Desbloquear la visibilidad de Microsoft 365: por qué los conectores SIEM predeterminados te dejan a ciegas

By Mirko Peters · 2026-08-11

¡Bienvenido de nuevo al blog! Si gestionas las operaciones de seguridad de una organización que usa Microsoft 365, es probable que tengas una falsa sensación de seguridad. Hiciste clic en "en…

Automatically translated with AI from the original post. Read the English original

¡Bienvenido de nuevo al blog! Si gestionas las operaciones de seguridad de una organización que usa Microsoft 365, es probable que tengas una falsa sensación de seguridad. Hiciste clic en "habilitar" en el conector de M365 predeterminado de tu SIEM, comprobaste que los registros llegan y marcaste la casilla de cumplimiento. Pero ¿estás realmente protegido? La incómoda verdad es que los conectores SIEM listos para usar suelen dejar enormes puntos ciegos, omitiendo por completo las cargas de trabajo cloud avanzadas donde más les gusta operar a los atacantes modernos. Para entender este tema en profundidad, asegúrate de escuchar nuestro podcast complementario, Send Critical Microsoft 365 Logs to Your SIEM, donde analizamos estas brechas con detalle.

En este artículo vamos a profundizar en por qué tus configuraciones predeterminadas no te están funcionando, dónde se esconden los puntos ciegos y cómo puedes crear un flujo de ingesta resistente y rentable que genere detecciones de alta señal que tus analistas realmente puedan utilizar.

Los puntos ciegos de Microsoft 365 en los SIEM más populares

Tanto si usas Microsoft Sentinel, Splunk o QRadar, las plantillas de ingesta predeterminadas suelen centrarse en los inicios de sesión básicos de Azure Active Directory y en registros de actividad de Office 365 poco detallados. Aunque esto cubre lo absolutamente básico, deja expuestas cargas de trabajo críticas por completo. En las principales plataformas SIEM aparecen de forma sistemática varios puntos ciegos importantes:

• Exchange: los conectores predeterminados suelen omitir el acceso a buzones que no son propios, la creación de reglas y reenvíos sospechosos, las actividades SendAs o SendOnBehalf y los cambios repentinos en los permisos de buzón.
• SharePoint y OneDrive: puede que veas las descargas de archivos, pero ¿ves la creación y el uso de vínculos externos y anónimos, las recompartidas de archivos o los cambios de permisos privilegiados en sitios?
• Teams: a los atacantes les encanta colaborar a la vista de todos. Las configuraciones predeterminadas rara vez capturan el uso compartido externo a través de canales respaldados por SharePoint, las eliminaciones y ediciones de mensajes, los cambios en las directivas de reunión o la carga lateral no autorizada de aplicaciones.
• Power Platform: el auge de los entornos de bajo código y sin código trae riesgos ocultos. Con frecuencia se omiten los picos en la creación de flujos y aplicaciones, el uso de conectores de riesgo (como Outlook, Teams o conectores HTTP genéricos) y las elusiones de las directivas de prevención de pérdida de datos (DLP).
• Confidencialidad y DLP: la aplicación y eliminación de etiquetas, las coincidencias con directivas y las anulaciones manuales a menudo faltan por completo, a menos que se configuren de forma explícita.
• Contexto de Azure AD: el contexto crucial sobre inicios de sesión de riesgo, resultados de acceso condicional y anomalías de dispositivo o geográficas suele quedar fuera de las consultas estándar.

Causas raíz: por qué te faltan eventos críticos

¿Por qué faltan estos flujos de telemetría críticos? Rara vez ocurre por casualidad; más bien es el resultado de decisiones arquitectónicas y comerciales tomadas tanto por los proveedores de plataforma como por los compradores empresariales.

En primer lugar, las limitaciones de licencia desempeñan un papel enorme. La auditoría avanzada, la telemetría detallada de Exchange y el registro de eventos enriquecido de SharePoint suelen estar bloqueados tras licencias de nivel superior, como Microsoft 365 E5 o los complementos de auditoría avanzada. Si tu inquilino está en el nivel E3, esos eventos sencillamente no se generan ni se conservan desde el principio.

En segundo lugar, los límites de alcance de los conectores restringen la recopilación de datos. Los conectores estándar suelen extraer los flujos básicos de "OfficeActivity" e ignorar las cargas de trabajo avanzadas. En tercer lugar, la limitación de rendimiento de la API y los retrasos por lotes pueden saturar los recopiladores nativos en las horas punta, provocando pérdida de registros. En cuarto lugar, las brechas en los analizadores significan que, aunque los blobs JSON sin procesar lleguen a tu SIEM, los campos no asignados y los cambios de esquema silenciosos hacen que parezcan galimatías. Por último, los controles de coste implementados por equipos preocupados por el presupuesto excluyen discretamente las categorías ruidosas sin entender las implicaciones para la seguridad.

