Cómo investigar descargas masivas de OneDrive en Purview

Si sospecha que un usuario o un atacante descargó cientos de archivos de OneDrive en un período corto, necesita un método para confirmarlo. Microsoft Purview proporciona registros de auditoría que capturan cada evento de descarga de archivos, incluidos el usuario, el nombre del archivo, la marca de tiempo y la dirección IP del cliente. Este artículo explica cómo buscar actividad de descargas masivas en Purview, interpretar los resultados y configurar alertas para incidentes futuros.

Qué desencadena un evento de descarga masiva en OneDrive

Cuando un usuario descarga varios archivos de OneDrive, cada archivo genera un evento de auditoría independiente con el nombre de operación FileDownloaded. Una descarga masiva se define por un número inusualmente alto de estos eventos desde una sola cuenta de usuario en un período corto, como 100 archivos en 10 minutos. La causa puede ser una exportación masiva legítima realizada por un analista de datos, pero también puede indicar exfiltración de datos por parte de una cuenta comprometida o de un usuario interno malintencionado. Microsoft Purview captura la dirección IP de origen, la cadena de agente de usuario y la ruta exacta del archivo en cada descarga, lo que ayuda a distinguir el uso normal de un comportamiento sospechoso.

Requisitos previos para acceder a los registros de auditoría de Purview

Antes de poder buscar en los registros de auditoría, su organización debe tener una de las siguientes suscripciones: Microsoft 365 E5, Microsoft 365 E5 Compliance o el complemento Microsoft 365 E5 eDiscovery and Audit. A los usuarios que realicen la búsqueda se les debe asignar el rol Registros de auditoría en el portal de cumplimiento de Microsoft Purview. Además, el registro de auditoría debe estar habilitado para su inquilino. Para verificarlo, vaya a Portal de cumplimiento de Microsoft Purview > Auditoría > Directivas de retención de auditoría y confirme que el estado muestre Audit log search turned on.

Pasos para buscar descargas masivas en los registros de auditoría de Purview

1. Abra el portal de cumplimiento de Microsoft Purview
   Inicie sesión en compliance.microsoft.com con una cuenta que tenga el rol Registros de auditoría. En la navegación izquierda, seleccione Auditoría en Soluciones.
2. Establezca el intervalo de fechas y el filtro de usuario
   En la página de búsqueda de Auditoría, establezca la Fecha de inicio y la Fecha de finalización para cubrir la ventana del incidente sospechado. En el campo Usuario, escriba el nombre principal de usuario de la cuenta que desea investigar. Deje en blanco el campo Archivo, carpeta o sitio para capturar todas las actividades.
3. Filtre por la actividad FileDownloaded
   En Actividades, haga clic en Mostrar actividades de todas las actividades. En el cuadro de búsqueda, escriba FileDownloaded. Marque la casilla junto a FileDownloaded y luego haga clic en Aplicar. Esto restringe los resultados únicamente a los eventos de descarga.
4. Ejecute la búsqueda
   Haga clic en Buscar en la parte inferior de la página. Purview mostrará una lista de registros de auditoría coincidentes. Los resultados muestran la fecha, el usuario, la dirección IP y el nombre de cada archivo descargado. Para ver más detalles, seleccione cualquier registro y haga clic en Más información en el panel de detalles.
5. Exporte los resultados a CSV
   Haga clic en Exportar en la parte superior de la página de resultados de búsqueda. Elija Exportar todos los resultados. Se descargará un archivo CSV. Ábralo en Excel o en un editor de texto para ordenar y contar el número de descargas por usuario, por hora o por dirección IP.

Análisis de los datos exportados para detectar patrones de descargas masivas

Después de exportar el CSV, utilice las siguientes técnicas para identificar comportamiento de descargas masivas:

• Cuente las descargas por usuario: En Excel, use una tabla dinámica con el campo Usuario en las filas y el recuento de Elemento o Nombre de archivo en los valores. Un recuento superior a 50 archivos en un solo día justifica una investigación adicional.
• Compruebe si hay descargas secuenciales rápidas: Ordene el CSV por la columna CreationTime. Si el mismo usuario descargó 20 archivos en 60 segundos, ese patrón sugiere una descarga masiva mediante un script o un cliente de sincronización.
• Revise las direcciones IP del cliente: Si la dirección IP difiere de la ubicación habitual del usuario o proviene de una región geográfica inesperada, trátelo como una señal de alerta. Compare con los registros de VPN o de proxy si están disponibles.
• Busque descargas desde una sola carpeta: Agrupe por la columna Ruta del elemento. Las descargas masivas suelen dirigirse a una carpeta de proyecto compartida o a una biblioteca de documentos que contiene datos confidenciales.

