Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Consejo
¿Sabía que puede probar las características de Microsoft Defender para Office 365 Plan 2 de forma gratuita? Use la prueba de 90 días de Defender para Office 365 en el Centro de pruebas del portal de Microsoft Defender. Obtenga información sobre quién puede registrarse y las condiciones del período de prueba en Probar Microsoft Defender para Office 365.
En el entrenamiento de simulación de ataque en Microsoft Defender para Office 365 Plan 2 o Microsoft 365 E5, Microsoft proporciona informes de los resultados de las simulaciones y los entrenamientos correspondientes. Esta información le mantiene informado sobre el progreso de la preparación frente a amenazas de los usuarios y de los siguientes pasos recomendados para preparar mejor a los usuarios para ataques futuros.
Los informes están disponibles en las siguientes ubicaciones en la página Entrenamiento de simulación de ataque del portal de Microsoft Defender:
- Resúmenes de informes:
- La pestaña Información general en https://security.microsoft.com/attacksimulator?viewid=overview.
- La pestaña Informes en https://security.microsoft.com/attacksimulator?viewid=reports.
- Informes completos:
- La página Informe de simulación de ataques en https://security.microsoft.com/attacksimulationreport:
- Informes de simulaciones en curso y completadas y campañas de entrenamiento: para obtener más información, consulte Informe de simulación de ataques.
En el resto de este artículo se describen los informes disponibles para Attack simulation training.
Para obtener información de introducción sobre entrenamiento de simulación de ataque, consulte Introducción al uso de entrenamiento de simulación de ataque.
Resúmenes de informes en las pestañas Información general e Informes del entrenamiento con simulación de ataque
Para ir a la pestaña Información general, abra el portal de Microsoft Defender en https://security.microsoft.com, vaya a Correo electrónico & colaboración> > Entrenamiento con simulación de ataque:
- Pestaña Información general : compruebe que la pestaña Información general está seleccionada (es la predeterminada). O bien, para ir directamente a la pestaña Información general , use https://security.microsoft.com/attacksimulator?viewid=overview.
- Pestaña Informes : seleccione la pestaña Informes . O bien, para ir directamente a la pestaña Informes , use https://security.microsoft.com/attacksimulationreport.
La distribución de resúmenes de informes en las pestañas se describe en la tabla siguiente:
| Informe | Pestaña de información general | Pestaña Informes |
|---|---|---|
| Tarjeta de simulaciones recientes | ✔ | |
| Tarjeta de recomendaciones | ✔ | |
| Tarjeta de cobertura de simulación | ✔ | ✔ |
| Tarjeta de finalización de la formación | ✔ | ✔ |
| Tarjeta de reincidentes | ✔ | ✔ |
| Tarjeta de impacto del comportamiento en la tasa de vulneración | ✔ | ✔ |
El resto de esta sección describe la información que está disponible en las pestañas Información general e Informes del entrenamiento con simulación de ataque.
Tarjeta de simulaciones recientes
La tarjeta Simulaciones recientes de la pestaña Información general muestra las últimas tres simulaciones que creó o ejecutó en su organización.
Puede seleccionar una simulación para ver los detalles.
Al seleccionar Ver todas las simulaciones , se le lleva a la pestaña Simulaciones .
Al seleccionar Iniciar una simulación , se inicia el asistente para la nueva simulación. Para obtener más información, consulte Simular un ataque de suplantación de identidad en Defender para Office 365.
Tarjeta de recomendaciones
La tarjeta Recomendaciones de la pestaña Información general sugiere diferentes tipos de simulaciones que se van a ejecutar.
Al seleccionar Iniciar ahora se inicia el nuevo asistente de simulación con el tipo de simulación especificado seleccionado automáticamente en la página Seleccionar técnica . Para obtener más información, consulte Simular un ataque de suplantación de identidad en Defender para Office 365.
Tarjeta de cobertura de simulación
La tarjeta Cobertura de simulación de las pestañas Información general e Informes muestra el porcentaje de usuarios de la organización que recibieron una simulación (usuarios simulados) frente a usuarios que no recibieron una simulación (usuarios no simulados). Puede mantener el puntero sobre una sección del gráfico para ver el número real de usuarios en cada categoría.
