Cómo Conditional Access utiliza las señales de Defender para proteger los entornos de Microsoft

By Mirko Peters · 2026-04-26

Conditional Access en Microsoft Entra es el portero de la puerta principal: decide si entras, a qué puedes acceder y en qué condiciones. Al incorporar señales de Microsoft Defender, no solo comprueba tu identidad, sino también si traes algo arriesgado contigo. Esta integración tan estrecha significa que tu organización no toma decisiones a ciegas basándose en reglas desactualizadas, sino que respo

Automatically translated with AI from the original post. Read the English original

Conditional Access en Microsoft Entra es el portero de la puerta principal: decide si entras, a qué puedes acceder y en qué condiciones. Al incorporar señales de Microsoft Defender, no solo comprueba tu identidad, sino también si traes algo arriesgado contigo. Esta integración tan estrecha significa que tu organización no toma decisiones a ciegas basándose en reglas desactualizadas, sino que responde en tiempo real a los riesgos a medida que se producen.

Cuando Entra Conditional Access y Defender trabajan juntos, recopilan información de las identidades de los usuarios, del estado de salud de los dispositivos y de la inteligencia de amenazas en tiempo real. Todas esas señales se combinan para determinar con qué recursos puede interactuar un usuario o dispositivo. Esta es una parte clave de Zero Trust: nadie recibe un pase libre solo porque entró una vez; cada inicio de sesión y cada sesión se verifica. A lo largo de esta guía verás cómo este enfoque dinámico mantiene tu entorno seguro, incluso cuando las amenazas cambian constantemente.

Descripción de la integración de las señales de Entra Conditional Access y Defender

La seguridad en la nube moderna no consiste en muros, sino en puertas inteligentes que solo se abren cuando la situación en su conjunto parece confiable. Eso es lo que obtienes al integrar las directivas de Entra Conditional Access con las señales de Defender. En lugar de reglas rígidas e iguales para todos, las decisiones de acceso se adaptan en tiempo real con datos en vivo de usuarios, dispositivos, ubicaciones e inteligencia de amenazas activa. Quieres bloquear a los atacantes, pero dejar que los usuarios legítimos trabajen sin fricciones: esa es la gran idea.

Este modelo está siempre atento a los cambios que importan. Por ejemplo, si Defender for Endpoint detecta malware o comportamiento arriesgado, esa señal se envía directamente al flujo de decisiones de Conditional Access. De repente, lo que parecía una solicitud segura hace un minuto se corta antes de que pueda causar problemas. Este flujo de trabajo (señales, decisiones y aplicación) es lo que lo hace dinámico, eficaz y relevante para las amenazas actuales y las necesidades de cumplimiento.

A lo largo de este artículo verás maneras prácticas en que Conditional Access utiliza estas señales para crear un control de acceso más inteligente, cortar la actividad sospechosa y respaldar una seguridad adaptativa de Zero Trust. Si alguna vez te has preguntado qué hace que el acceso a la nube sea seguro y a la vez manejable (sin bloquear a tu gente), aquí es donde todo encaja. Para profundizar en cómo gestionar las brechas de confianza y ajustar las directivas para despliegues sin problemas, consulta esta guía sobre problemas de confianza en directivas de Conditional Access, o escucha a expertos debatir sobre los riesgos de identidad en este podcast sobre Entra ID y los bucles de seguridad.

¿Qué es Entra Conditional Access y cómo funciona?

Entra Conditional Access es la forma en que Microsoft aplica barreras de seguridad inteligentes a tus aplicaciones y datos. En esencia, es un sistema basado en directivas que decide si el acceso de un usuario debe permitirse, bloquearse o someterse a una verificación adicional, en función de señales como quién inicia sesión, desde qué dispositivo y en qué condiciones.

