no se usaron nunca.
El riesgo es mayor para los usuarios privilegiados. Consulte también el IoE relacionado para los usuarios sin privilegios.
Nota:
<ol>
<li>Este IoE se basa en la propiedad <code>lastSuccessfulSignInDateTime</code> de la propiedad <code>signInActivity</code> de los objetos de usuario. Su ventaja radica en informar únicamente los inicios de sesión correctos con el fin de evitar interrupciones debido a intentos fallidos, a diferencia de la propiedad <code>lastSignInDateTime</code>. La propiedad <code>lastSuccessfulSignInDateTime</code> está disponible desde diciembre de 2023.</li>
<li>Para acceder al tipo de recurso <code>signInActivity</code>, <a href="https://learn.microsoft.com/es-es/graph/api/resources/user?view=graph-rest-beta#:~:text=Details%20for%20this%20property%20require%20a%20Microsoft%20Entra%20ID%20P1%20or%20P2%20license%20and%20the%20AuditLog.Read.All%20permission">necesita una licencia de Microsoft Entra ID P1 o P2</a> para cada inquilino. De lo contrario, este IoE no puede detectar usuarios inactivos y, por lo tanto, omite todo el análisis.</li>
<li>Dado que esta propiedad permanece sin rellenar para los usuarios que nunca han iniciado sesión o que iniciaron sesión por última vez <a href="https://learn.microsoft.com/es-es/graph/api/resources/signinactivity?view=graph-rest-beta#:~:text=Effective%20December%201%2C%202023">antes de diciembre de 2023</a>, los datos necesarios para evaluar el intervalo no están disponibles. En consecuencia, Tenable Identity Exposure no puede detectar correctamente la última fecha de inicio de sesión, lo que puede generar falsos positivos.</li>
</ol>

Detecciones

Usuario privilegiado inactivo

MEDIUM

Version 202507150942