Cuando su organización utiliza Microsoft 365 Insider Risk Management, se generan alertas cuando la actividad del usuario coincide con una política de riesgo definida. Estas alertas a menudo señalan archivos específicos almacenados en OneDrive que pueden haberse compartido, descargado o accedido de forma sospechosa. Como oficial de cumplimiento o administrador de seguridad, debe verificar qué archivos de OneDrive desencadenaron la alerta y evaluar si la actividad es legítima o maliciosa. Este artículo explica cómo localizar la alerta en el portal de cumplimiento de Microsoft 365, revisar los archivos de OneDrive asociados y tomar las medidas adecuadas.
Puntos clave: Verificación de archivos de OneDrive en alertas de riesgo interno
- Portal de cumplimiento de Microsoft 365 > Insider risk management > Alertas: La ubicación central para ver todas las alertas de riesgo interno y filtrar por política o fecha.
- Panel de detalles de la alerta > Explorador de actividades: Muestra cada acción relacionada con archivos del usuario, incluidas cargas, descargas, uso compartido y eliminaciones de archivos de OneDrive.
- Explorador de actividades > Filtro de archivos: Permite limitar la lista solo a archivos de OneDrive seleccionando el filtro de carga de trabajo y escribiendo el nombre o la ruta del archivo.
Qué desencadena una alerta de riesgo interno para archivos de OneDrive
Insider Risk Management en Microsoft 365 supervisa el comportamiento del usuario en Exchange, SharePoint, Teams y OneDrive. Cuando un usuario realiza una acción que coincide con una regla de política —como descargar una gran cantidad de archivos de OneDrive a un dispositivo personal, compartir un archivo con un dominio externo o eliminar archivos poco antes de dejar la empresa— el sistema genera una alerta. Cada alerta contiene un resumen de la actividad detectada y un vínculo a la línea de tiempo de actividad del usuario.
La alerta no enumera automáticamente todos los archivos de OneDrive que el usuario tocó. En su lugar, proporciona un punto de partida: la identidad del usuario, la política que se activó y el intervalo de fechas. Para ver los archivos específicos de OneDrive, debe abrir la alerta y usar el Explorador de actividades. Esta herramienta registra cada evento de archivo con metadatos que incluyen el nombre del archivo, la ruta, el tamaño y la acción exacta realizada.
Antes de comenzar, asegúrese de tener asignado uno de los siguientes roles de administrador: Administrador de Insider Risk Management, Analista de Insider Risk Management o Investigador de Insider Risk Management. Sin estos roles, la pestaña Alertas y el Explorador de actividades no serán visibles.
Pasos para verificar archivos de OneDrive en una alerta de riesgo interno
- Inicie sesión en el portal de cumplimiento de Microsoft 365
Abra un navegador y vaya a https://compliance.microsoft.com. Inicie sesión con una cuenta que tenga el rol de Analista de Insider Risk Management o superior. - Vaya a Insider risk management > Alertas
En el panel de navegación izquierdo, seleccione Insider risk management. Luego haga clic en Alertas. Verá una lista de todas las alertas generadas por sus políticas. Utilice la barra de filtros en la parte superior para limitar por estado, gravedad, nombre de política o intervalo de fechas. - Abra la alerta específica
Haga clic en la alerta que desea investigar. El panel de detalles de la alerta se abre a la derecha. Muestra el nombre del usuario, la política que desencadenó la alerta, la fecha y hora, y una breve descripción de la actividad. - Haga clic en Ver actividad en el panel de detalles de la alerta
En la parte inferior del panel de detalles de la alerta, haga clic en el botón Ver actividad. Esto abre el Explorador de actividades para ese usuario, previamente filtrado al intervalo de fechas de la alerta. - Aplique el filtro de archivos para mostrar solo archivos de OneDrive
En el Explorador de actividades, localice la barra de filtros encima de la lista de actividades. Haga clic en el botón Agregar filtro. Seleccione Carga de trabajo en el menú desplegable y luego marque OneDrive. Haga clic en Aplicar. La lista ahora muestra solo las actividades realizadas en OneDrive. - Revise los detalles del archivo en la lista de actividades
Cada fila de la lista representa un evento de archivo individual. Las columnas incluyen Nombre del archivo, Ruta del archivo, Actividad (como FileDownloaded, FileSharedExternally, FileDeleted), Fecha y Tamaño. Haga clic en cualquier fila para ver metadatos adicionales como la dirección IP y el nombre del dispositivo del usuario. - Exporte la lista de actividades para un análisis adicional si es necesario
Para guardar la lista de eventos de archivos de OneDrive, haga clic en el botón Exportar encima de la lista de actividades. Los datos se descargan como un archivo CSV. Puede abrirlo en Excel para ordenar, filtrar o compartir con otros investigadores.