Así funciona: cada intento de acceso se evalúa mediante un flujo de «señales → decisiones → aplicación». Las señales proceden de las identidades de los usuarios, del cumplimiento de los dispositivos y de las detecciones de amenazas. Las directivas interpretan esas señales, toman decisiones de acceso en tiempo real y las aplican en Microsoft 365, Azure AD o aplicaciones conectadas. Así se garantiza que solo los usuarios legítimos, en buen estado y autorizados accedan a lo que más importa para tu negocio.

Cómo Microsoft Defender proporciona señales de riesgo para Conditional Access

Microsoft Defender actúa como el sistema de alerta temprana de Conditional Access. Defender for Endpoint y Defender for Cloud Apps envían señales de riesgo en tiempo real sobre el estado de los dispositivos, las amenazas activas y los comportamientos sospechosos directamente al motor de Conditional Access.

Por ejemplo, Defender podría marcar un dispositivo como comprometido por la detección de malware, o detectar un comportamiento sospechoso del usuario que apunte a una sesión secuestrada. Estas señales informan de inmediato a las directivas de acceso, permitiendo que Acceso condicional bloquee las sesiones de alto riesgo, exija una verificación adicional o aplique restricciones de sesión. Con Defender, tus decisiones de acceso se mantienen sincronizadas con la postura de seguridad actual, y no solo con el estado de ayer. Para más información sobre el cumplimiento continuo y los conocimientos de riesgo procesables, consulta cómo Defender para la nube respalda la supervisión en tiempo real.

Señales clave que impulsan las decisiones de acceso condicional

Todo empieza con las señales: datos en tiempo real que dan a Acceso condicional su inteligencia. Sin ellas, el control de acceso seguiría en la edad de piedra, dejando pasar a los actores malintencionados o frustrando a tus usuarios con reglas torpes y excesivamente restrictivas. Entonces, ¿qué impulsa realmente estas decisiones? Es una combinación: información de cumplimiento del dispositivo, riesgo de identidad derivado de los inicios de sesión, inteligencia de amenazas y contexto de las aplicaciones y sesiones en uso.

El cumplimiento del dispositivo es mucho más que «¿tiene antivirus?». Comprueba si tus puntos de conexión están en buen estado, cumplen la directiva y no hacen nada sospechoso. Por su parte, las señales de identidad y de amenazas proceden de los patrones de inicio de sesión de un usuario, de la detección de contraseñas filtradas o de saltos geográficos inusuales. Cuando la cuenta de alguien muestra indicios de compromiso, es una señal de alarma importante para el sistema.

La clave está en que estas señales se combinen y permitan adaptar los controles de acceso sobre la marcha. Quieres que el acceso cambie si el dispositivo se ve comprometido durante una sesión, o si Defender detecta malware a mitad de la sesión: eso es lo que hace que el modelo sea dinámico. En las siguientes secciones veremos cómo se integran todas estas señales en las decisiones de directiva, para que puedas identificar cuáles son imprescindibles para un control de acceso sólido y consciente del contexto.

Cómo las señales de cumplimiento del dispositivo influyen en el control de acceso

Las señales de cumplimiento del dispositivo son el pan de cada día del acceso seguro en los entornos de Microsoft. Generadas por Microsoft Intune, reflejan si un dispositivo cumple los requisitos de seguridad de tu organización, como el cifrado, el nivel de parches y la protección contra malware.

Cuando un usuario inicia sesión, Acceso condicional comprueba estas señales de cumplimiento en tiempo real. Solo los dispositivos marcados como conformes pueden acceder a datos o aplicaciones confidenciales, lo que cierra la puerta a los puntos de conexión pirateados, desactualizados o no administrados. Exigir el cumplimiento del dispositivo reduce drásticamente el riesgo y garantiza que solo los dispositivos seguros y alineados con la directiva manejen tus cargas de trabajo críticas.

Aprovechar las señales de identidad y amenazas de Microsoft Defender

Microsoft Defender tiene una mirada muy certera para detectar comportamientos maliciosos. Identifica inicios de sesión arriesgados, credenciales filtradas e incluso actividades sospechosas como el phishing de consentimiento o la instalación de malware en los puntos de conexión. Estas señales fluyen directamente hacia Entra ID y las directivas de Acceso condicional.

