EIDPIM-011: Historial de activación de roles elegibles de PIM
- Plataforma
- Entra ID / M365
- Categoría
- Entra ID Privileged Identity Management
- Severidad
- Info
- Pilar de Zero Trust
- Identity (peso 1)
- Fixtures de referencia
- 2
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Revisar el historial de activación de PIM proporciona información sobre con qué frecuencia se activan los roles privilegiados, por quién, con qué justificación y durante cuánto tiempo. Este registro de auditoría es fundamental para detectar patrones anómalos de acceso privilegiado, como activaciones fuera del horario laboral, activaciones sin justificación válida o una frecuencia de activación excesiva que pueda indicar una cuenta comprometida o una amenaza interna
Valor recomendado
Registros de activación de PIM revisados periódicamente. Todas las activaciones tienen una justificación de negocio válida documentada
Remediación
Revise el historial de activación de PIM mediante Entra ID > Roles y administradores > Registros de auditoría filtrados por operaciones de PIM. Investigue cualquier activación con patrones inusuales, incluidas las activaciones fuera de horario, las activaciones por cuentas desconocidas o las activaciones con justificaciones vagas. Establezca una cadencia de revisión periódica de los registros de auditoría de PIM como parte de las operaciones de seguridad
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| no-data | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AU-3, AU-6
- MITRE ATT&CK
- T1078.004