Bloquee a los usuarios de riesgo para evitar el acceso no autorizado y posibles vulneraciones. Según las prácticas recomendadas de seguridad, se deben usar directivas de acceso condicional para impedir que las cuentas vulnerables se autentiquen en Entra ID.

Protección de Microsoft Entra ID (anteriormente Protección de identidad) identifica a <a href="https://learn.microsoft.com/es-es/entra/id-protection/howto-identity-protection-investigate-risk#why-is-a-user-at-risk">usuarios de riesgo</a> en Entra ID y requiere <a href="https://learn.microsoft.com/es-es/entra/id-protection/overview-identity-protection#license-requirements">licencias de Microsoft Entra ID P2</a> para funcionar. Como se explica en la <a href="https://learn.microsoft.com/es-es/entra/id-protection/concept-identity-protection-risks#risk-detections-mapped-to-riskeventtype">documentación de Microsoft sobre las detecciones de riesgos</a>, hay dos tipos de detecciones de riesgos:
<ul>
<li>Detecciones de riesgos de inicio de sesión, que se abordan en el IoE dedicado “MFA no obligatoria para inicios de sesión de riesgo”</li>
<li>Detecciones de riesgos de usuario</li>
</ul>
Un usuario puede considerarse que está en riesgo cuando:
<ul>
<li>Tiene uno o varios inicios de sesión de riesgo.</li>
<li>Tienen uno o varios <a href="https://learn.microsoft.com/es-es/entra/id-protection/concept-identity-protection-risks#risk-detections-mapped-to-riskeventtype">riesgos</a> detectados en su cuenta, como <a href="https://learn.microsoft.com/es-es/entra/id-protection/concept-identity-protection-risks#leaked-credentials">Credenciales con fugas</a> o <a href="https://learn.microsoft.com/es-es/entra/id-protection/concept-identity-protection-risks#anomalous-user-activity">Actividad anómala del usuario</a>.</li>
</ul>
Hay tres <a href="https://learn.microsoft.com/es-es/entra/id-protection/concept-identity-protection-risks#risk-levels">niveles</a> de riesgo:
<ul>
<li>Alto</li>
<li>Medio</li>
<li>Bajo</li>
</ul>
Use directivas de acceso condicional para exigir medidas de seguridad cuando el sistema identifique que un usuario está en riesgo.
La política <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#risk-based-policies">MS.AAD.2.1v1</a> de CISA “M365 Secure Configuration Baseline for Microsoft Entra ID” (texto en inglés), exigida por BOD 25-01, establece que los usuarios que se detecten como de alto riesgo DEBEN bloquearse. Si se siguen las pautas de CISA, este IoE se asegura de que al menos una política de acceso condicional incluya la siguiente configuración:
<ul>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">Usuarios</a>” establecida para incluir “Todos los usuarios”.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-cloud-apps">Recursos de destino</a>” establecida en “Todos los recursos”.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-conditions#user-risk">Condiciones &gt; Riesgo del usuario</a>” establecida en “Sí” con el nivel de riesgo “Alto” seleccionado.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant">Conceder</a>” establecida en “Bloquear acceso”.</li>
<li>La opción “Habilitar directiva” establecida en “Activado” (no en “Desactivado” ni “Solo informe”).</li>
</ul>
En cambio, si elige seguir la <a href="https://learn.microsoft.com/es-es/entra/fundamentals/configure-security#restrict-access-to-high-risk-users">recomendación de Microsoft</a>, este IoE se asegura de que al menos una política de acceso condicional incluya la siguiente configuración:
<ul>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">Usuarios</a>” establecida para incluir “Todos los usuarios”.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-cloud-apps">Recursos de destino</a>” establecida en “Todos los recursos”.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-conditions#user-risk">Condiciones &gt; Riesgo del usuario</a>” establecida en “Sí” con el nivel de riesgo “Alto” seleccionado.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant">Conceder</a>” establecida en “Requerir cambio de contraseña”.</li>
<li>La opción “Habilitar directiva” establecida en “Activado” (no en “Desactivado” ni “Solo informes”).</li>
</ul>

Detecciones

Usuarios de riesgo sin exigencia

MEDIUM

Version 202504150945