Si Defender detecta una cuenta con credenciales filtradas, se puede pedir al usuario una autenticación adicional o bloquearlo hasta que el riesgo desaparezca. Cuando una sesión se vuelve arriesgada a mitad de camino, por ejemplo si aparece malware o un token parece secuestrado, Acceso condicional puede aplicar de inmediato controles de sesión o forzar el cierre de sesión. No es solo teoría: los patrones de ataque modernos, como los que se describen en este desglose real de un ataque a Microsoft 365, demuestran por qué el diseño de directivas dinámicas basadas en el riesgo es fundamental frente al robo de tokens y las amenazas modernas.

Crear directivas sólidas de Acceso condicional con la integración de Defender

Las buenas directivas empiezan con un plan claro: uno que permita trabajar a los usuarios reales, pero que frene en seco el tráfico sospechoso. La clave está en integrar las señales de Defender y el cumplimiento de Intune con Acceso condicional, de modo que no estés creando simples reglas estáticas, sino defensas inteligentes y en capas que reaccionan a lo que está ocurriendo en ese momento.

El enfoque correcto es una combinación. Usa la autenticación multifactor para gestionar las amenazas de identidad, exige que los dispositivos sean a la vez de confianza y conformes, y permite el acceso a las aplicaciones solo cuando todos los controles estén en verde. Así mantienes la seguridad firme sin entorpecer el trabajo de tu propia gente.

Si buscas una protección de datos sólida pero quieres reducir las quejas de los usuarios, configurar bien las directivas desde el principio marca una gran diferencia. Para ver un caso real de cómo endurecer la seguridad sin frustrar a los usuarios, consulta esta guía sobre configuraciones de seguridad de M365 a prueba de todo. A continuación, analizaremos las directivas esenciales, por qué importan y cómo la integración con Defender lleva tu protección al siguiente nivel.

Directivas esenciales para el acceso condicional de Azure

1. Bloquear la autenticación heredada: Los protocolos antiguos como IMAP y POP no admiten MFA y son un objetivo favorito de los atacantes. Aplica directivas que bloqueen estos métodos de autenticación heredados para eliminar un vector de riesgo importante de tu entorno. Es la base de cualquier implementación segura de Microsoft 365 o Azure.
2. Exigir MFA para usuarios y administradores: La autenticación multifactor frena en seco la mayoría de los robos de credenciales. Aplica MFA a todos los usuarios y exige autenticación adicional (resistente al phishing, si es posible) para escenarios de alto privilegio o alto riesgo. Esto evita el movimiento lateral en caso de compromiso.
3. Exigir que el dispositivo esté marcado como conforme: Asegúrate de que solo los endpoints gestionados y en buen estado, controlados mediante las directivas de conformidad de dispositivos de Intune, puedan acceder a aplicaciones sensibles como Exchange Online o SharePoint. Esto protege los datos frente a dispositivos infectados o no gestionados que se cuelan en escenarios de trabajo remoto.
4. Aplicar controles de ubicación de acceso: Limita el acceso a aplicaciones críticas según ubicaciones de red de confianza y activa autenticación adicional cuando los usuarios inicien sesión desde lugares inusuales o inesperados. Esto encaja muy bien con los principios de Zero Trust: no des por hecha la confianza solo porque el nombre de usuario y la contraseña sean correctos.
5. Usar controles de aplicaciones y directivas de sesión: Asocia controles de sesión mediante Defender for Cloud Apps para regular lo que los usuarios pueden hacer una vez dentro. Puedes limitar las descargas, analizar posibles filtraciones de datos o incluso bloquear operaciones de riesgo y permitir solo acceso de lectura, especialmente en endpoints no gestionados.

Si avanzas hacia Zero Trust, te interesará un diseño coordinado de directivas, tal como se destaca en este podcast sobre Zero Trust by Design, que trata sobre directivas de acceso adaptativo y evaluación continua en Microsoft 365 y Dynamics 365.

