Los registros de auditoría de Entra ID al SIEM de CrowdStrike, un flujo por país

Un grupo con presencia en muchos países y un solo tenant tiene un único flujo de inicios de sesión y de auditoría, y un equipo de seguridad por país que necesita su parte de ese flujo. Solo su parte. Lo pide el departamento legal, lo piden los responsables de seguridad de cada país, y un SIEM global que pueda consultar cualquiera es exactamente lo que nadie quiere.

Y aquí está el problema de fondo: un evento de inicio de sesión de Entra ID no dice a qué país pertenece el usuario. Dice quién, desde dónde y contra qué. El país es una propiedad del usuario, y vive en el directorio, no en el evento.

La tubería

Los ajustes de diagnóstico de Entra ID vuelcan los registros de inicio de sesión y de auditoría en un Event Hub. Un trabajo de Stream Analytics lee ese flujo, cruza cada evento contra una tabla de referencia pequeña (usuario → país) y lo escribe en el colector de CrowdStrike NG-SIEM de ese país. La tabla vive en blob storage y la refresca de forma periódica un runbook de Azure Automation que lee el directorio con una identidad administrada: ni credenciales guardadas ni certificados que rotar.

Lo interesante es la regla que aplica el runbook para decidir el país, porque un directorio nunca está del todo limpio:

• El atributo de unidad de negocio, si está informado: esa es la respuesta que da la propia organización.

• Si no, la ubicación de uso: donde la licencia dice que trabaja esa persona.

• Si no, nada. El usuario queda fuera del enrutado.

Cada país, una unidad

El requisito era filtrar. El objetivo era medir. En cuanto cada evento lleva su país, cada país se convierte en una unidad a la que puedes ponerle una cifra: cuántos inicios de sesión, cuántos fallidos, cuántos de riesgo, cuántas operaciones privilegiadas y cómo se mueve todo eso mes a mes. El responsable de seguridad de un país ve su propia foto, y el grupo puede comparar países en la misma escala en vez de intuirlo desde un total global.

La cifra que hay que mirar

Como los usuarios sin coincidencia se descartan, el indicador que importa no es cuántos eventos se han enrutado, sino cuántos usuarios se han quedado sin país. Ese recuento se publica en cada refresco, y es la lista de tareas del equipo de identidad: cada nombre que aparece ahí es un registro del directorio que hay que arreglar. Los eventos enrutados son el resultado; los usuarios descartados son el trabajo.