Permitir el cambio de contraseña local para restablecer el riesgo del usuario en Microsoft Entra

Manejar el riesgo de los usuarios puede ser una tarea difícil, especialmente hoy en día, cuando los usuarios se encuentran en todo el mundo y los ataques basados en la identidad van en aumento. Las organizaciones deben comprender los riesgos que se les presentan y tener visibilidad en tiempo real de cómo les están afectando.

Por supuesto, todo esto supone una carga para sus equipos de TI o de seguridad, que tienen que detectar y remediar estos riesgos, por lo que al devolver parte de la responsabilidad al usuario final, podemos ayudar a aliviar esta carga.

Al permitir a los usuarios corregir el riesgo asociado con su cuenta restableciendo su contraseña local, podemos reducir la carga administrativa y simplificar el proceso en su conjunto. Generalmente, es más fácil para un usuario restablecer su contraseña localmente (cuando sea posible) que seguir el proceso de restablecimiento de contraseña en la nube.

Comprender el restablecimiento del riesgo del usuario en Microsoft Entra

Los riesgos se detectan en Microsoft Entra cuando los usuarios realizan acciones sospechosas, ya sea al iniciar sesión (conocido como riesgo de inicio de sesión) o después de que el usuario haya iniciado sesión (conocido como riesgo de usuario). Las diferentes acciones de los usuarios durante o después del inicio de sesión contribuyen a diferentes niveles de riesgo, generalmente basados en la probabilidad de que la cuenta del usuario esté comprometida.

Dependiendo de una acción, o una combinación de diferentes acciones realizadas por el usuario, el nivel de riesgo se actualiza automáticamente en Microsoft Entra. Puede ver el riesgo desde el Centro de administración de Microsoft Entra:

1. Inicie sesión en Microsoft Entra
2. Expandir Protección
3. Seleccione Actividades de riesgo

Desde aquí puede ver una lista de usuarios riesgosos y el nivel de riesgo asociado.

Cuando Microsoft Entra calcula el riesgo en función de la acción que ha realizado un usuario, algunos de estos riesgos se calculan en tiempo real (mientras ocurren) y otros se calculan fuera de línea (después de que haya ocurrido el evento), esto depende del tipo. del evento, que se enumeran en las tablas siguientes.

Detecciones de riesgos de inicio de sesión

Detecciones de riesgo de usuario

Hay algunas tareas importantes que debe completar para monitorear y controlar de manera efectiva el riesgo de los usuarios en su entorno.

El número 1 es configurar correos electrónicos de notificación cuando se crea una alerta de alto riesgo. Los usuarios de alto riesgo son motivo de preocupación, ya que normalmente atribuyen a un usuario que se ha visto comprometido y su equipo de TI debe ser notificado de inmediato.

El número 2 es configurar la política de riesgo del usuario o de riesgo de inicio de sesión que se puede utilizar para bloquear el acceso según el nivel de riesgo o darle al usuario la oportunidad de realizar una corrección automática, forzando un cambio de contraseña a través del mecanismo de autoservicio de restablecimiento de contraseña. Esto también se controla mediante políticas de acceso condicional.

El número 3 es garantizar que todos los usuarios tengan configurada la autenticación multifactor con un método sólido, como la aplicación Microsoft Authenticator, que se puede utilizar para el autoservicio de restablecimiento de contraseña. Simplemente cambiar la contraseña desde el portal de la oficina no solucionará el riesgo del usuario.

Topología para cambios de contraseña locales

Aunque puede parecer obvio, vale la pena decir que si desea que sus usuarios puedan corregir el nivel de riesgo asociado con su cuenta restableciendo su contraseña localmente, entonces debe ejecutar la sincronización de identidades, ya sea con Microsoft Entra Connect. o Microsoft Entra Cloud Sync. Además de esto, también debe asegurarse de utilizar la sincronización de Password Hash con cualquiera de las versiones de la herramienta de sincronización.

Si está utilizando Microsoft Entra Connect, puede usar PowerShell para verificar si tiene habilitada la sincronización de hash de contraseña con el siguiente comando.

Get-ADSyncAADCompanyFeature

De lo contrario, si está utilizando Microsoft Entra Cloud Sync, puede verificar la misma información en el Centro de administración de Microsoft Entra siguiendo estos pasos:

1. Inicie sesión en el centro de administración de Microsoft Entra.

2. Expanda Identidad > Administración híbrida y seleccione Microsoft Entra Connect.

3. Seleccione Cloud Sync > Configuraciones y seleccione su configuración de Cloud Sync.

4. En la pestaña Descripción general, seleccione Propiedades; desde aquí verá si la sincronización de hash de contraseña está habilitada o deshabilitada.

Habilite 'Permitir cambio de contraseña local para restablecer el riesgo del usuario' en Microsoft Entra

La configuración Permitir cambio de contraseña local para restablecer el riesgo del usuario se encuentra dentro de la hoja Protección de identidad del centro de administración de Microsoft Entra; simplemente puede activarla o desactivarla desde allí. Siga los pasos a continuación para habilitar la configuración:

1. Inicie sesión en Microsoft Entra

2. Expanda Protección y seleccione Protección de identidad.

3. Bajo el encabezado Configuración, seleccione Configuración.

4. Marque la casilla para habilitar la configuración.

Usando Microsoft Graph PowerShell

También puede habilitar esta característica mediante programación usando Microsoft Graph PowerShell. Si aún no ha instalado los módulos de Microsoft Graph PowerShell, consulte mi tutorial: Cómo instalar el módulo Microsoft Graph PowerShell.

Primero, conéctese a Microsoft Graph con los permisos necesarios: policy.readwrite.identityprotection

Connect-MgGraph -scopes policy.readwrite.identityprotection

Como todavía no existe un cmdlet dedicado para este cambio, tendremos que usar el cmdlet general Invoke-MgGraphRequest.

$body = @'
{
        "isUserRiskClearedOnPasswordReset": true
}
'@

$uri = 'https://graph.microsoft.com/beta/identityProtection/policy'

Invoke-MgGraphRequest -Uri $uri -Body $body -Method PATCH -ContentType "application/json" 

Ejemplo de restablecimiento de la contraseña local para restablecer el nivel de riesgo del usuario

Una vez que esta función esté habilitada y su topología de sincronización de identidad admita la sincronización de hash de contraseña, los resultados serán bastante instantáneos.

Para esta prueba, tengo un usuario llamado Usuario 2 de Adsync. Simulé un inicio de sesión de alto riesgo al informar un mensaje MFA falso dentro de la aplicación Microsoft Authenticator. Un par de minutos más tarde, el usuario apareció en el registro de inicio de sesión de riesgo.

Unos momentos después de que apareciera el registro de inicio de sesión riesgoso, regresé a la estación de trabajo donde el usuario había iniciado sesión en las instalaciones y restablecí la contraseña con un simple CTRL + ALT + Eliminar y restablecí la contraseña. Este registro en un controlador de dominio local demuestra que la contraseña se actualizó localmente.

Unos momentos después de que se actualizó la contraseña y se sincronizó con Microsoft Entra ID, el registro de inicio de sesión riesgoso para Adsync User02 se cambió al estado corregido y El usuario cambió la contraseña local apareció en los detalles del registro. .