Aplicar MFA y autenticación resistente al phishing para los usuarios

• MFA para todos los usuarios: Haz de MFA la opción predeterminada, cubriendo todas las cuentas, no solo las de administrador. Usa las directivas integradas de acceso condicional para empezar rápidamente.
• Opciones resistentes al phishing: Impulsa el uso de llaves de seguridad FIDO2 y Windows Hello para empresas como factores principales, reduciendo el riesgo de ataques de phishing y de reproducción de tokens.
• Grupos de administradores y de alto riesgo: Exige siempre autenticación adicional para las cuentas de administrador y para los usuarios que accedan a aplicaciones sensibles, ya que son objetivos prioritarios de los ataques.
• Cuentas de emergencia (break-glass): Mantén una cuenta de excepción segura y monitorizada para la recuperación en caso de emergencia, pero restríngela y audítala a fondo para evitar un uso indebido.

Dispositivos de confianza y conformes como requisitos de acceso

• Exigir dispositivos conformes: Restringe el acceso para que solo los dispositivos conformes con Intune y alineados con las directivas puedan acceder a datos sensibles del negocio.
• Exigir unión híbrida o unión a Entra ID: En escenarios avanzados, permite el acceso únicamente desde dispositivos unidos de forma híbrida o completamente registrados en Entra ID, lo que añade otro nivel de vinculación con la identidad.
• Combinar el riesgo del dispositivo y del usuario: Combina la conformidad del dispositivo con las señales de riesgo del usuario, de modo que incluso un dispositivo conforme pueda bloquearse si la cuenta o la sesión asociada parecen repentinamente sospechosas.

Mejores prácticas y errores comunes en la implementación de acceso condicional

El acceso condicional solo es tan bueno como su implementación: si es demasiado restrictivo, bloqueas a todo el mundo; si es demasiado laxo, quedan huecos por todas partes. La clave está en un despliegue gradual y en evitar los errores de principiante que pueden provocar interrupciones en el negocio o dejarte expuesto a atacantes astutos.

La mayoría de los dolores de cabeza provienen de la sobrebloqueo (una directiva demasiado estricta), de configuraciones de MFA mal hechas o de directivas que chocan entre sí y crean brechas para los atacantes o, peor aún, frustran a tus usuarios del día a día. No todo depende de las herramientas: una gobernanza sólida, una propiedad clara y la gestión del ciclo de vida de las directivas desempeñan un papel fundamental para que tu perímetro de identidad se mantenga estable y predecible.

Antes de empezar, revisa los requisitos previos, las necesidades de licencias y todas esas pequeñas particularidades técnicas (sobre todo en entornos híbridos y multinube con bases de usuarios complejas). Y no subestimes la supervisión: la automatización solo llega hasta cierto punto si nadie vigila la deriva de las directivas o las nuevas brechas. Para entender a fondo estos errores en entornos grandes de Microsoft 365, consulta este resumen sobre los fallos de gobernanza más comunes, o lee sobre los problemas de las plataformas colaborativas en esta guía centrada en la gobernanza.

Cómo evitar los errores y conflictos más comunes en el acceso condicional

1. Prueba las directivas antes de desplegarlas por completo: usa el modo "solo informe" o grupos piloto para ver el impacto real. Evita sorpresas probando los cambios antes de aplicarlos en toda la empresa.
2. Vigila las colisiones entre directivas: las directivas superpuestas pueden bloquear el acceso de forma inesperada o conceder más derechos de los que pretendías. Revisa periódicamente tu matriz de acceso condicional para evitar reglas en conflicto, sobre todo cuando intervienen varios administradores.
3. Ajusta el MFA con cuidado: una configuración incorrecta del MFA puede bloquear a usuarios legítimos (incluidos los administradores) o crear puertas traseras si los protocolos heredados se cuelan. Ten siempre una cuenta de "acceso de emergencia" segura y monitorizada como red de seguridad.
4. Monitoriza y audita de forma continua: observa los registros en tiempo real y los comentarios de los usuarios, y está preparado para ajustar sobre la marcha. La monitorización automatizada, combinada con una respuesta a incidentes clara, te ayuda a detectar los problemas antes de que se descontrolen.

