Primeros pasos con los registros de auditoría de Microsoft Purview

By Mirko Peters · 2026-08-28

¡Bienvenido de nuevo al blog complementario del podcast! En el post de hoy vamos a profundizar en los mecanismos fundamentales para hacer seguimiento y revisar las acciones de los usuarios dentro de tu c…

Automatically translated with AI from the original post. Read the English original

¡Bienvenido de nuevo al blog complementario del podcast! En la entrada de hoy profundizamos en los mecanismos básicos para registrar y revisar las acciones de los usuarios en tu entorno en la nube. Si quieres proteger tu inquilino, investigar posibles incidentes de seguridad y garantizar el cumplimiento normativo, entender el Unified Audit Log es imprescindible. Para escuchar el análisis completo y nuestra conversación sobre este tema, no dejes de revisar el episodio del podcast relacionado, Audit Microsoft 365 User Activity with Purview.

A medida que las organizaciones migran cada vez más cargas de trabajo a la nube, gestionar la visibilidad de los usuarios y los administradores se vuelve mucho más complejo. Sin una estrategia de auditoría estructurada, estás prácticamente volando a ciegas frente a amenazas de seguridad internas y externas. Esta guía te llevará paso a paso por las acciones necesarias para verificar tu entorno, asignar los roles de gobernanza adecuados y extraer información útil del portal de Microsoft Purview.

Introducción a los registros de auditoría de Microsoft Purview

Supervisar las acciones de usuarios y administradores en un ecosistema en la nube es un componente fundamental de cualquier postura de ciberseguridad moderna. Microsoft Purview es el centro neurálgico de cumplimiento, gobernanza y auditoría en tu inquilino. Consolida los registros de actividad de Exchange Online, SharePoint, OneDrive, Microsoft Teams y Microsoft Entra ID en un único repositorio con capacidad de búsqueda.

Saber aprovechar estos registros de auditoría permite a los administradores reconstruir cronologías durante las investigaciones de seguridad, detectar desviaciones de configuración no autorizadas y cumplir marcos normativos exigentes como HIPAA, GDPR o PCI DSS. Tanto si registras inicios de sesión sencillos como patrones complejos de exfiltración de datos a través de enlaces para compartir archivos, Purview proporciona la telemetría detallada necesaria para mantenerte seguro.

Requisitos previos de auditoría: permisos y roles

Permisos y roles

Antes de empezar a buscar anomalías de seguridad o a generar informes de cumplimiento, debes asegurarte de que los límites administrativos adecuados y los controles de acceso basados en roles (RBAC) están establecidos. No todos los administradores necesitan acceso completo a los datos de auditoría sin procesar; aplicar el principio de privilegio mínimo aquí protege la telemetría confidencial de la empresa.

Asignar estos roles específicos desde el Centro de administración de Microsoft Entra o el portal de cumplimiento de Purview garantiza que tus responsables de cumplimiento y analistas de seguridad tengan exactamente el acceso que necesitan para realizar su trabajo de forma eficiente.

Habilitar el registro de auditoría

Aunque muchas suscripciones modernas de Microsoft 365 tienen la auditoría estándar habilitada de forma predeterminada, verificar el estado de auditoría de tu inquilino es siempre un primer paso obligatorio. Si la auditoría está deshabilitada, tu organización no tendrá ningún registro histórico de las acciones de los usuarios previas a un incidente de seguridad.

1. Verifica que tu organización tiene el nivel de suscripción adecuado (como Microsoft 365 E3 o E5) para admitir la profundidad de registro que necesitas.
2. Confirma que el Unified Audit Log está activo, utilizando comandos de PowerShell de Exchange Online o consultando el portal de Purview.
3. Asigna los roles Lector de auditoría o Administrador de auditoría necesarios al personal de seguridad designado.
4. Configura funciones avanzadas como Microsoft Purview Audit (Premium) si tu empresa necesita una retención de registros ampliada y la captura de eventos de alto valor.
5. Establece rutinas de verificación periódicas para asegurarte de que el estado de auditoría no se desactive por accidente durante migraciones complejas del inquilino o traspasos administrativos.

Acceso a los registros de auditoría en el portal de Purview

Navegar por el portal de Purview

Una vez que los permisos estén bien configurados y la auditoría esté confirmada como activa, puedes acceder a las herramientas de búsqueda principales dentro de la interfaz de cumplimiento. Inicia sesión en el portal de cumplimiento de Microsoft Purview, localiza el panel de navegación izquierdo y selecciona la solución Auditoría. Desde ahí, haz clic en Buscar para abrir el generador de parámetros.

Ten en cuenta que, cuando se produce un evento en tu entorno, normalmente tarda entre 15 y 60 minutos en ingerirse, indexarse y estar disponible por completo a través de la herramienta de búsqueda del portal. La paciencia es clave cuando se realiza una respuesta a incidentes en tiempo real.

