Riesgo de inicio de sesión frente a riesgo de usuario en Microsoft Entra ID: ¿cuál es la diferencia?

By Mirko Peters · 2026-10-26

Conoce las diferencias clave entre el riesgo de inicio de sesión y el riesgo de usuario en Microsoft Entra ID Protection, y aprende a configurar correctamente el acceso condicional.

Automatically translated with AI from the original post. Read the English original

El riesgo de inicio de sesión y el riesgo de usuario en Microsoft Entra ID Protection son métricas de seguridad diferentes. El riesgo de inicio de sesión evalúa si un único intento de autenticación es sospechoso, mientras que el riesgo de usuario determina si las credenciales principales de una cuenta se han visto comprometidas a lo largo de varias sesiones.

Puntos clave

• El riesgo de inicio de sesión evalúa la probabilidad de que un intento de autenticación concreto no provenga del propietario legítimo de la cuenta.
• El riesgo de usuario evalúa si las credenciales de una cuenta han quedado comprometidas de forma permanente o expuestas en una filtración de datos.
• Un riesgo de inicio de sesión no gestionado puede acumularse gradualmente y convertirse, con el tiempo, en un estado de usuario de alto riesgo.
• El riesgo de inicio de sesión suele resolverse de inmediato con un desafío de MFA, mientras que el riesgo de usuario suele exigir un cambio seguro de contraseña.
• Se necesita Microsoft Entra ID P2 para aprovechar al máximo las directivas basadas en riesgo, el historial detallado de informes y la corrección automatizada.

Comprender la diferencia fundamental

Cuando los administradores implementan por primera vez Microsoft Entra ID Protection, una de las confusiones más comunes es mezclar el riesgo de inicio de sesión con el riesgo de usuario. Aunque ambas métricas se apoyan en la enorme red de inteligencia de señales de Microsoft, que analiza billones de señales al día en cuentas de consumo, tenants empresariales e incluso servicios de Xbox, responden a preguntas fundamentalmente distintas.

Un sistema de seguridad no puede tratar un único inicio de sesión inusual de la misma forma que trata una cuenta realmente robada. Si un administrador aplica un bloqueo general de la cuenta cada vez que alguien inicia sesión desde una ubicación o una red desconocidas, la productividad se detiene. Por el contrario, tratar una cuenta realmente comprometida con un simple desafío temporal de MFA deja al atacante persistente libre para volver a entrar más adelante, en cuanto caduque ese desafío. Entender cómo funcionan estas dos métricas por separado y cómo interactúan es esencial para diseñar una postura de seguridad en la nube equilibrada.

¿Qué es el riesgo de inicio de sesión?

El riesgo de inicio de sesión se centra exclusivamente en un único momento: el instante exacto en que un usuario intenta acceder a un recurso como Microsoft Teams, SharePoint u Outlook. Se basa por completo en el contexto de ese intento de inicio de sesión concreto y en nada más. El sistema se pregunta si las propiedades de esa solicitud concreta coinciden con los patrones de comportamiento habituales del usuario.

Microsoft Entra ID Protection evalúa varias variables durante las comprobaciones de inicio de sesión en tiempo real. Entre ellas se incluyen las conexiones procedentes de direcciones IP anónimas, que a menudo se usan para ocultar la ubicación geográfica; los escenarios de viaje imposible, en los que se inicia sesión desde regiones geográficamente distantes en un intervalo de tiempo irreal; o indicios de un ataque de pulverización de contraseñas, en el que un atacante prueba una misma contraseña común en miles de cuentas empresariales a la vez. Las propiedades de inicio de sesión desconocidas también se puntúan de forma dinámica: cuanto más inusual parece la solicitud en comparación con las referencias históricas, más sube la puntuación de riesgo.

Lo crucial es que una puntuación de riesgo de inicio de sesión pertenece estrictamente a ese intento. Si un usuario supera correctamente una solicitud de autenticación multifactor (MFA) de refuerzo durante ese inicio de sesión concreto, el riesgo asociado a dicho inicio de sesión queda neutralizado de inmediato, y el usuario continúa con su jornada sin ninguna penalización permanente en el estado de su cuenta.

¿Qué es el riesgo de usuario?

El riesgo de usuario, en cambio, no tiene que ver con un único inicio de sesión. Tiene que ver con el estado y la integridad de la propia cuenta. El riesgo de usuario se pregunta si las credenciales de la cuenta han caído en manos no autorizadas, lo que significa que un atacante posee las llaves maestras y puede volver a comprometer los datos cuando quiera.

El principal factor del riesgo de usuario es la aparición de credenciales en filtraciones de datos conocidas. Cuando nombres de usuario y contraseñas se filtran en la dark web o se obtienen mediante malware de robo de información, la inteligencia de amenazas de Microsoft marca esas credenciales de inmediato. Otros indicadores incluyen infraestructura de actores de amenazas verificada que interactúa directamente con el perfil del usuario o patrones de actividad anómalos que sugieren un acceso no autorizado persistente.

Cuando una cuenta se marca por riesgo de usuario, la amenaza permanece incluso después de que el usuario cierre la sesión. Dado que un atacante puede haber obtenido la contraseña fuera de los límites habituales de la sesión, basta con pedirle al usuario una verificación MFA rara vez es suficiente para resolver por completo una puntuación de riesgo de usuario alta. Hay que corregir la vulnerabilidad subyacente.

