Viaje imposible y sesión robada — dos señales que se parecen

La regla ingenua de viaje imposible cuenta países: si una cuenta aparece en más de uno, alerta. Las consultas de abajo la aplican y miran la tabla de salidas conocidas. La VPN corporativa de esta empresa sale por un punto en otro país, así que cada persona conectada a ella parece haber viajado.

Es el falso positivo más repetido de la categoría, y por eso los proveedores de identidad ignoran las VPN conocidas y las ubicaciones habituales de otros usuarios de la organización en su propia detección. La regla que escribes tú tiene que hacer lo mismo con tu lista de salidas.

SigninLogs | summarize paises = dcount(Location) by UserPrincipalName | where paises > 1

salidas_conocidas

De los tres usuarios que aparecen en más de un país, uno se conecta por la VPN de la empresa, otro cambia de país entre un día y el siguiente y el tercero cambia de país entre dos inicios de sesión muy próximos en el tiempo, desde un equipo distinto. Esa es la señal de viaje imposible de verdad. Lista lo que no salió de Colombia en orden de hora y compara con las salidas conocidas.

SigninLogs | where Location != "CO" | order by TimeGenerated asc

La regla de viaje imposible compara dos cosas: la distancia entre las ubicaciones y el tiempo entre los dos inicios de sesión. Sin el tiempo no hay regla. Saca los dos inicios de sesión de la cuenta de la tarea anterior, que tienen los identificadores de sesión de la consulta, y calcula el tiempo entre ellos con las horas de la columna TimeGenerated, en minutos.

SigninLogs | where SessionId == "SES-5520" or SessionId == "SES-6671" | order by TimeGenerated asc

Una sesión tiene un identificador, SessionId, que se conserva mientras dura. Un ladrón de sesión no necesita la contraseña: copia el token del navegador y lo usa desde otra máquina, y el proveedor lo registra como renovación no interactiva (IsInteractive en False). La regla busca un mismo identificador visto desde más de una dirección y después compara el equipo.

Hay dos sesiones con más de una dirección. En una cambia solo la dirección porque la persona entró por la VPN, con el mismo equipo y el mismo navegador. En la otra cambian también el sistema operativo y el navegador. Revisa las dos y encuentra la segunda.

SigninLogs | summarize ips = dcount(IPAddress) by SessionId | where ips > 1

SigninLogs | where SessionId == "SES-3310" | order by TimeGenerated asc

El identificador de la otra sesión sale de la consulta del primer bloque; para mirar su detalle usa la misma forma de consulta del segundo, con ese identificador.

La sesión robada de la tarea anterior reapareció al día siguiente desde otro país. El tiempo entre un inicio de sesión y otro es lo bastante largo para viajar en avión, así que la regla de viaje imposible no la vio. La que sí la vio compara el identificador de sesión y el equipo, no los países.

Qué se alerta y qué se documenta es una decisión de diseño. Una sesión vista desde dos direcciones por la VPN es un falso positivo conocido; una vista desde otro sistema operativo, sin interacción de la persona, no lo es.