Threat Alerts
Tus análisis periódicos te dan una imagen puntual de cómo está configurado tu tenant. Threat Alerts es distinto: te muestra lo que está ocurriendo ahora mismo. Recopila las señales actuales de riesgo de identidad de tu tenant de Microsoft 365 y las presenta en un solo lugar, para que puedas detectar una cuenta comprometida y actuar sobre ella sin salir de Aether365.
Threat Alerts utiliza tu conexión de AI Pilot. Es de solo lectura para la consulta y añade una forma, en un clic, de contener a un usuario de riesgo cuando necesitas responder con rapidez.
Requiere una conexión de AI Pilot
Threat Alerts lee las señales de riesgo en tiempo real a través de la conexión de AI Pilot. Si aún no has configurado una, consulta AI Pilot para saber cómo conectarla. Tu conexión de análisis en solo lectura no alimenta Threat Alerts por sí sola.
Qué muestra Threat Alerts
La página de Threat Alerts se organiza en tres fuentes. Cada una responde a una pregunta distinta sobre el riesgo de identidad en tu tenant.
Usuarios de riesgo
Las personas de tu tenant cuyas cuentas Microsoft considera actualmente en riesgo. Para cada usuario ves quién es, su nivel de riesgo actual y por qué está marcado. Es la forma más rápida de encontrar una cuenta que pueda estar comprometida y decidir si conviene contenerla.
Detecciones de riesgo
Las señales de riesgo individuales que hay detrás de esos usuarios: cosas como inicios de sesión desde ubicaciones desconocidas, direcciones IP anónimas, credenciales filtradas o patrones de viaje imposible. Donde una vista a nivel de usuario te dice «esta cuenta parece de riesgo», las detecciones de riesgo te indican qué desencadenó concretamente esa conclusión.
Necesita Microsoft Entra ID P2
Las detecciones de riesgo provienen de Microsoft Entra ID Protection, que requiere una licencia Microsoft Entra ID P2. Si tu tenant no dispone de ella, esta fuente muestra una nota de «Todavía no disponible» en lugar de datos. Consulta Licencias y la nota «Todavía no disponible» más abajo.
Alertas de seguridad
Alertas de seguridad de nivel superior generadas para tu tenant: actividad sospechosa que se ha correlacionado en una alerta que merece un examen más detenido. Te dan una imagen de seguridad más amplia junto a las señales específicas de identidad.
Necesita Microsoft Defender
Las alertas de seguridad provienen de Microsoft Defender. Si tu tenant no dispone de un plan de Microsoft Defender que genere estas alertas, esta fuente muestra una nota de «Todavía no disponible» en lugar de datos.
Threat Alerts es de solo lectura para la consulta
Consultar Threat Alerts nunca cambia nada en tu tenant. Lee el estado de riesgo actual y lo muestra. La única acción que sí produce un cambio es la respuesta a brechas descrita a continuación, y solo se ejecuta cuando la activas de forma explícita sobre un usuario concreto.
Respuesta a brechas: contener a un usuario de riesgo en un clic
Cuando encuentres una cuenta comprometida o con un comportamiento sospechoso, puedes contenerla directamente desde la lista de usuarios de riesgo. Contener a un usuario hace dos cosas a la vez:
- Revoca las sesiones activas del usuario, de modo que cualquier atacante con sesión iniciada se ve obligado a volver a autenticarse.
- Deshabilita la cuenta, de modo que ningún nuevo inicio de sesión pueda completarse hasta que la vuelvas a habilitar.
En conjunto, esto corta rápidamente el acceso de un atacante mientras investigas.
Para contener a un usuario:
- Abre Threat Alerts desde la barra lateral.
- En la lista de usuarios de riesgo, localiza la cuenta que quieras contener.
- Haz clic en Contener en ese usuario y confirma.
- Aether365 revoca las sesiones del usuario y deshabilita la cuenta a través de tu conexión de AI Pilot.
Contener es reversible
Deshabilitar una cuenta no la elimina. Una vez que hayas investigado y la cuenta sea segura, puedes volver a habilitarla desde el centro de administración de Microsoft Entra. Contén primero, investiga después: es mucho más fácil volver a habilitar una cuenta limpia que recuperarse de una intrusión activa.
Como la respuesta a brechas escribe en tu tenant, depende de la conexión de escritura de AI Pilot. Si un tenant solo tiene una conexión de análisis en solo lectura, los datos de origen pueden seguir apareciendo, pero contener a un usuario no está disponible hasta que se conecte AI Pilot.
Licencias y la nota «Todavía no disponible»
Threat Alerts muestra todas las señales de Microsoft que tu tenant está licenciado para generar. Las fuentes que dependen de una licencia de la que no dispones muestran una nota clara de «Todavía no disponible» en lugar de datos vacíos o engañosos:
| Fuente | Necesita | Si no hay licencia |
|---|---|---|
| Usuarios de riesgo | Señales de riesgo de identidad | Se muestra cuando está disponible |
| Detecciones de riesgo | Microsoft Entra ID P2 | Nota «Todavía no disponible» |
| Alertas de seguridad | Microsoft Defender | Nota «Todavía no disponible» |
La nota es informativa, no un error. Significa que la fuente está lista para activarse en cuanto el tenant obtenga la licencia adecuada, sin configuración adicional por tu parte. Las fuentes para las que sí tienes licencia siguen funcionando con normalidad en cualquier caso.
Relacionado
- AI Pilot: la conexión de escritura que alimenta Threat Alerts y la respuesta a brechas
- Policy Management: revisar y reforzar las políticas de seguridad de tu tenant
- Conectar un tenant: configurar tus conexiones
- Modelo de seguridad: solo lectura predeterminada y acceso de escritura opcional