IAM tradicional vs. ITDR: por qué las reglas estáticas ya no bastan

By Mirko Peters · 2026-08-13

¡Bienvenido de nuevo al blog! Si sigues nuestro podcast, sabrás que dedicamos mucho tiempo a desglosar marcos de seguridad complejos y a ayudar a los administradores a entender sus entornos en la nube y locales. Hoy vamos a profundizar en un tema que está transformando la forma en que operan los centros de operaciones de seguridad modernos: el paso de los perímetros de seguridad tradicionales a la

Automatically translated with AI from the original post. Read the English original

¡Bienvenido de nuevo al blog! Si sigues nuestro podcast, sabrás que dedicamos mucho tiempo a desglosar marcos de seguridad complejos y a ayudar a los administradores a entender sus entornos en la nube y locales. Hoy vamos a profundizar en un tema que está transformando la forma en que operan los centros de operaciones de seguridad modernos: el paso de los perímetros de seguridad tradicionales a la protección avanzada de identidades. En concreto, tenemos que hablar de por qué la gestión tradicional de identidades y accesos (IAM) ya no basta para proteger a las organizaciones frente a ataques sofisticados basados en credenciales, y por qué la detección y respuesta ante amenazas de identidad (ITDR) se ha convertido en el estándar de referencia para la supervisión continua de la seguridad.

En un mundo donde el trabajo remoto, las arquitecturas de nube híbrida y los scripts automatizados definen las operaciones diarias, el perímetro se ha disuelto por completo. Los atacantes ya no intentan derribar tus cortafuegos; simplemente inician sesión con credenciales robadas. Para entender a fondo por qué las reglas estáticas nos fallan y cómo las herramientas modernas están cerrando esa brecha, asegúrate de escuchar nuestro episodio complementario del podcast, Microsoft Defender for Identity - Simply Explained, donde profundizamos en la mecánica práctica para mantener seguras las identidades empresariales.

Comprender el IAM tradicional frente a ITDR

Para entender por qué las prácticas de seguridad modernas están evolucionando tan rápido, primero debemos mirar las herramientas del pasado. Las herramientas tradicionales de gestión de identidades y accesos se diseñaron principalmente para la gestión del ciclo de vida y el aprovisionamiento. Su función principal era responder a preguntas sencillas: ¿Quién es este usuario? ¿A qué grupo pertenece? ¿Tiene permiso para acceder a este recurso compartido o a esta aplicación concreta? Una vez que el usuario se autenticaba correctamente y recibía su token o credencial, los sistemas IAM tradicionales en gran medida se apartaban y daban por hecho que todo estaba bien.

Entra en escena la detección y respuesta ante amenazas de identidad, comúnmente conocida como ITDR. ITDR está diseñado específicamente para cubrir la enorme falta de visibilidad que existe después de la autenticación. Mientras que el IAM tradicional se centra en el control de acceso, el aprovisionamiento y las directivas estáticas, ITDR se centra en la supervisión continua, la detección de comportamientos anómalos del usuario y la respuesta a compromisos activos basados en identidades en tiempo real. Parte de la premisa de que tener la contraseña correcta no significa automáticamente que quien la escribe sea el propietario legítimo de esa cuenta.

Las limitaciones de las reglas estáticas en la seguridad moderna

Uno de los mayores defectos de los modelos de seguridad heredados es su fuerte dependencia de las reglas estáticas. Durante décadas, los equipos de seguridad se apoyaron en directivas codificadas, activadores basados en umbrales sencillos y listas predefinidas de actores maliciosos conocidos. Si un intento de inicio de sesión cumplía un conjunto concreto de condiciones estáticas, como proceder de una dirección IP corporativa durante el horario laboral habitual, se consideraba seguro de forma automática, independientemente de lo que ocurriera después.

Por desgracia, los ciberdelincuentes actuales han aprendido a saltarse estas barreras estáticas con facilidad. Los atacantes utilizan credenciales administrativas legítimas, ejecutan binarios de tipo Living-off-the-Land (LotL) y imitan con cuidado el tráfico empresarial normal para pasar completamente desapercibidos ante las alertas tradicionales basadas en reglas. Cuando tu postura de seguridad depende exclusivamente de reglas estáticas, en realidad estás esperando a que un atacante use un manual conocido y predecible. Si se desvía aunque sea ligeramente, o si aprovecha una credencial legítima obtenida mediante phishing, tu sistema IAM tradicional seguirá completamente ciego ante la actividad maliciosa que se desarrolla dentro de tu entorno.

Cómo los análisis de comportamiento cambian el juego

Para contrarrestar los ataques que eluden las reglas estáticas, los arquitectos de seguridad han tenido que replantear por completo cómo supervisan el tráfico empresarial. Aquí es donde entran en juego los análisis de comportamiento. En lugar de preguntarse si una acción infringe una regla rígida y predefinida, los análisis de comportamiento plantean una pregunta mucho más potente: ¿es esto normal para este usuario concreto?

El motor de analítica de comportamiento establece una línea base de la actividad normal a lo largo del tiempo. Aprende los horarios habituales de inicio de sesión de un usuario, sus equipos de trabajo preferidos, las velocidades típicas de acceso a archivos, la dinámica estándar de pertenencia a grupos e incluso los ritmos de escritura o los hábitos de navegación. Cuando una cuenta se ve comprometida, el atacante rara vez imita cada matiz de la rutina diaria de la víctima. Al evaluar de forma continua estos patrones de comportamiento, las soluciones de seguridad pueden detectar anomalías sutiles, como un movimiento lateral inusual, solicitudes repentinas de replicación del directorio o escaladas de privilegios inesperadas, mucho antes de que el actor de amenazas consiga su objetivo final.

