Ciberseguridad y seguridad de la información

Investigación de una cuenta sospechosa de Microsoft 365: Entra, Mailbox y Defender

6 min de lecturaPublicado: 5 de agosto de 2026

Ilustración visual profesional sobre la investigación de cuentas de Microsoft 365 en el campo de la seguridad en la nube y la respuesta a incidentes

Respuesta rápida

La investigación de una cuenta de Microsoft 365 requiere la conexión entre Identity, Audit Logs, API actions, recursos, regiones y sesiones. Se comienza conservando la evidencia y construyendo una línea de tiempo, y solo después se realiza una contención documentada.

La investigación en la nube requiere conectar identidades, el Plano de control, recursos, claves, sesiones y servicios de seguridad. Dado que la actividad se distribuye entre servicios y regiones, la línea de tiempo y la comprensión de los permisos son críticas. Este artículo se centra en la investigación de cuentas de Microsoft 365 y está dirigido a analistas de SOC e investigadores de la nube. El objetivo es proporcionar una metodología que se pueda aplicar en la práctica, en entrevistas profesionales y en entornos de trabajo, sin limitarse a una definición de diccionario.

El desafío central es que los datos casi siempre son parciales. SigninLogs, AuditLogs, OfficeActivity pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la investigación en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para su finalización.

El escenario práctico en el artículo es: una línea de tiempo de una cuenta de nube simulada. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Penetration Testing, Web o Cloud, se debe trabajar solo con aprobación explícita, un alcance definido y la capacidad de detener la prueba.

Verificación del incidente

Una investigación profesional de una cuenta de Microsoft 365 comienza con condiciones de éxito y de fracaso. Se define un caso positivo, un caso negativo, un caso límite y una actividad legítima similar. Esto permite identificar tanto falsos negativos como falsos positivos.

En un entorno autorizado, se utiliza una acción mínima que demuestre la afirmación sin causar daño. Se guarda la Entrada, la Salida, el tiempo y la versión, y después de la corrección se realiza una nueva prueba en el mismo escenario y también se comprueba la regresión en funciones cercanas.

Entra sign-ins y riesgo

El tema 'Entra sign-ins y riesgo' es una parte central del trabajo en la investigación de cuentas de Microsoft 365. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se quiere tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, registre los SigninLogs, AuditLogs, OfficeActivity, inbox rules, OAuth consent, compárelos con el comportamiento esperado y defina al menos un punto de pivote. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los pasos siguientes.

Mailbox y Auditoría

El tema 'Mailbox y Auditoría' es una parte central del trabajo en la investigación de cuentas de Microsoft 365. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se quiere tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

OAuth, Sesiones y Endpoints

En la investigación de cuentas de Microsoft 365, la identidad y la autorización son dos preguntas distintas: quién es el cliente y qué se le permite hacer con el recurso. Se revisan Roles, Claims, Session, Object ownership y los cambios a lo largo del ciclo de vida, sin limitarse a que el usuario esté 'conectado'.

Una matriz de prueba incluye un usuario anónimo, un usuario normal, un propietario de objeto, otro usuario y un administrador. Para cada acción, se compara la Respuesta y el impacto en el lado del servidor. Cambiar un identificador o un Encabezado es solo un medio de prueba; la evidencia es que el servidor aprobó o rechazó una acción contraria a la política.

Contención y Recuperación

La respuesta a la investigación de una cuenta de Microsoft 365 debe reducir el riesgo sin borrar la evidencia que aún se necesita. Se comienza con una acción reversible y enfocada, se confirma la propiedad y la autoridad, y se documenta el tiempo, la ejecución y el resultado.

Una corrección a largo plazo aborda la raíz: permisos, configuración, Validación, Telemetría, proceso o capacitación. Después de la implementación, se realiza una nueva prueba y se monitorean los signos de recurrencia, en lugar de conformarse con cerrar el ticket.

Puntos de control únicos

En este tema, se recomienda construir de antemano un mapa de evidencia específico. Los principales puntos de control son: SigninLogs, AuditLogs, OfficeActivity, inbox rules, OAuth consent, session revocation. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, una acción y un tiempo, o explicar un comportamiento legítimo.

SigninLogs: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
AuditLogs: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
OfficeActivity: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
inbox rules: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
OAuth consent: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
session revocation: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.

