Licencias y retención que limitan la visibilidad

Según la documentación de Microsoft Entra, los registros de auditoría y de inicios de sesión de Entra son independientes de la auditoría unificada de Microsoft 365. La retención de la auditoría unificada la gestiona Microsoft Purview Audit y no cambia con las licencias de Entra. Cada uno tiene su propio plazo y su propia condición, y conviene mirar los dos por separado cuando se arma una cronología.

Abre retencion_de_entra y retencion_de_la_auditoria_unificada.

La pregunta más práctica de una investigación es cuántos días atrás hay que mirar. Abre inquilino_del_despacho para ver el primer indicio del caso y la fecha de la investigación. Cuenta los días entre ambos, incluyendo el paso de un mes a otro.

Con el plan de Entra ID que tiene el despacho, y con la auditoría que tiene activa, compara esa distancia con la retención de cada fuente. Las filas de Audit (Premium) existen en la tabla, pero el inquilino no la tiene: léelo en inquilino_del_despacho antes de contarlas.

Con un plan P1 de Entra, los inicios de sesión se conservan el número de días de la tabla. Calcula cuántos días del periodo investigado quedan fuera de esa retención: los que hay entre el primer indicio y el límite de lo que todavía se conserva. Ese número es lo que no se podrá demostrar con inicios de sesión, no lo que no ocurrió.

Los inicios de sesión de Entra ya no tienen los primeros días del caso. La auditoría unificada sí conserva el periodo completo. La ausencia de inicios de sesión en esos días puede deberse al plazo de retención, y no a que la actividad no existiera.