Cómo auditar el acceso directo a archivos confidenciales de OneDrive en OneDrive for Business

OneDrive for Business almacena archivos confidenciales que deben protegerse contra el acceso no autorizado. El acceso directo se produce cuando alguien omite los vínculos para compartir y abre un archivo directamente desde la carpeta de OneDrive o desde la interfaz web. Este artículo explica cómo auditar los eventos de acceso directo mediante el portal de cumplimiento de Microsoft 365 Purview y la búsqueda en el registro de auditoría.

Los eventos de acceso directo se registran en el registro de auditoría unificado cuando un usuario abre un archivo desde OneDrive o SharePoint. El registro de auditoría captura el usuario, el archivo, el tipo de acción y la marca de tiempo. Puede filtrar estos registros para identificar quién accedió a archivos confidenciales y si el acceso fue legítimo.

Esta guía abarca la habilitación del registro de auditoría, la búsqueda de eventos de acceso directo, la interpretación de los resultados y la configuración de alertas para actividad sospechosa. También aprenderá a exportar registros de auditoría para informes de cumplimiento.

Qué significa el acceso directo en OneDrive for Business

El acceso directo en OneDrive se refiere a cualquier operación de apertura de archivo que no utilice un vínculo para compartir. Cuando un usuario con al menos permisos de lectura abre un archivo desde la carpeta de OneDrive en su PC, desde la aplicación móvil de OneDrive o desde la interfaz web de OneDrive, el sistema registra un evento FileAccessed. Esto es diferente de acceder a un archivo mediante un vínculo para compartir, que registra un evento FilePreviewed o FileDownloaded según el tipo de vínculo.

Los eventos de acceso directo son importantes para el cumplimiento porque muestran quién abrió realmente archivos confidenciales. Un usuario que no debería tener acceso a un archivo podría abrirlo directamente si se le concedieron permisos mediante la pertenencia a un grupo o el acceso delegado. Auditar estos eventos ayuda a los equipos de seguridad a detectar intentos de exfiltración de datos, amenazas internas o exposición accidental.

Requisitos previos para el registro de auditoría

Antes de poder auditar los eventos de acceso directo, necesita lo siguiente:

• Licencia Microsoft 365 E5 o E5 Compliance: el registro de auditoría de eventos avanzados requiere una licencia E5. Las licencias E3 proporcionan la búsqueda básica en el registro de auditoría.
• Búsqueda en el registro de auditoría habilitada: en Microsoft 365, la búsqueda en el registro de auditoría está habilitada de forma predeterminada. Verifíquelo en el portal de cumplimiento de Purview, en Auditoría > Configuración de auditoría.
• Permisos: necesita el rol Registros de auditoría o el rol Registros de auditoría de solo visualización en el portal de cumplimiento de Purview. Los administradores globales tienen estos permisos de forma predeterminada.

Pasos para auditar el acceso directo a archivos confidenciales de OneDrive

Siga estos pasos para buscar en el registro de auditoría los eventos de acceso directo a archivos o carpetas específicos en OneDrive for Business.

1. Abra el portal de cumplimiento de Microsoft 365 Purview
   Inicie sesión en compliance.microsoft.com con una cuenta que tenga el rol Registros de auditoría. En la navegación izquierda, seleccione Auditoría en la sección Soluciones.
2. Configure los parámetros de búsqueda en el registro de auditoría
   En la página Auditoría, haga clic en Buscar. En Intervalo de fechas y horas, seleccione un intervalo que abarque el período que desea investigar. Para archivos confidenciales, un intervalo de 90 días es lo habitual. En Actividades, seleccione Actividades de archivos y páginas y, a continuación, marque FileAccessed. Esto filtra los resultados para mostrar solo los eventos de apertura directa de archivos.
3. Especifique el archivo o la carpeta confidencial
   En el campo Archivo, carpeta o sitio, escriba la dirección URL completa del archivo o la carpeta confidencial. Puede obtener esta dirección URL abriendo el archivo en OneDrive en la web y copiando la dirección del explorador. Por ejemplo: https://contoso-my.sharepoint.com/personal/user_contoso_com/Documents/Financials/Q4_Report.xlsx. Deje el campo en blanco para ver todos los eventos de acceso directo de todos los archivos.
4. Ejecute la búsqueda
   Haga clic en Buscar. El portal muestra los resultados en una tabla. Cada fila muestra la fecha, el usuario que accedió al archivo, la acción (FileAccessed), el nombre del archivo y la ubicación (dirección URL de OneDrive). Para ver los detalles, haga clic en cualquier fila para abrir el panel Detalles.
5. Exporte los resultados para los registros de cumplimiento
   Haga clic en Exportar en la parte superior de la tabla de resultados. Elija Exportar todos los resultados para descargar un archivo CSV con todos los eventos. Puede abrir este archivo en Excel para filtrar por usuario, fecha o nombre de archivo. Esta exportación es útil para auditorías de cumplimiento o descubrimiento legal.

