MSTech Geeks

La identidad como nuevo perímetro

Las redes tradicionales protegían un perímetro físico; hoy ese perímetro ya no existe. Los usuarios trabajan desde cualquier lugar, las aplicaciones viven en la nube y los dispositivos son diversos. En este contexto, la identidad se ha convertido en el nuevo perímetro de seguridad.

Por eso Microsoft ha invertido en soluciones como Microsoft Defender for Identity y Entra ID Identity Protection,
que actúan en conjunto para cubrir todo el ciclo: detección, análisis y respuesta ante amenazas de identidad, tanto en entornos on-premises como cloud.

Microsoft Defender for Identity (MDI)

Anteriormente conocido como Azure Advanced Threat Protection, Defender for Identity protege los entornos locales e híbridos mediante la monitorización de Active Directory.
Aunque muchas cargas de trabajo migraron a la nube, AD sigue siendo un punto crítico de ataque.

MDI instala sensores en los controladores de dominio, AD FS y AD CS para analizar el tráfico de red y los eventos del sistema, detectando patrones de ataque como:

• Movimientos laterales mediante Pass-the-Hash o Pass-the-Ticket.
• Intentos de replicación o escalación de privilegios.
• Creación de cuentas persistentes sospechosas o abuso de Kerberos.

Su integración con Microsoft Defender XDR permite correlacionar señales de identidad con endpoint, correo y nube, ofreciendo visibilidad completa del ataque y permitiendo respuesta automatizada.

Microsoft Entra ID Identity Protection

Entra ID Identity Protection (antes Azure AD Identity Protection) se centra en proteger las identidades nativas de la nube mediante inteligencia artificial.

Analiza millones de autenticaciones en la infraestructura global de Microsoft para detectar comportamientos anómalos.

• Inicios de sesión desde ubicaciones o dispositivos inusuales.
• Credenciales filtradas o comprometidas.
• Intentos de fuerza bruta y comportamiento sospechoso de autenticación.

Su ventaja es que no requiere sensores: todo se gestiona desde el portal de Entra ID mediante políticas de acceso condicional basadas en riesgo.
Según el nivel de riesgo detectado, puede forzar MFA, bloquear el acceso o exigir cambio de contraseña.

Cómo se complementan

Microsoft Defender for Identity y Entra ID Identity Protection no compiten: se complementan.
MDI cubre Active Directory local, mientras Entra ID protege las identidades cloud. Juntas ofrecen una detección coordinada entre ambos mundos.

Por ejemplo, si un atacante compromete una cuenta local y luego intenta acceder a Microsoft 365 con las mismas credenciales sincronizadas, MDI detectará la anomalía on-premises y Entra ID bloqueará el acceso en la nube con políticas condicionales.
Ambas señales se unifican en Microsoft Sentinel o Defender XDR.

Arquitectura de integración

Una arquitectura recomendada incluye:

1. Sensores MDI desplegados en todos los controladores de dominio.
2. Sincronización híbrida mediante Azure AD Connect o Cloud Sync.
3. Integración con Microsoft Sentinel para centralizar alertas.
4. Automatización de respuesta con Logic Apps o flujos SOAR.

De esta forma, la organización obtiene visibilidad completa: desde el dominio local hasta las identidades cloud y la correlación avanzada de eventos.

Buenas prácticas y errores comunes

• Desplegar sensores MDI en todos los controladores de dominio y AD FS.
• Activar políticas de acceso condicional basadas en riesgo en Entra ID.
• Integrar ambas soluciones con Sentinel o XDR para correlación cruzada.
• Educar a usuarios y administradores sobre ataques de consentimiento y fatiga MFA.
• Evitar la falsa sensación de seguridad: MDI protege AD, no credenciales cloud.

Beneficios y resultados

• Detección temprana de amenazas de identidad antes de la explotación.
• Visibilidad completa entre entornos locales y cloud.
• Automatización de respuesta ante incidentes de acceso riesgoso.
• Reducción de costes y tiempo de investigación en el SOC.
• Refuerzo del cumplimiento normativo (ENS, ISO 27001, NIS2, GDPR).

Conclusión

Microsoft Defender for Identity y Entra ID Identity Protection son pilares complementarios para proteger identidades híbridas. Mientras MDI monitoriza y defiende el entorno local, Entra ID extiende esa protección a la nube con inteligencia adaptativa.

Integrarlas con Microsoft Sentinel o Defender XDR permite construir una estrategia de detección y respuesta unificada que refuerza el modelo Zero Trust y fortalece la seguridad de la identidad, el activo más crítico en cualquier organización moderna.