La identidad como nuevo perímetro: proteger Entra ID con IA

By Mirko Peters · 2026-08-11 · Updated 2026-08-27

¡Bienvenido de nuevo al blog complementario del podcast! A medida que los entornos de TI modernos siguen expandiéndose más allá de los muros tradicionales de la red física, proteger la empresa exige un cambio fundamental en la forma en que pensamos sobre los perímetros de seguridad…

Automatically translated with AI from the original post. Read the English original

¡Bienvenido de nuevo al blog complementario del podcast! A medida que los entornos de TI modernos siguen expandiéndose más allá de los muros tradicionales de la red física, proteger la empresa exige un cambio fundamental en la forma en que pensamos sobre los perímetros de seguridad. En este análisis en profundidad, vamos a desgranar cómo la identidad se ha convertido oficialmente en el nuevo perímetro y cómo la inteligencia artificial más avanzada está transformando la forma en que la protegemos. Si alguna vez te has sentido abrumado por el enorme volumen de eventos de inicio de sesión, el comportamiento anómalo y los registros fragmentados, estás en el lugar adecuado. Hoy exploramos cómo Microsoft Security Copilot está transformando la defensa de identidades dentro de Microsoft Entra ID al evaluar el comportamiento de los usuarios, correlacionar señales débiles y sugerir soluciones inmediatas.

Introducción: la identidad como nuevo perímetro

Durante décadas, la seguridad empresarial se definió por los cuatro muros de la oficina corporativa. Los cortafuegos, las subredes físicas y los controladores de dominio actuaban como límites definitivos entre los recursos internos de confianza y el exterior no confiable. Pero cuando el trabajo remoto, la migración a la nube y los dispositivos móviles se convirtieron en el estándar operativo permanente, ese perímetro físico se desvaneció. Hoy, tus empleados, socios y contratistas inician sesión desde cafeterías, oficinas domésticas y aeropuertos de todo el mundo, con una gran variedad de dispositivos personales y corporativos. En consecuencia, el cortafuegos tradicional ya no es el lugar donde se gana o se pierde la batalla por la seguridad empresarial.

En cambio, la identidad ha ocupado su lugar como principal superficie de ataque. Los atacantes han dejado en gran medida de lado las técnicas complejas para vulnerar el perímetro, cuando suele ser mucho más fácil, y más rentable, simplemente robar credenciales. El phishing, el relleno de credenciales (credential stuffing) y el secuestro de sesiones son ahora los vectores de entrada preferidos por los actores maliciosos. Una vez que un atacante compromete una identidad de usuario válida, puede desplazarse lateralmente por los servicios en la nube, acceder a datos sensibles y eludir los mecanismos de detección heredados que asumen que un usuario con sesión iniciada es un empleado legítimo. Por tanto, proteger la empresa moderna exige un giro radical hacia la seguridad centrada en la identidad, donde cada solicitud de autenticación se examina, se contextualiza y se evalúa continuamente en busca de riesgos.

Evaluar el comportamiento de inicio de sesión con Security Copilot

Evaluar el comportamiento de inicio de sesión a escala es un reto humano enorme. Cada día, las organizaciones procesan millones de autenticaciones, desde los inicios de sesión rutinarios de la mañana hasta las llamadas de API programáticas que se ejecutan en segundo plano. Esperar que un analista de seguridad revise manualmente los registros de inicio de sesión, cruce las direcciones IP y compruebe el cumplimiento de los dispositivos para cada evento anómalo es una misión imposible. Es aquí donde la inteligencia artificial y, en concreto, Microsoft Security Copilot entran en juego para cambiar las reglas del juego.

Security Copilot actúa como una capa inteligente integrada directamente en Microsoft Entra ID y en el ecosistema de seguridad de Microsoft en general. Cuando un usuario intenta iniciar sesión, Copilot empieza de inmediato a evaluar las líneas base de comportamiento. No se limita a comprobar si la contraseña era correcta; analiza el contexto completo del intento de autenticación. ¿El usuario inicia sesión desde una ubicación geográfica desconocida? ¿Accede desde un dispositivo que nunca se ha registrado en su perfil? ¿La velocidad de desplazamiento entre dos inicios de sesión consecutivos es físicamente imposible? Al analizar continuamente estos patrones de comportamiento frente a datos históricos, Security Copilot puede marcar de inmediato los inicios de sesión de alto riesgo que, de otro modo, pasarían desapercibidos a las directivas estáticas de acceso condicional o quedarían ocultos en un mar de registros rutinarios.

Correlacionar señales débiles para obtener historias de riesgo con sentido

Uno de los aspectos más complicados de las ciberamenazas actuales es su dependencia de indicadores fragmentados de baja gravedad. Por separado, eventos individuales, como una solicitud menor de restablecimiento de contraseña, una cadena user-agent de navegador no reconocida o un inicio de sesión breve desde una VPN comercial, podrían parecer completamente inofensivos. Los sistemas tradicionales de gestión de información y eventos de seguridad (SIEM) suelen generar alertas independientes para cada uno de estos sucesos, lo que contribuye directamente a la fatiga de alertas que sufren los centros de operaciones de seguridad (SOC) modernos.