Equilibrar el control de costes sin quedarse a ciegas

Una de las objeciones más habituales a ingerir una visibilidad de Microsoft 365 "completa" es el coste. Ingerir cada registro generado por un inquilino grande de M365 puede agotar el presupuesto de almacenamiento de seguridad. Sin embargo, no tienes que elegir entre arruinarte y quedarte a ciegas. Lo que necesitas es filtrar con inteligencia, no reducir sin criterio.

Empieza filtrando en origen. Configura tus mecanismos de ingesta para incluir solo las operaciones de alta señal, como New-InboxRule, Add-MailboxPermission o los eventos de creación y uso de vínculos anónimos. Deduplica y agrega los eventos ruidosos y de bajo valor, como los guardados de versiones en segundo plano de SharePoint, antes de que lleguen a tu SIEM.

Implementa estrategias de almacenamiento por niveles. Mantén el almacenamiento en caliente lo más corto posible (de 30 a 60 días) para las investigaciones activas, y envía el almacenamiento en frío o de archivo a almacenes de objetos más económicos para cumplir con los plazos de cumplimiento normativo. Además, modela el volumen antes de activar nuevos flujos. Calcula los gigabytes por día de cada origen y duplica esas estimaciones para tener en cuenta picos de actividad del negocio, auditorías trimestrales o periodos de descubrimiento legal.

Diseño de una canalización de ingesta resiliente

Depender de conectores frágiles de sondeo directo es una receta para perder alertas durante incidentes de seguridad de alta presión. En su lugar, diseña una canalización resiliente y consciente de los limites de frecuencia. Un patrón sólido tiene este aspecto:

• Origen: Extrae datos del registro de auditoría unificado de M365, de la auditoría avanzada, de los inicios de sesión y los registros de riesgo de Azure AD, de Microsoft Information Protection (MIP), de las alertas de DLP y de las alertas de seguridad de Microsoft Defender.
• Transporte: Envía los datos desde la API de Graph o de Management hasta Azure Event Hubs (que actúa como búfer y mecanismo de reproducción) antes de reenviarlos a tu SIEM.
• Procesamiento: Normaliza y enriquece los datos justo en la zona de aterrizaje, añadiendo contexto de usuario, indicadores de departamento, designaciones de VIP, estados de los dispositivos y datos geográficos.
• Gobernanza: Implementa comprobaciones diarias de integridad, controladores de reintento con espera exponencial ante los límites de frecuencia (429), vigilancia de cambios de esquema y alertas de cola de mensajes fallidos.

Normalización y enriquecimiento para datos listos para analistas

Los registros sin procesar de M365 son notoriamente desordenados, con objetos JSON anidados y convenciones de nombres de campos inconsistentes entre cargas de trabajo. Si entregas datos sin procesar a un analista de nivel 1, pasará media jornada descifrando cargas útiles en lugar de clasificar amenazas.

Aplana los campos clave en el momento de la ingesta: Actor, Target, Action, ResourcePath, LinkType (anónimo, de la organización o de personas específicas), ExternalRecipient y LabelName. Asigna estos campos a un esquema unificado, como el Azure Monitor Common Security Incident Model (ASIM) o el Elastic Common Schema (ECS), para que tu ingeniería de detección abarque todas las cargas de trabajo sin fisuras. Por último, enriquece estos eventos con datos de RR. HH. (rol, tipo de empleo, departamento), listas de VIP, listas de permitidos de socios, estados de cumplimiento de los dispositivos y clasificaciones de confidencialidad.

Detecciones de alta señal para implementar ahora

Una vez que tu canalización esté en marcha y tus datos normalizados, podrás implementar detecciones de alta señal que realmente identifiquen comportamientos sofisticados de atacantes. Estas son ocho detecciones fundamentales que deberías poner en marcha de inmediato:

• Exfiltración desde el buzón: Detecta una nueva regla de bandeja de entrada que reenvíe mensajes al exterior o los mueva a RSS o a Correo no deseado, si ocurre en la hora siguiente a un inicio de sesión desde una nueva ubicación geográfica o un dispositivo no reconocido.
• Acceso sigiloso: Marca el acceso a un buzón de un VIP por parte de alguien que no es su propietario, cuando vaya acompañado de un evento Add-MailboxPermission en las 24 horas anteriores.
• Fuga en SharePoint: Genera una alerta sobre los vínculos para compartir anónimos o para "personas específicas" creados en archivos etiquetados como Confidencial o Restringido.
• Abuso de vínculos: Detecta un gran volumen de descargas externas en una ventana de 15 minutos originadas desde un vínculo para compartir recién creado, desde una IP o un ASN nuevos.
• Pivote en Teams: Detecta los casos en los que un archivo se comparte con el exterior y el mismo usuario añade a un invitado externo al equipo en un plazo de dos horas.
• Abuso de Power Automate: Marca un aumento repentino de tres o más flujos creados en un día por una cuenta que no es de desarrollador, especialmente si utiliza los conectores HTTP o de Outlook.
• Acumulación de privilegios: Haz seguimiento de las adiciones y eliminaciones repetidas de roles de miembro o administrador en el mismo espacio de trabajo o sitio sensible dentro de una ventana de 24 horas.
• Datos obsoletos: Detecta cuándo los conjuntos de datos de contenido de dirección o finanzas no se actualizan durante dos o más ciclos, para evitar que la dirección tome decisiones con datos desactualizados.

