Registros de inicio de sesión

Según la documentación de Microsoft Entra, el registro de inicios de sesión se divide en cuatro categorías: los inicios interactivos de usuario, los no interactivos de usuario, los de entidad de servicio y los de identidad administrada. Un inicio interactivo ocurre cuando una persona escribe sus credenciales o completa un reto. Uno no interactivo lo hace un cliente en nombre de la persona, sin pedirle nada: por ejemplo, una aplicación que renueva su sesión en segundo plano. Quien consulta solo la categoría interactiva ve únicamente una parte de la actividad.

Abre categorias_de_registro y compara con la columna tipo de inicios_de_sesion.

Un error 50126 indica usuario o contraseña no válidos y es normal en pequeñas cantidades: las personas se equivocan. Lo que no es normal es una misma dirección que falla contra muchas cuentas distintas en pocos minutos, cada una con un intento o dos. Ese patrón se parece a una prueba de una contraseña común contra muchas cuentas. El registro no dice la intención, solo el patrón.

Filtra inicios_de_sesion por los fallos y cuenta cuántas cuentas distintas intentó cada dirección. Hay otra dirección con más fallos en total, pero todos contra una sola cuenta: no la mezcles.

Medir el alcance es parte de la lectura. Para esa dirección, cuenta todas las cuentas distintas que aparecen en sus filas, tanto las que fallaron como la que no. Una cuenta que aparece con éxito en medio de otras que fallaron es la que más interesa, pero también cuenta como tocada.

En la misma dirección, una de las cuentas no falló. Un éxito después de varios fallos de otras cuentas no prueba por sí solo que se haya usado una contraseña robada, porque el registro no dice cómo se obtuvo la credencial. Pero es el hallazgo que más urge revisar. Fíjate también en el estado del acceso condicional de esa fila.

Con el registro de inicios de sesión y nada más tienes: una dirección que probó varias cuentas, un éxito entre ellas y una columna de acceso condicional que dice que ninguna política se aplicó a esa fila. No tienes el motivo, ni lo que se hizo después, ni el origen de la credencial.