Al seleccionar Ver informe de cobertura de simulación , se le lleva a la pestaña Cobertura de usuario del informe Simulación de ataque.
Al seleccionar Iniciar simulación para usuarios no simulados , se inicia el nuevo asistente de simulación, donde los usuarios que no han recibido la simulación se seleccionan automáticamente en la página Usuario de destino . Para obtener más información, consulte Simular un ataque de suplantación de identidad en Defender para Office 365.
Tarjeta de finalización de la formación
La tarjeta Finalización de la formación de las pestañas Información general e Informes organiza los porcentajes de usuarios que recibieron entrenamientos en función de los resultados de las simulaciones en las categorías siguientes:
- Completado
- En curso
- Incompleto
Puede mantener el puntero sobre una sección del gráfico para ver el número real de usuarios en cada categoría.
Al seleccionar Ver informe de finalización de entrenamiento, se le llevará a la pestaña Finalización del entrenamiento del informe de simulación de ataque.
Tarjeta de reincidentes
La tarjeta Reincidentes de las pestañas Información general e Informes muestra la información sobre los reincidentes. Un reincidente es un usuario que se vio comprometido por simulaciones consecutivas. El número predeterminado de simulaciones consecutivas es dos, pero puede cambiar el valor en la pestaña Configuración de Entrenamiento de simulación de ataque en https://security.microsoft.com/attacksimulator?viewid=setting. Para obtener más información, consulte Configurar el umbral de reincidencia.
El gráfico organiza los datos de reincidentes por tipo de simulación:
- Todo
- Archivo adjunto con malware
- Enlace a Malware
- Robo de credenciales
- Vínculo en datos adjuntos
- URL de tipo drive-by
Al seleccionar Ver informe de reincidentes , se le lleva a la pestaña Reincidentes del informe Simulación de ataque.
Tarjeta de impacto del comportamiento en la tasa de vulneración
La tarjeta Impacto del comportamiento en la tasa de compromiso de las pestañas Información general e Informes muestra cómo respondieron los usuarios a las simulaciones en comparación con los datos históricos de Microsoft 365. Puede usar esta información para realizar un seguimiento del progreso en la preparación frente a amenazas de los usuarios ejecutando varias simulaciones con los mismos grupos de usuarios.
Los datos del gráfico muestran la siguiente información:
- Tasa de compromiso real: el porcentaje real de personas que se vieron comprometidas por la simulación (usuarios realmente comprometidos / número total de usuarios de la organización que recibieron la simulación).
- Tasa de compromiso prevista: datos históricos en Microsoft 365 que predicen el porcentaje de personas que se verán comprometidas por esta simulación. Para obtener más información sobre la tasa de compromiso prevista (PCR), consulte Tasa de compromiso prevista.
Si mantiene el puntero sobre un punto de datos del gráfico, se muestran los valores de porcentaje reales.
Para ver un informe detallado, seleccione Ver simulaciones y informe de eficacia de entrenamiento. Este informe se explica más adelante en este artículo.
Informe de simulación de ataques
Puede abrir el Informe de simulación de ataque desde la pestaña Información general seleccionando las acciones Ver... informe que están disponibles en algunas de las tarjetas de las pestañas Información general e Informes descritas en este artículo. Para ir directamente a la página Informe de simulación de ataques, use https://security.microsoft.com/attacksimulationreport
Pestaña de eficacia del entrenamiento para el informe de simulación de ataques
La pestaña Eficacia del entrenamiento está seleccionada de forma predeterminada en la página Informe de simulación de ataque . Esta pestaña proporciona la misma información que está disponible en la tarjeta Impacto del comportamiento en la tasa de vulneración, con más contexto de la propia simulación.
En el gráfico se muestran la tasa real de compromiso y la tasa de compromiso prevista. Si mantiene el puntero sobre una sección del gráfico, se muestran los valores porcentuales reales.
En la tabla de detalles debajo del gráfico se muestra la siguiente información. Puede ordenar las simulaciones haciendo clic en un encabezado de columna disponible. Seleccione 
Personalizar columnas para cambiar las columnas que se muestran. De forma predeterminada, se seleccionan todas las columnas disponibles.