Si buscas otro enfoque para integrar la estrategia de seguridad en tus aplicaciones y plataformas, y evitar los errores de siempre, escucha esta inmersión en DLP y gobernanza de la seguridad en Microsoft Power Platform.

Requisitos previos de despliegue y limitaciones del servicio

1. Roles administrativos: necesitarás privilegios suficientes, normalmente Administrador global o Administrador de seguridad en Entra ID, para crear y gestionar directivas de acceso condicional.
2. Requisitos de licencia: la mayoría de las funciones de acceso condicional requieren al menos licencias de Microsoft Entra ID P1 o P2, y las integraciones de Defender pueden añadir niveles de licencia adicionales; planifícalo desde el principio.
3. Requisitos previos de infraestructura: asegúrate de que tus dispositivos estén inscritos en Intune, de que las identidades estén limpias (sin duplicados ni cuentas obsoletas) y de que tu directorio esté preparado para la sincronización y la monitorización.
4. Limitaciones del servicio: no todas las aplicaciones heredadas o de terceros admiten la aplicación del acceso condicional, y las cuentas de servicio o las identidades administradas suelen requerir un tratamiento especial. Lee la documentación con atención para que nada se te escape.

Controles avanzados e integración de herramientas de seguridad

Una vez que las bases del acceso condicional funcionan bien, el siguiente nivel consiste en añadir controles de sesión, protección de tokens e integración con otras plataformas de seguridad. Aquí es donde el principio de "mínimo privilegio" se vuelve granular: decides qué pueden hacer los usuarios incluso después de cruzar la puerta principal, y te aseguras de que los tokens no puedan robarse y reutilizarse en otro lugar.

La integración profunda con Microsoft Intune, Defender y otros productos de seguridad de terceros significa que no vuelas a ciegas. La telemetría unificada te ofrece retroalimentación en tiempo real, convirtiendo la detección y respuesta ante amenazas en un proceso vivo y no en algo que va por detrás. Esto es fundamental para proteger cargas de trabajo sensibles y mantener el cumplimiento, sobre todo en sectores muy regulados.

El monitoreo continuo y los controles adaptativos también ayudan a evitar la desviación del cumplimiento, aprovechando Defender for Cloud y herramientas como Power BI. Para estrategias prácticas de automatización continua del cumplimiento y visibilidad unificada, consulta esta guía real de monitoreo con Defender for Cloud. Ahora, desglosemos los controles clave y las estrategias de integración para maximizar tanto la seguridad como la experiencia de usuario.

Uso de controles de sesión y protección de tokens en dispositivos administrados

• Frecuencia de inicio de sesión: Define con qué frecuencia los usuarios deben volver a autenticarse. Intervalos más cortos para aplicaciones sensibles reducen la ventana de riesgo si se roba un token.
• Directivas de protección de aplicaciones: Limita acciones como copiar y pegar, guardar como o compartir cuando los usuarios acceden a datos desde dispositivos móviles o endpoints no conformes, evitando que los datos sensibles salgan de la organización.
• Protección de tokens: Vincula los tokens de autenticación a dispositivos específicos y verificados. Esto impide que los atacantes reproduzcan tokens en otros equipos, incluso si los tokens han sido robados.
• Equilibrio con la usabilidad: Prueba los controles con usuarios reales para no sobrecargarlos; endurece las restricciones de forma gradual según la necesidad y el riesgo, no por suposiciones.

Integración de herramientas de seguridad y consideraciones sobre clientes de aplicaciones

• Integración con Microsoft Intune: Vincula la administración de dispositivos directamente con el acceso condicional para obtener señales actualizadas de cumplimiento y estado del endpoint.
• Defender for Endpoint/Cloud Apps: Usa Defender para enviar señales de amenazas y de sesión que el acceso condicional pueda consumir para directivas adaptativas en tiempo real.
• Herramientas de seguridad de terceros: Integra SIEM, CASB o soluciones de administración de endpoints según sea necesario, pero valida cuidadosamente la compatibilidad.
• Compatibilidad con aplicaciones y clientes: Verifica que los clientes de las aplicaciones, especialmente las aplicaciones heredadas o móviles, admitan por completo la aplicación del acceso condicional y los informes de telemetría para evitar puntos ciegos.