Supervisión en tiempo real y señales de Active Directory

En ciberseguridad, la visibilidad lo es todo. Si no puedes ver lo que ocurre en tus servicios de directorio, no puedes defenderte. Las plataformas modernas de ITDR destacan porque se conectan directamente a las señales principales de tu infraestructura de identidad, incluidos Active Directory local y los proveedores de identidad en la nube.

La supervisión en tiempo real evalúa los factores de riesgo de forma dinámica durante los propios procesos de autenticación y autorización. En lugar de generar un informe a la mañana siguiente, una herramienta ITDR sólida analiza variables de contexto como la reputación de la IP, el cumplimiento del dispositivo, los user agents anómalos y los escenarios de viaje imposible en el mismo instante en que se realiza una solicitud. Si se detecta una amenaza durante una sesión, el sistema puede aplicar de inmediato desafíos de autenticación multifactor, revocar tokens de sesión o restringir temporalmente el acceso antes de que se produzcan daños estructurales.

Priorización de amenazas con puntuación de riesgo basada en IA

La fatiga por alertas es uno de los mayores asesinos silenciosos en los modernos centros de operaciones de seguridad (SOC). Cuando una herramienta de supervisión genera miles de alertas de baja fidelidad cada día, los analistas humanos inevitablemente se cansan, lo que provoca que se pasen por alto advertencias y se retrasen las respuestas a incidentes.

Las plataformas ITDR modernas resuelven este problema mediante la puntuación de riesgo basada en IA. En lugar de tratar cada alerta individual como una emergencia independiente, la inteligencia artificial correlaciona múltiples señales de bajo nivel, como un ligero cambio de comportamiento combinado con una pequeña variación en el contexto del dispositivo, y calcula una puntuación de riesgo unificada para la entidad. Los incidentes se priorizan de forma transparente mediante métricas de gravedad, lo que garantiza que tus analistas del SOC sepan de inmediato qué alertas requieren una intervención manual urgente y cuáles pueden gestionarse con seguridad mediante flujos de trabajo automatizados.

Optimización de las operaciones con respuestas automatizadas

En ciberseguridad, la velocidad lo es todo. Un atacante puede comprometer una identidad, extraer credenciales y moverse lateralmente por una red en cuestión de minutos. Esperar a que un analista humano revise manualmente una alerta, verifique el compromiso y actúe resulta, con frecuencia, demasiado lento.

Por eso las capacidades de respuesta automatizada se han vuelto tan importantes. Las plataformas modernas de seguridad de identidades incluyen playbooks predefinidos y flujos de trabajo automatizados que pueden ejecutar acciones de remediación inmediatas en cuanto se confirma una amenaza de alta gravedad. Si una entidad de servicio o una cuenta de usuario muestra señales inequívocas de un ataque de fuerza bruta o de robo de credenciales, el sistema puede deshabilitar automáticamente la cuenta, aislar el endpoint afectado y notificar al equipo de respuesta a incidentes, todo ello sin necesidad de intervención humana en la fase inicial de contención. Esto reduce drásticamente el tiempo de permanencia del atacante y limita el radio de impacto del ataque.

Protección de entornos híbridos y multinube

Hoy en día, muy pocas organizaciones operan solo en la nube o exclusivamente en local. La gran mayoría de las empresas modernas gestionan entornos híbridos complejos, en los que los dominios de Active Directory locales se sincronizan sin problemas con directorios en la nube como Microsoft Entra ID.

Esta realidad híbrida crea desafíos de seguridad específicos, ya que los atacantes suelen aprovechar las fisuras entre la infraestructura local y la infraestructura en la nube para escalar privilegios. Las herramientas modernas de detección de amenazas a la identidad están diseñadas precisamente para cerrar esta brecha. Al ingerir señales de los controladores de dominio locales y de los servicios de identidad en la nube, estas soluciones ofrecen un panel unificado que rastrea las actividades sospechosas en todo tu patrimonio digital. Tanto si un atacante comienza su recorrido en un antiguo servidor de archivos local como si se dirige hacia aplicaciones de productividad en la nube, tu marco de protección de identidades mantiene una visibilidad completa.

Conclusión: avanzar hacia un modelo de seguridad proactivo

La evolución desde la gestión de identidades estática hacia la detección y respuesta dinámicas ante amenazas no es solo una tendencia pasajera; es una necesidad absoluta para sobrevivir en el panorama de amenazas actual. A medida que los ciberdelincuentes se vuelven más sofisticados y dependen cada vez más de credenciales legítimas para eludir las defensas perimetrales, seguir confiando en IAM heredado y en conjuntos de reglas rígidas ya no es una estrategia viable. Al adoptar la supervisión continua del comportamiento, la puntuación de riesgos basada en IA, la monitorización en tiempo real y las respuestas automatizadas, las organizaciones pueden pasar de una postura reactiva a un modelo de seguridad verdaderamente proactivo.

Para profundizar en cómo cobran vida estos conceptos en entornos empresariales, asegúrate de escuchar el episodio completo de nuestro podcast, Microsoft Defender for Identity - Simply Explained. Entender estas herramientas e implementarlas correctamente hará que tu organización se mantenga resiliente frente a cualquier amenaza basada en identidades que llegue después.