Auditoría de directorio

La auditoría de directorio de Microsoft Entra registra los cambios aplicados al inquilino, como la gestión de usuarios y de grupos o las actualizaciones de los recursos del directorio. Cada fila trae la actividad, quién la inició (una persona o una aplicación), el objetivo y el resultado. Los inicios de sesión viven en otro registro y se cruzan con este por la cuenta y la hora.

Esto cambia lo que cada fuente permite contar. Un inicio de sesión exitoso no cambia nada por sí mismo; una fila de auditoría sí deja un rastro de lo que se modificó.

Abre auditoria_de_directorio. La actividad Add member to role aparece en la documentación como la que concede un rol a una cuenta. Compárala con cambios_aprobados: cada ticket aprobado fija qué cuenta, qué rol y en qué ventana. Una concesión que coincide con un ticket es la rutina; una que no coincide merece una pregunta a quien la hizo, no una acusación.

Añadir una credencial a la identidad de una aplicación es una manera de conservar acceso aunque cambie la contraseña de una persona, porque la aplicación se autentica con su propia credencial. Por eso la actividad Add service principal credentials es una de las que más se vigilan. Léela junto al contexto: quién la hizo, desde dónde y si hay ticket.

Un solo cambio puede ser rutina; tres cambios encadenados en minutos tienen otro peso. Mide el tiempo entre la concesión del rol sin ticket y el consentimiento de un permiso de aplicación por parte de la cuenta que recibió ese rol. Resta las horas y expresa el resultado en minutos.

Tienes tres cambios fuera de ventana y sin ticket: un rol concedido, una credencial añadida a una aplicación y un permiso que le permite leer correo. Las tres filas salen de la misma dirección. Falta saber si alguien con autoridad lo pidió por otra vía, si la cuenta que concedió el rol fue usada por su dueña y qué se hizo con esa credencial.