Cómo configurar informes de riesgos del usuario para enviarlos por correo electrónico en Microsoft Entra

Evaluar el riesgo de un usuario en Microsoft Entra es algo que Microsoft maneja de forma bastante inteligente. Por ejemplo, si un usuario informa que una notificación en la aplicación Microsoft Authenticator no es de quien la solicitó, su identidad se marcará como alto riesgo como Para llegar a una notificación MFA, se debe haber ingresado la contraseña correcta. Por otro lado, una serie de acciones inesperadas en una cuenta de usuario podrían indicar intenciones maliciosas, lo que daría como resultado una evaluación de bajo riesgo.

Es posible que desee saber exactamente cuándo un usuario de su organización está marcado como de riesgo medio o alto para poder realizar más acciones manuales más allá de lo que se puede (o lo que le gustaría) lograr automáticamente. En este tutorial, le mostraré cómo configurar informes de riesgo de usuario en Microsoft Entra usando el portal de administración y Microsoft Graph PowerShell.

¿Qué son las alertas de detección de riesgos del usuario en Microsoft Entra?

Los informes de riesgo del usuario son correos electrónicos de alerta simples que puede configurar para enviar a una dirección específica cuando el nivel de riesgo de un usuario alcanza un umbral específico, siendo el umbral: riesgo bajo, riesgo medio o riesgo alto.

Los informes son bastante básicos y mostrarán que provienen de [correo electrónico protegido] con el asunto Usuario en riesgo detectado. No se proporciona información detallada en el informe, aparte del siguiente texto exacto:

“Detectamos un nuevo usuario con al menos un riesgo medio en su directorio TenantName. Esto podría deberse a que notamos actividad sospechosa en la cuenta o encontramos sus correos electrónicos y contraseñas publicados en un lugar público”.

A continuación se muestra un ejemplo de un correo electrónico de detección de riesgos de usuario:

Como puede ver, el correo electrónico es bastante genérico y el enlace Ver informe detallado simplemente lo llevará a la hoja Usuarios riesgosos en el centro de administración de Microsoft Entra.

¿Por qué habilitar las alertas de detección de riesgos del usuario?

Los correos electrónicos de alerta de detección de riesgos del usuario son una excelente manera para que los administradores y equipos de seguridad se mantengan actualizados sobre las amenazas activas hacia los usuarios de su organización.

Además de esto, una razón más práctica para utilizar estas alertas por correo electrónico es que Microsoft mejora constantemente los controles de seguridad predeterminados para ayudar a prevenir métodos de ataque comunes contra los usuarios, como varios ataques de ingeniería social o ataques de fatiga.

Por ejemplo, los usuarios que tienen configurada la aplicación Microsoft Authenticator o utilizan el inicio de sesión en la base del teléfono como método principal de autenticación multifactor, aún son susceptibles a ataques de ingeniería social diseñados para engañarlos para que aprueben un desafío de autenticación multifactor malicioso.

Actualmente, el comportamiento predeterminado para cualquier desafío de autenticación multifactor que se origina en una fuente desconocida (dirección IP) es que se suprimirá en los dispositivos del usuario, lo que hará que el usuario tenga que abrir manualmente la aplicación de autenticación para aprobar la solicitud. Si bien esto no es un problema importante, si un usuario intenta iniciar sesión, esperaría abrir la aplicación de todos modos, esto significa que el atacante tiene la contraseña del usuario, mientras que la supresión de la notificación reduce la posibilidad de que se produzca esta infracción inicial. informado activamente a TI.

Los informes de alerta de detección de riesgos del usuario ayudan a abordar este problema al alertar al departamento de TI sobre la presunta infracción, lo que les permite investigar e intervenir manualmente de inmediato.

Cómo habilitar alertas de detección de riesgos del usuario en Microsoft Entra

La forma más sencilla de habilitar las alertas de detección de riesgos del usuario es utilizar el centro de administración de Microsoft Entra. Siga los pasos a continuación para habilitar y configurar esta función:

1. Inicie sesión en Microsoft Entra

2. Expanda Protección y seleccione Protección de identidad> Usuarios en riesgo detectaron alertas.

3. Verá una lista de usuarios privilegiados que se pueden habilitar o deshabilitar. También tiene la opción de agregar una dirección de correo electrónico personalizada a la lista de destinatarios. Seleccione las direcciones de destino que desee y configure el nivel de riesgo del usuario (recomiendo configurarlo en Medio) y haga clic en Guardar.

Habilite las alertas de detección de riesgos del usuario mediante Microsoft Graph PowerShell

Si desea habilitar las alertas de riesgo del usuario mediante Microsoft Graph PowerShell, utilice el siguiente código que aprovecha el cmdlet Invoke-MgGraphRequest:

Consulte mi tutorial completo para el potente cmdlet Invoke-MgGraphRequest: https://ourcloudnetwork.com/how-to-use-invoke-mggraphrequest-with-powershell/

Cuando copie el siguiente código, asegúrese de modificar los siguientes campos con sus propias preferencias:

• “minRiskLevel”: “bajo/medio/alto”
• “correo electrónico”: “dirección-correo-email-destino”

Connect-MgGraph -Scopes IdentityRiskEvent.ReadWrite.All

$uri = "https://graph.microsoft.com/beta/identityProtection/settings/notifications"

$body = @'
{
  "minRiskLevel": "low/medium/high",
  "isWeeklyDigestEnabled": true,
  "additionalRecipients": [
    {
      "email": "destination-email-address",
      "isRiskyUsersAlertsRecipient": true
    }
  ]
}
'@

Invoke-MgGraphRequest -uri $uri -body $body -method PATCH -ContentType "application/json"

Asegúrese de utilizar el permiso IdentityRiskEvent.ReadWrite.All cuando utilice el método PATCH en “https://graph.microsoft.com/beta/identityProtection/settings/ notificaciones” punto final. Este punto final no devuelve ningún permiso a través de la herramienta Microsoft Graph Explorer o mientras usa Find-MgGraphCommand, lo cual es útil recordar.