Tu plan de implementación de 30 días para cerrar la brecha

Corregir la visibilidad de tu entorno de M365 no tiene por qué llevar un año. Puedes cerrar sistemáticamente tus brechas de visibilidad en solo 30 días:

• Semana 1: Activa la auditoría avanzada donde sea necesario, inventaría tus conectores SIEM actuales y traza un mapa de las categorías de eventos que te faltan.
• Semana 2: Pon en marcha tu canal de Event Hub. Enruta los registros de auditoría unificada, la Auditoría avanzada, la telemetría de Azure AD y de Defender, e implementa tus filtros previos a la ingesta.
• Semana 3: Normaliza y enriquece tus flujos de datos, recupera los registros críticos de los últimos 30 días y despliega las siete detecciones de alta señal mencionadas arriba con ventanas de supresión adecuadas.
• Semana 4: Ajusta los costes eliminando el ruido restante y modificando los niveles de retención. Añade monitores de integridad y realiza un ejercicio de mesa de purple team que pruebe las reglas de buzón, el uso compartido externo y los picos en los flujos.

KPI ejecutivos para demostrar que funcionó

Cuando la dirección pregunte si el presupuesto de seguridad invertido en mejoras del canal mereció la pena, necesitas métricas que demuestren tu éxito. Haz seguimiento de estos KPI ejecutivos:

• Cobertura: Porcentaje de familias de eventos de M365 objetivo que se han ingerido y analizado correctamente (objetivo del 95 % o superior).
• Velocidad: Tiempo medio de reconocimiento (MTTA) y tiempo medio de resolución (MTTR) de los incidentes relacionados con M365 (con tendencia a la baja).
• Ruido: Relación entre alertas y verdaderos positivos (con tendencia al alza en calidad de señal).
• Coste: Coste por gigabyte ingerido (con tendencia a la baja, en torno a un 40 % gracias al filtrado previo a la ingesta).
• Fiabilidad: Número de días con huecos en la ingesta (objetivo: cero) y SLA de cambios de esquema (actualizaciones de los analizadores en un plazo de siete días desde una modificación del esquema de Microsoft).

Errores comunes y cómo solucionarlos

Incluso los planes mejor diseñados pueden encontrar obstáculos. Ten cuidado con estos errores habituales:

Los equipos suelen decir: "Lo hemos activado", pero los registros nunca llegan porque nadie ha verificado de verdad las licencias de Auditoría avanzada ni las líneas base de auditoría de buzones. Otro problema frecuente es que las reglas del SIEM permanecen completamente en silencio durante los ataques porque evalúan los eventos de forma aislada, en lugar de correlacionar la creación de reglas, los cambios de ubicación geográfica y el uso compartido externo.

Las facturas disparadas suelen deberse a que se omiten los filtros previos. Filtra siempre previamente las operaciones ruidosas y excluye los eventos de sincronización en segundo plano. El deterioro de los analizadores es otro enemigo silencioso: establece una rutina mensual de comparación de esquemas y ejecuta pruebas unitarias con cargas de muestra. Por último, la fatiga de los analistas aparece rápidamente si las alertas carecen de contexto. Asegúrate siempre de que tus alertas incluyan quién, qué, dónde y las etiquetas de confidencialidad, junto con enlaces directos al Microsoft Compliance Center para profundizar en el análisis.

Conclusión: deja de depender del cumplimiento normativo para protegerte

La conclusión es sencilla: los conectores predeterminados del SIEM te mantienen en cumplimiento, pero no te protegen. Si extraes los registros adecuados de Microsoft 365, los normalizas en un esquema unificado, los enriqueces con el contexto de negocio que importa y buscas amenazas con detecciones ajustadas al comportamiento real de los atacantes, podrás eliminar por completo tus puntos ciegos. Así es como tu SIEM deja de perder el hilo y empieza a escribir la historia. Para profundizar aún más en esta estrategia, escucha el episodio completo en Send Critical Microsoft 365 Logs to Your SIEM y empieza hoy mismo a cerrar tus brechas de visibilidad.