Filtrado de resultados para usuarios o archivos específicos

Después de la búsqueda inicial, puede restringir aún más los resultados:

• Por usuario: en los resultados de búsqueda, haga clic en el encabezado de la columna Usuario para ordenar. O use el filtro Usuarios del panel de búsqueda para especificar una o varias direcciones de correo electrónico de usuarios.
• Por archivo: use el cuadro de búsqueda Archivo de la barra de herramientas de resultados para escribir parte del nombre de un archivo. El portal filtra los resultados mostrados en tiempo real.
• Por fecha: haga clic en el encabezado de la columna Fecha para ordenar de forma ascendente o descendente. Use los controles deslizantes de intervalo de fechas situados en la parte superior de la página de resultados para acercarse a un día o una hora específicos.

Si el registro de auditoría muestra un acceso directo inesperado

Cuando encuentre eventos de acceso directo de usuarios inesperados, siga estos pasos para investigar y corregir la situación.

“Evento FileAccessed de un usuario que no debería tener acceso”

Esta situación suele significar que el usuario tiene permisos heredados a través de un grupo de SharePoint o un grupo de Microsoft 365. Compruebe los permisos del archivo o de su carpeta principal:

1. En OneDrive en la web, vaya al archivo.
2. Haga clic en el nombre del archivo y, a continuación, seleccione Administrar acceso.
3. Revise la lista de usuarios y grupos. Si el usuario aparece como miembro de un grupo, haga clic en el nombre del grupo para ver sus miembros.
4. Quite el usuario del grupo o cambie los permisos del archivo para dirigirlos solo a usuarios específicos.

“Necesito configurar alertas en tiempo real para el acceso directo a archivos confidenciales”

Cree una directiva de alerta personalizada en el portal de cumplimiento de Purview:

1. Vaya a Directivas de alerta en Directivas en la navegación izquierda.
2. Haga clic en + Nueva directiva de alerta. Asígnele un nombre como “Acceso directo a archivos confidenciales”.
3. En Seleccionar actividades, elija FileAccessed. En Condiciones, agregue la dirección URL del archivo o una ruta de carpeta.
4. Establezca el umbral de la alerta para que se active con un solo evento. Elija la notificación por correo electrónico para el equipo de seguridad.
5. Haga clic en Guardar. La directiva comienza a supervisar en un plazo de 30 minutos.

Acceso directo frente a acceso mediante vínculo para compartir: diferencias clave

Elemento	Acceso directo	Acceso mediante vínculo para compartir
Evento de auditoría	FileAccessed	FilePreviewed, FileDownloaded
Permisos necesarios	Permisos directos o heredados en el archivo o la carpeta	Permisos del vínculo (ver, editar o descargar)
Usuario típico	Propietario, copropietario o miembro de un grupo con acceso	Cualquier persona que tenga el vínculo, incluidos los usuarios externos
Nivel de riesgo	Medio: el acceso está controlado por permisos, pero puede heredarse de forma inesperada	Alto: los vínculos pueden reenviarse o filtrarse

Ahora puede buscar en el registro de auditoría los eventos de acceso directo a archivos confidenciales de OneDrive, exportar los resultados y crear directivas de alerta. A continuación, configure un informe de auditoría semanal recurrente para todos los archivos de la biblioteca de documentos confidenciales de su organización. Como sugerencia avanzada, use el cmdlet de PowerShell Search-UnifiedAuditLog para automatizar las consultas del registro de auditoría e integrarlas con su sistema de administración de eventos e información de seguridad.