Cuando uno de los focos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si un identificador de proceso no es estable, se puede utilizar el tiempo, el Host, el Usuario y el Padre; si la Carga útil está cifrada, se utiliza Metadatos, volumen, frecuencia y contexto TLS/DNS.

Proceso de trabajo recomendado

Defina el Alcance y una pregunta de trabajo sobre la investigación de cuentas de Microsoft 365.
Registre las fuentes de datos y la evidencia necesaria: SigninLogs, AuditLogs, OfficeActivity, inbox rules.
Cree una Línea de base corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
Cree una Línea de tiempo o una tabla de comparación y separe los hechos de la interpretación.
Realice un Pivote a una fuente adicional para confirmar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario práctico

El escenario elegido es una línea de tiempo de una cuenta de nube simulada. El propósito del ejercicio no es demostrar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, un período de tiempo y un resultado esperado.

Al finalizar el ejercicio, se debe entregar un producto que otro analista o evaluador pueda revisar: una captura de pantalla o una Exportación de la evidencia, una línea de tiempo corta, una hipótesis inicial, evidencia de confirmación, una limitación y una recomendación. Cuando no hay suficiente evidencia, la conclusión correcta es que el escenario no ha sido probado.

Fase	Qué se realiza	Producto
Preparación	Defina el Alcance, el tiempo y el objetivo. Registre qué campos o evidencias de SigninLogs, AuditLogs, OfficeActivity se espera que aparezcan.	Plan de prueba corto
Creación de datos	Realice una acción segura y simulada relacionada con la investigación de cuentas de Microsoft 365, sin información real ni impacto en un sistema de producción.	Evento/Solicitud/Flujo controlado
Recopilación	Recopile la evidencia bruta y el contexto de una fuente adicional. Asegúrese de la zona horaria, los identificadores y la integridad.	Dos evidencias vinculadas
Análisis	Escriba lo que cada evidencia demuestra, lo que no demuestra y cuál es la posible explicación legítima.	Conclusión provisional
Finalización	Elija un cierre, una escalada, un Hallazgo o una Optimización; agregue una recomendación y un Retest.	Producto documentado

Lista de verificación práctica

Compruebe y documente: Principal y sesión.
Compruebe y documente: Acción de la API.
Compruebe y documente: Recurso y región.
Compruebe y documente: IP de origen y agente de usuario.
Compruebe y documente: ID de evento de auditoría.
Compruebe y documente: hallazgo de GuardDuty/Defender/SCC.
Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
Guarde los datos brutos antes de filtrar o modificar.
Escriba lo que demuestra el hallazgo y lo que aún se desconoce.
Defina al propietario y la acción de seguimiento con una fecha límite.

Errores comunes

Centrarse en una sola región.
Rotar una clave antes de preservar la línea de tiempo.
No comprobar AssumeRole o Token.
Ignorar el plano de control.
No mapear los permisos efectivos.
Concluir que la ubicación geográfica prueba un ataque.

Resumen y CTA

La investigación de una cuenta sospechosa de Microsoft 365: Entra, Mailbox y Defender es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, conserve el contexto y el tiempo, y elija una acción que pueda justificarse y volver a probarse.

En el programa Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. Un paso natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de un portafolio profesional.

Preguntas frecuentes

¿La investigación de una cuenta de Microsoft 365 por sí sola prueba un ataque o una debilidad?

No. Proporciona una señal o un hallazgo que necesita contexto, verificación y una fuente adicional. Una conclusión profesional se basa en una secuencia de evidencias y en la conformidad con el comportamiento esperado.

¿Qué se hace cuando faltan algunos datos?

Se documenta lo que falta, se verifica una fuente alternativa y se reduce el nivel de confianza. No se deben completar campos con suposiciones ni presentar "Desconocido" como válido.

¿Cuánto tiempo se deben guardar las pruebas?

El tiempo depende de la política, la regulación, el coste y el tipo de incidente. Es importante definir de antemano la Retención, la Conservación legal y la capacidad de exportar pruebas en un formato verificable.

¿Cómo se practica sin poner en riesgo un sistema real?

Se utilizan máquinas virtuales, datos simulados, CTF o un laboratorio dedicado. En las pruebas autorizadas, se definen el Alcance, las condiciones de Parada y una copia de seguridad antes de comenzar el trabajo.