Cómo se calculan los niveles de riesgo

Tanto el riesgo de inicio de sesión como el riesgo de usuario se reducen a tres niveles de confianza claros: bajo, medio y alto. Estos niveles representan estimaciones de probabilidad de amenaza basadas en aprendizaje automático, no verdades binarias absolutas.

El riesgo alto indica que los sistemas automatizados de Microsoft disponen de pruebas sólidas y verificadas de compromiso, como credenciales filtradas que coinciden con bases de datos de la dark web o firmas de IP maliciosas verificadas. El riesgo medio refleja indicios moderados de actividad sospechosa con menor confianza absoluta. El riesgo bajo apunta a un comportamiento anómalo que se desvía de los patrones habituales, pero que carece de indicadores maliciosos definitivos.

Un detalle administrativo importante es cómo envejecen estos registros con el tiempo. Los elementos de riesgo bajo caducan automáticamente tras unos seis meses para mantener los paneles limpios y manejables. Sin embargo, los elementos de riesgo medio y alto no caducan por sí solos. Permanecen en el Centro de administración hasta que una directiva automatizada o un administrador humano los investiga, corrige o descarta de forma explícita.

El efecto acumulativo: cómo se interrelacionan

Aunque el riesgo de inicio de sesión y el riesgo de usuario evalúan cosas distintas, están estrechamente acoplados en los informes y en la aplicación de directivas. Un riesgo de inicio de sesión que queda completamente sin atender o sin verificar puede acumularse con el tiempo y, en última instancia, sumarse a la puntuación general de riesgo de usuario.

Esto significa que una persona puede aparecer como usuario de riesgo en el panel de Entra ID aunque sus intentos de inicio de sesión más recientes parecieran totalmente normales. El sistema reconoce un historial acumulado de comportamiento sospechoso que eleva la probabilidad de un compromiso a largo plazo. Los administradores de TI deben revisar ambos informes de forma simultánea en lugar de tratarlos como silos aislados.

Automatizar la corrección mediante el acceso condicional

Para evitar que los equipos de seguridad se ahoguen en alertas manuales, el acceso condicional de Microsoft Entra salva la distancia entre las puntuaciones de riesgo y la aplicación automatizada. Las organizaciones pueden configurar directivas específicas que se activen cuando se superen los umbrales de riesgo bajo, medio o alto.

En el caso del riesgo de inicio de sesión, las directivas pueden aplicar acciones como exigir MFA, forzar una nueva sesión de inicio de sesión o bloquear el acceso por completo. Cuando un usuario supera correctamente un desafío de MFA, el riesgo se corrige en el acto.

En el caso del riesgo de usuario, las directivas suelen exigir un cambio de contraseña seguro o una corrección automatizada del riesgo. Lo inteligente de la corrección de riesgos es su adaptabilidad: si el usuario inicia sesión con una contraseña tradicional, el sistema exige un cambio de contraseña seguro e invalida de inmediato todas las sesiones existentes. Si el usuario inicia sesión mediante métodos sin contraseña, se cierran las sesiones activas y se solicita un nuevo flujo de autenticación. Esta respuesta automatizada reduce de forma notable el volumen de tickets del servicio de asistencia y detiene a los atacantes en seco.

Conclusión

Dominar la diferencia entre el riesgo de inicio de sesión y el riesgo de usuario permite a los arquitectos cloud crear directivas de seguridad precisas y matizadas que protegen los datos corporativos sin generar fricción excesiva para los usuarios habituales. Si dejas que la automatización se encargue de las tareas habituales de remediación, los equipos de TI pueden concentrar sus esfuerzos en investigar las amenazas reales. Para profundizar en cómo funcionan estas capas de protección en entornos cloud modernos, escucha el episodio completo del podcast, con un desglose completo de las prácticas recomendadas de configuración, los requisitos de licencia y las estrategias de administración en entornos reales.

Preguntas frecuentes

¿Qué ocurre cuando se activa un riesgo de inicio de sesión?

Cuando se detecta un riesgo de inicio de sesión, el acceso condicional de Microsoft Entra puede bloquear el intento automáticamente, permitir el acceso o pedir al usuario una autenticación multifactor (MFA) para verificar su identidad.

¿Cuánto tiempo permanecen los eventos de riesgo bajo en los informes de Entra ID Protection?

Las detecciones de riesgo bajo caducan automáticamente y desaparecen de los informes después de unos seis meses, mientras que las entradas de riesgo medio y alto permanecen hasta que un administrador o la propia autorremediación las eliminen.

¿Pueden las cuentas de invitado usar la remediación automatizada del riesgo de usuario?

No. El flujo completo de remediación automatizada del riesgo no funciona para los usuarios invitados ni para los usuarios externos, porque Microsoft Entra ID no revoca las sesiones de esas cuentas externas de la misma forma que las de los miembros internos.

¿Cuál es la diferencia entre 'Confirmar seguro' y 'Descartar' en los informes de administración?

Confirmar como seguro indica al sistema que la alerta era una falsa alarma causada por un comportamiento normal. Descartar indica que la alerta era técnicamente un verdadero positivo, pero resultó inofensiva en este contexto concreto, como una prueba de seguridad planificada.