Si la alerta no muestra archivos de OneDrive
El Explorador de actividades no muestra eventos de OneDrive
Si aplica el filtro de Carga de trabajo para OneDrive y la lista de actividades está vacía, es posible que el usuario no haya realizado ninguna acción en OneDrive durante el período de tiempo de la alerta. Verifique si la descripción de la alerta menciona una carga de trabajo diferente, como SharePoint o Exchange. Elimine el filtro de Carga de trabajo y revise todas las actividades para ver qué carga de trabajo desencadenó realmente la alerta.
La alerta menciona un archivo pero no puede encontrarlo en la lista
Algunas alertas incluyen nombres de archivos en el texto de descripción. Si el archivo no aparece en el Explorador de actividades, es posible que se haya eliminado después de que ocurriera la actividad. Las eliminaciones de archivos de OneDrive se registran como eventos FileDeleted. Si el archivo se eliminó antes de que se generara la alerta, los metadatos aún pueden estar presentes en el registro de auditoría. Vaya a Auditoría en el portal de cumplimiento y busque el nombre del archivo con la cuenta del usuario para recuperar el registro histórico.
Necesita ver el contenido del archivo, no solo los metadatos
El Explorador de actividades solo muestra metadatos: nombre del archivo, ruta, tamaño y acción. No muestra el contenido del archivo. Para ver el archivo real, haga clic en el vínculo Abrir en Microsoft 365 en el panel de detalles de la actividad. Esto abre el archivo en su ubicación nativa en OneDrive, siempre que tenga acceso de lectura al OneDrive del usuario. Si no tiene acceso, solicite una revisión de contenido al gerente del usuario o a un administrador de SharePoint con los permisos necesarios.
Explorador de actividades vs Registro de auditoría para verificaciones de archivos de OneDrive
| Elemento | Explorador de actividades | Registro de auditoría (Registro de auditoría unificado) |
|---|---|---|
| Método de acceso | Dentro de una alerta de riesgo interno o a través del panel de Insider Risk Management | Pestaña Auditoría en el portal de cumplimiento o mediante el cmdlet de PowerShell Search-UnifiedAuditLog |
| Retención de datos | Hasta 30 días para el contexto de la alerta actual | Hasta 90 días para Microsoft 365 E5, 180 días con el complemento E5 Compliance |
| Filtrado por carga de trabajo | Filtro de Carga de trabajo integrado para OneDrive, SharePoint, Teams, Exchange | Debe filtrar por el parámetro Workload o buscar por usuario e intervalo de fechas |
| Interfaz de usuario | Optimizado para la investigación de incidentes con línea de tiempo y agrupación de actividades | Lista plana de eventos; requiere clasificación manual |
| Acceso al contenido del archivo | Vínculo Abrir en Microsoft 365 si el investigador tiene permisos | Sin vínculo directo; debe buscar la URL del archivo manualmente |
Después de revisar los archivos de OneDrive en la alerta, puede asignar un estado a la alerta —como Descartada, Confirmada o Necesita investigación— desde el panel de detalles de la alerta. Si confirma que la actividad es maliciosa, puede escalar el caso a una investigación formal haciendo clic en Crear caso. Desde allí, puede agregar notas, asignar revisores y realizar un seguimiento de los pasos de corrección.
Para la supervisión continua, considere crear una política de riesgo interno personalizada que se centre específicamente en el uso compartido de archivos de OneDrive con dominios externos. Utilice la plantilla de política Fuga de datos y establezca el umbral para que se active solo en archivos compartidos desde OneDrive. Esto reduce el ruido de las actividades de SharePoint o Teams y le permite centrarse en la superficie de riesgo interno más común en OneDrive.
Para optimizar aún más su flujo de trabajo, utilice el atajo de teclado Ctrl + Shift + F en el Explorador de actividades para buscar rápidamente un nombre de archivo por palabra clave. Esto funciona en la interfaz basada en el navegador y ahorra tiempo cuando revisa docenas de alertas en una sola sesión.