Filtrado y exportación de registros

Como los entornos empresariales generan millones de registros de telemetría al día, desplazarse manualmente por ellos es imposible. Purview ofrece herramientas de filtrado granulares para orientar tus investigaciones de forma eficaz:

• Intervalo de fechas y horas (UTC): Especifica ventanas precisas para tu investigación, teniendo en cuenta que los intervalos de búsqueda estándar abarcan hasta 180 días.
• Palabras clave: Busca cadenas específicas dentro de las cargas JSON subyacentes.
• Actividades (nombres descriptivos): Selecciona operaciones legibles por las personas en lugar de los nombres de método sin procesar del backend.
• Tipos de registro: Limita las búsquedas a servicios concretos, como las descargas de archivos de SharePoint o los accesos a buzones de Exchange.

Cuando se necesita un análisis sin conexión más profundo, puedes exportar los resultados de la búsqueda en formato de valores separados por comas (.csv). Esta exportación incluye la información detallada de los eventos en la columna AuditData como objetos JSON estructurados, que después pueden analizarse con herramientas como Power Query de Excel o con canalizaciones SIEM externas.

Comprensión y análisis de los registros de auditoría

Las entradas de auditoría sin procesar son documentos JSON ricos que capturan datos contextuales como direcciones IP de cliente, agentes de usuario, identificadores de los elementos afectados y detalles explícitos de la operación. Interpretar estos registros permite a los equipos de seguridad distinguir el comportamiento benigno de los usuarios de las amenazas internas maliciosas.

Al estudiar estas categorías de actividad, tu centro de operaciones de seguridad (SOC) puede detectar patrones sutiles de exfiltración de datos, desviaciones de configuración o escalada de privilegios mucho antes de que deriven en una brecha de datos catastrófica.

Mejores prácticas de auditoría: programación y cumplimiento

Mantener un entorno seguro exige una gobernanza proactiva y no únicamente una revisión reactiva de los registros. Establece calendarios periódicos para auditar las cuentas privilegiadas, revisar las modificaciones de pertenencia a grupos administrativos y probar las directivas de alertas automatizadas.

Integrar la telemetría de auditoría de Purview con sistemas externos de gestión de información y eventos de seguridad (SIEM) mediante las API de Microsoft Graph Activity o Azure Event Hubs permite a tu empresa automatizar las respuestas. Por ejemplo, si un evento de auditoría activa una alerta por eliminación masiva de archivos, una aplicación lógica conectada puede revocar automáticamente las sesiones del usuario o forzar el restablecimiento de la autenticación multifactor.

Además, aplica controles de privacidad sólidos. Asegúrate de que las directivas de retención de registros equilibren los requisitos legales y normativos de cumplimiento con los estándares de privacidad de datos de la organización, aprovechando herramientas como la eliminación automatizada y la seudonimización cuando proceda.

Solución de problemas de acceso e integridad de los registros

Los administradores suelen encontrarse con obstáculos al consultar registros o verificar la cobertura de telemetría. Si detectas registros que faltan o bloqueos de acceso, sigue esta lista de comprobación sistemática de solución de problemas:

• Verifica la auditoría del inquilino: Ejecuta scripts de verificación de PowerShell para asegurarte de que la auditoría no se haya desactivado.
• Valida las asignaciones de RBAC: Asegúrate de que tu cuenta de usuario tenga los roles correctos de Lector de auditoría o de administrador de cumplimiento.
• Comprueba los retrasos de ingestión: Recuerda que las colas de ingestión temporales del backend pueden provocar brechas breves en las búsquedas en tiempo real.
• Revisa la configuración de diagnóstico: Confirma que tus canalizaciones de exportación de datos y los perfiles de diagnóstico estén correctamente asignados para capturar todos los eventos de carga de trabajo previstos.

Si los problemas persisten, consulta la documentación oficial de solución de problemas de Microsoft o ejecuta consultas programáticas dirigidas mediante PowerShell para aislar los conjuntos de registros que faltan.

Conclusión

Dominar el ecosistema del registro de auditoría de Microsoft Purview es un paso esencial para cualquier administrador de la nube o profesional de seguridad que quiera reforzar su entorno de Microsoft 365. Desde entender los permisos básicos y habilitar el registro unificado hasta dominar las exportaciones en JSON complejas y las integraciones con SIEM, tu capacidad para hacer seguimiento de la actividad de los usuarios determina directamente el nivel de madurez de seguridad de tu organización.

Para seguir aprendiendo y escuchar escenarios prácticos y reales sobre la supervisión de usuarios, no dejes de escuchar nuestro episodio complementario completo, Audit Microsoft 365 User Activity with Purview. Poner en práctica hoy estas rigurosas prácticas de auditoría protegerá los activos de tu empresa y mantendrá un cumplimiento constante mañana.