Alertas de privilegio y revisiones

Entre las alertas de un servicio de este tipo hay una de severidad alta: la de roles asignados fuera del servicio. Según la documentación oficial de Microsoft Entra PIM, las asignaciones que no pasaron por el servicio no se monitorean como las demás y pueden indicar un ataque en curso. Una persona con un rol que nadie activó ni aprobó es justo lo que un atacante con permisos de administración dejaría atrás.

Las otras alertas, como la de demasiados administradores globales o la de roles sin uso, son de severidad baja o media: señalan una mala práctica, no un incidente probable.

Abre alertas y localiza la de severidad alta. Su columna de cuentas dice quién recibió el rol y el detalle, desde dónde se asignó. La respuesta de la agencia sería preguntar quién hizo la asignación, retirarla y averiguar por qué esa vía sigue disponible; la sala no pide eso, pide encontrar a la cuenta.

La alerta de roles sin uso tiene un umbral configurable, que en la consola de la agencia está en 60 días. La regla de la agencia es más estricta: más de 45 días sin activar el rol lo hace candidato a retiro. La consola avisa menos de lo que la agencia exige.

Con ultimo_uso y la fecha de revisión, 2026-10-06, el corte es el 2026-08-22: ese día cumple exactamente 45 días y no cuenta, porque la regla dice «más de». Cuenta las cuentas con última activación anterior a ese corte.

Una revisión de acceso pide a un revisor que decida si cada persona conserva su rol. Tiene fecha de apertura, fecha de cierre y un contador de asignaciones decididas frente a las que había. Una revisión completada tiene todas decididas; una vencida cerró sin que nadie las decidiera, y eso tiene una consecuencia: nadie revisó esos accesos en el periodo.

La alerta de activaciones frecuentes salta cuando alguien activa el mismo rol varias veces en un periodo. Según la documentación, es una señal de ataque posible, pero también puede ser que la duración máxima del rol no alcance para la tarea y la persona reactive una y otra vez. Antes de concluir nada, se descartan esas explicaciones inocentes y se lee lo que cada activación dice.