Para más información sobre la protección de Microsoft Power Platform y la gestión de riesgos de conectores, consulta estas buenas prácticas de gobernanza de Power Platform.

Respuesta a amenazas en tiempo real con señales de Defender

La seguridad en la nube ya no consiste en definir directivas y esperar lo mejor. Gracias a las señales de Microsoft Defender integradas con el acceso condicional, obtienes una respuesta dinámica ante amenazas, no días después, sino en tiempo real. Si Defender for Endpoint detecta actividad de malware o un ataque en curso, el acceso condicional puede cambiar la situación de inmediato, revocando sesiones o exigiendo una autenticación más estricta sobre la marcha.

Esta automatización reduce drásticamente el tiempo de permanencia de los atacantes, corta el movimiento lateral y minimiza la pérdida de datos. No lo haces a mano: la telemetría generada por Defender alimenta directamente las evaluaciones de riesgo en Entra ID, ajustando los niveles de riesgo del usuario, el dispositivo o la sesión. ¿El resultado? Una mejor respuesta a incidentes, menos carga de trabajo para tu equipo de seguridad y un entorno mucho más difícil de vulnerar para los atacantes, algo especialmente importante bajo los principios de Zero Trust, donde cada sesión y cada contexto cuentan.

Las siguientes secciones explican cómo se producen en la práctica los ajustes dinámicos de las directivas y cómo la inteligencia de Defender enriquece la puntuación de riesgo para respuestas de acceso condicional más inteligentes y basadas en el contexto. La seguridad adaptativa no es solo una palabra de moda; aquí es donde aporta valor real y medible.

Ajuste dinámico de directivas con Defender for Endpoint

1. La detección de malware activa cambios de acceso: Si Defender for Endpoint detecta malware en un dispositivo, el acceso condicional puede bloquear de inmediato ese dispositivo para todos los recursos corporativos o exigir autenticación adicional al usuario.
2. Procesos sospechosos o amenazas: Cuando se detecta actividad de procesos de riesgo, como un exploit conocido o un comportamiento de ransomware, esa señal eleva el riesgo del dispositivo. El acceso condicional responde revocando las sesiones activas o aplicando controles más estrictos hasta que se resuelva la situación.
3. Revocación automática de sesiones: En lugar de esperar a que un administrador detecte el problema, las alertas de Defender en tiempo real activan la aplicación automática de directivas: cuarentena, cierre de sesión o cambio del acceso del usuario a solo lectura, sin demoras.
4. Respuesta inmediata y coordinada: Estas capacidades aceleran drásticamente la respuesta ante incidentes, bloqueando a los atacantes en tiempo real y minimizando el riesgo de propagación o de compromiso de datos.

Enriquecer los niveles de riesgo de Identity Protection con Defender Intelligence

Defender no solo genera alertas para los endpoints; también envía el riesgo del dispositivo, las anomalías de sesión y las señales de amenazas al motor de puntuación de riesgo de Entra Identity Protection. A cada inicio de sesión y sesión se le asigna un nivel de riesgo actualizado, que tiene en cuenta la telemetría en tiempo real de Defender for Endpoint y Defender for Cloud Apps.

Este modelo enriquecido permite que el acceso condicional aplique un control de acceso realmente basado en el riesgo: bloquear automáticamente o exigir autenticación reforzada cuando el riesgo real, y no solo las reglas estáticas, así lo requiera. En resumen, tus directivas de Zero Trust se mantienen adaptativas, sensibles a riesgos que cambian rápidamente y mucho más eficaces para cortar el paso a los atacantes antes de que puedan causar daño.