Security Copilot destaca por actuar como un puente cognitivo entre estos datos dispersos. En lugar de tratar los eventos aislados como callejones sin salida, Copilot correlaciona automáticamente múltiples señales débiles de usuarios, dispositivos y aplicaciones para construir una historia de riesgo coherente y significativa. Por ejemplo, si una cuenta registra un inicio de sesión algo fuera de horario desde un dispositivo nuevo, seguido de un intento rápido de cambio de contraseña y, justo después, una consulta inmediata de datos confidenciales de clientes, Copilot une estos eventos. Transforma telemetría cruda y confusa en una narrativa clara en lenguaje natural que explica con precisión cómo un atacante intenta comprometer una identidad. Esta capacidad elimina la tediosa tarea manual de reconstruir el contexto, lo que permite a los analistas comprender de inmediato la gravedad de una situación.

Acciones de remediación inmediata para inicios de sesión de alto riesgo

Identificar una amenaza es solo la mitad de la batalla; detenerla antes de que cause daños es lo que realmente demuestra la solidez de una postura de seguridad. En escenarios de alta presión, cada minuto que se dedica a decidir la respuesta correcta o a navegar por consolas administrativas complejas aumenta el riesgo de exfiltración de datos o de movimiento lateral. Security Copilot cierra la brecha entre la detección y la respuesta al ofrecer sugerencias de remediación inmediatas y contextuales directamente dentro del flujo de trabajo del analista.

Cuando se marca un inicio de sesión de alto riesgo y se verifica como malicioso o muy sospechoso, Copilot no se limita a presentar el problema: proporciona rutas de remediación prácticas. Los analistas pueden ejecutar de inmediato comandos para exigir una nueva verificación con autenticación multifactor, forzar un restablecimiento de contraseña inmediato, revocar tokens OAuth activos o bloquear temporalmente la sesión de riesgo por completo. Como estas acciones están integradas directamente en las herramientas de Microsoft Entra ID y Defender, los tiempos de respuesta se reducen drásticamente. Lo que antes requería una investigación de varios pasos e intervención administrativa manual puede neutralizarse ahora en cuestión de clics, lo que reduce de forma notable el periodo de exposición general de la organización.

Proteger la empresa moderna con defensa de identidad impulsada por IA

A medida que las ciberamenazas se vuelven cada vez más automatizadas y sofisticadas, los defensores humanos no pueden depender únicamente de procesos manuales, herramientas heredadas y posturas reactivas. Al apostar por la identidad como el nuevo perímetro y desplegar asistentes de IA avanzados como Microsoft Security Copilot, las organizaciones pueden por fin revertir la situación frente a atacantes persistentes. Correlacionar señales de comportamiento débiles, reducir los tiempos de investigación y automatizar las acciones de remediación permite que los equipos de seguridad dejen atrás la apagafuegos constante y avancen hacia una defensa proactiva y resiliente.

Para saber más sobre cómo la inteligencia artificial está transformando las operaciones de seguridad y ayudando a los equipos a vencer la fatiga de alertas en el SOC, no dejes de consultar el episodio de podcast relacionado: Security Copilot for SOC Operations: Reduce Alert Fatigue.

¿Qué desafíos enfrentan los analistas de seguridad con el volumen actual de alertas?
Los analistas de seguridad se ven desbordados por una avalancha de alertas, que a menudo superan las 200 antes incluso de que empiece su jornada. Este volumen genera retrasos e ineficiencias, lo que dificulta responder con eficacia a las amenazas activas.

¿Cómo mejora Security Copilot el flujo de trabajo de los equipos de seguridad?
Security Copilot está integrado directamente en las herramientas de seguridad existentes, lo que permite a los analistas acceder a la asistencia de IA sin interrumpir su flujo de trabajo. Esta integración ayuda a mantener el foco en resolver problemas de seguridad en lugar de cambiar constantemente entre distintos sistemas.

¿De qué maneras mejora Copilot la comprensión de las alertas de seguridad?
Copilot ofrece resúmenes completos de alertas que traducen señales técnicas complejas en narrativas comprensibles. Explica el contexto y la gravedad de las alertas, convirtiéndolas en informes de inteligencia accionables.

¿Qué capacidades proactivas ofrece Security Copilot a los equipos de seguridad?
Copilot puede identificar patrones en múltiples señales de riesgo, lo que permite a los equipos de seguridad buscar de forma proactiva amenazas basadas en la identidad en lugar de limitarse a reaccionar ante alertas de alta confianza. Esto traslada el enfoque de las respuestas reactivas a la caza de amenazas proactiva.

¿Cómo ayuda CoPilot en la administración de dispositivos y la creación de directivas?
Copilot automatiza un análisis de nivel experto y ofrece información sobre el impacto de los cambios en las directivas de seguridad, tanto en la postura de seguridad como en la experiencia del usuario. Así, los administradores pueden tomar decisiones informadas que equilibran los requisitos de seguridad con la productividad de los usuarios.

Obtén acceso completo a M365 Show - Microsoft 365 Digital Workplace Daily en m365.show/subscribe