Si el registro de auditoría muestra actividad sospechosa

El recuento de descargas de OneDrive supera los 100 archivos en una hora

Si el CSV exportado muestra más de 100 eventos de descarga de un usuario en 60 minutos, tome medidas inmediatas. Primero, comuníquese con el usuario para verificar si las descargas fueron intencionales. Si el usuario confirma la actividad, compruebe si utilizó una herramienta de terceros o la aplicación de sincronización de OneDrive. Si el usuario no reconoce las descargas, suponga que la cuenta está comprometida. Restablezca la contraseña del usuario, revoque las sesiones activas y habilite MFA si aún no está activa.

Las descargas se originaron desde una dirección IP desconocida

Cuando la dirección IP del registro de auditoría no coincide con los rangos de IP públicas conocidos de la organización ni con la ubicación habitual del usuario, es posible que un atacante haya accedido a la cuenta. Use la dirección IP para consultar Microsoft Defender for Cloud Apps o los registros del firewall y obtener contexto adicional. Bloquee la dirección IP en el nivel de red si es posible y solicite al usuario que vuelva a autenticarse.

Las descargas ocurrieron fuera del horario laboral

Los registros de auditoría con marcas de tiempo entre las 10 p. m. y las 6 a. m. hora local deben revisarse con cuidado. Incluso si el recuento de descargas es moderado, la hora del día por sí sola puede indicar una exfiltración automatizada. Habilite directivas de acceso condicional en Entra ID que restrinjan el acceso a OneDrive según la hora y la ubicación.

Configuración de una directiva de alerta para futuras descargas masivas

Para recibir notificaciones automáticas cuando se produzcan descargas masivas, cree una directiva de alerta en el portal de cumplimiento de Microsoft Purview:

1. Vaya a Directivas de alerta
   En el portal de cumplimiento de Purview, vaya a Directivas > Alerta > Directivas de alerta. Haga clic en + Nueva directiva de alerta.
2. Asigne un nombre a la directiva y seleccione la actividad
   Escriba un nombre como Alerta de descarga masiva de OneDrive. En Actividad, elija FileDownloaded en la lista. Deje en blanco los campos de usuario y archivo para abarcar a todos los usuarios.
3. Establezca el umbral
   En Activar alerta cuando, seleccione Número de veces que se produce la actividad. Establezca el valor en 50 y la ventana de tiempo en 30 minutos. Esto genera una alerta cuando un solo usuario descarga 50 archivos en media hora.
4. Asigne destinatarios y guarde
   En Enviar alerta a, escriba las direcciones de correo electrónico de su equipo de seguridad. Haga clic en Guardar para activar la directiva.

Búsqueda manual en los registros de auditoría frente a directiva de alerta: comparación

Elemento	Búsqueda manual en los registros de auditoría	Directiva de alerta
Propósito	Investigar un incidente pasado específico	Detectar incidentes en curso o futuros en tiempo real
Esfuerzo de configuración	Ninguno, la búsqueda está disponible de inmediato	Requiere crear una directiva con valores de umbral
Granularidad de los datos	Exporta cada evento de descarga con todos los detalles	Solo proporciona una notificación de alerta y un resumen del desencadenante
Ideal para	Análisis forense e informes de cumplimiento	Supervisión proactiva de seguridad

Use la búsqueda manual cuando necesite un registro completo de las descargas con fines legales o de cumplimiento. Use la directiva de alerta cuando su equipo de seguridad necesite una notificación inmediata de descargas masivas sospechosas.

Ahora puede buscar descargas masivas de OneDrive en los registros de auditoría de Purview, analizar los datos exportados en busca de patrones sospechosos y crear una directiva de alerta para detectar automáticamente incidentes futuros. Como siguiente paso, revise sus directivas de acceso condicional en Entra ID para restringir el acceso a OneDrive según el cumplimiento del dispositivo y la ubicación. Para una supervisión avanzada, integre las alertas de Purview con Microsoft Sentinel mediante el conector de datos de Purview para automatizar la respuesta a incidentes.