Retención, licencias y el cruce con el registro de inicios de sesión

El registro de auditoría estándar conserva los registros 180 días. La auditoría Premium, que viene con licencias como Microsoft 365 E5, conserva un año por defecto los registros de Microsoft Entra, Exchange, OneDrive y SharePoint; los de otros servicios siguen en 180 días salvo que una política de retención diga otra cosa. Para llegar a diez años se necesita una licencia adicional por persona, y la política no es retroactiva.

Y hay un detalle que pesa en una investigación: la retención depende de la licencia de la cuenta que realizó la actividad, no de la de quien consulta. Una persona analista con licencia E5 no alarga la vida de lo que hizo una cuenta con E3.

Para saber si un registro todavía existe hay que contar los días entre el evento y hoy y compararlos con la retención que le toca. La tabla retencion trae los días de cada caso, y casos las cuatro consultas del equipo. Hoy es viernes 23 de octubre de 2026.

El caso 4 pide el registro de inicios de sesión de Entra, y ese registro solo se conserva 30 días con la licencia que tiene el inquilino de ejemplo.

Con los días de cada caso y la retención que corresponde a su licencia, se decide cuáles se pueden consultar. Solo importan los casos que piden la auditoría unificada, porque el registro de inicios de sesión de Entra tiene su propio reloj y es otro registro. Si el evento es más viejo que la retención, no hay nada que buscar: la solución no está en la consulta, sino en haber guardado antes una copia.

El registro de auditoría cuenta qué hizo una cuenta y el registro de inicios de sesión de Entra cuenta cómo entró: la aplicación, el cliente, si hubo segundo factor y desde dónde. Ninguno de los dos explica el caso por sí solo. El cruce se hace por la cuenta, la dirección de origen y la hora: el inicio de sesión va justo antes de la actividad que lo usó.

Este registro es otro registro con otro reloj: en Entra se guarda 30 días con licencia P1 o P2 y 7 con la gratuita, aparte del tiempo de la auditoría unificada. Por eso el cruce tiene que hacerse pronto, mientras ambos registros siguen allí.

En el ejemplo, el registro de Entra muestra un inicio de sesión sin segundo factor con un cliente IMAP desde otro país, y el de auditoría muestra, un minuto después, doce mensajes abiertos desde esa misma dirección. Cada registro, solo, deja una pregunta abierta.