- Nombre de la simulación
- Técnica de simulación
- Tácticas de simulación
- Tasa comprometida prevista
- Tasa comprometida real
- Total de usuarios objetivo
- Recuento de usuarios en los que se ha hecho clic
Use el cuadro 
Buscar para filtrar los resultados por Nombre de simulación o Técnica de simulación. No se admiten los caracteres comodín.
Use el botón 
Exportar informe para guardar la información en un archivo CSV. El nombre de archivo predeterminado es Attack simulation report - Microsoft Defender.csv y la ubicación predeterminada es la carpeta Descargas local. Si ya existe un informe exportado en esa ubicación, se añade un número al nombre del archivo (por ejemplo, Informe de simulación de ataques: Microsoft Defender (1).csv).
Pestaña Cobertura de usuario para el informe de simulación de ataques
En la pestaña Cobertura de usuarios, el gráfico muestra los usuarios simulados y los usuarios no simulados. Si mantiene el puntero sobre un punto de datos del gráfico, se muestran los valores reales.
En la tabla de detalles debajo del gráfico se muestra la siguiente información. Para ordenar la información, haga clic en un encabezado de columna disponible. Seleccione Personalizar columnas para cambiar las columnas que se muestran. De forma predeterminada, se seleccionan todas las columnas disponibles.
- Nombre de usuario
- Dirección de correo electrónico
- Incluido en la simulación
- Fecha de la última simulación
- Último resultado de la simulación
- Recuento de clics
- Recuento de los que se vieron comprometidos
Use el cuadro Buscar para filtrar los resultados por Nombre de usuario o Dirección de correo electrónico. No se admiten los caracteres comodín.
Utilice el botón Exportar informe para guardar la información en un archivo CSV. El nombre de archivo predeterminado es Attack simulation report - Microsoft Defender.csv y la ubicación predeterminada es la carpeta Descargas local. Si ya existe un informe exportado en esa ubicación, se incrementa el nombre de archivo (por ejemplo, Informe de simulación de ataque - Microsoft Defender (1).csv).
Pestaña Finalización del entrenamiento para el informe de simulación de ataques
En la pestaña Finalización del entrenamiento , el gráfico muestra el número de simulaciones completadas, en curso y incompletas . Si mantiene el puntero sobre una sección del gráfico, se muestran los valores reales.
En la tabla de detalles debajo del gráfico se muestra la siguiente información. Para ordenar la información, haga clic en un encabezado de columna disponible. Seleccione Personalizar columnas para cambiar las columnas que se muestran. De forma predeterminada, se seleccionan todas las columnas disponibles.
- Nombre de usuario
- Dirección de correo electrónico
- Incluido en la simulación
- Fecha de la última simulación
- Último resultado de la simulación
- Nombre de la formación completada más recientemente
- Fecha de finalización
- Todos los entrenamientos
Seleccione 
Filtrar para filtrar la tabla del gráfico y los detalles por los valores de Estado de los entrenamientos: Completado, En curso o Todos.
Cuando haya terminado de configurar los filtros, seleccione Aplicar, Cancelar o 
Borrar filtros.
Use el cuadro Buscar para filtrar los resultados por Nombre de usuario o Dirección de correo electrónico. No se admiten los caracteres comodín.
Si selecciona el botón Exportar informe, el progreso de generación del informe se muestra como un porcentaje de completado. En el cuadro de diálogo que se abre, puede elegir abrir el archivo .csv, guardar el archivo .csv y recordar la selección.
Pestaña Reincidentes para el informe de simulación de ataques
Un reincidente es un usuario que se vio comprometido por simulaciones consecutivas. El número predeterminado de simulaciones consecutivas es dos, pero puede cambiar el valor en la pestaña Configuración de Entrenamiento de simulación de ataque en https://security.microsoft.com/attacksimulator?viewid=setting. Para obtener más información, consulte Configurar el umbral de reincidente.
En la pestaña Reincidentes, el gráfico muestra el número de usuarios reincidentes y usuarios simulados.
Si mantiene el puntero sobre un punto de datos del gráfico, se muestran los valores reales.
En la tabla de detalles debajo del gráfico se muestra la siguiente información. Para ordenar la información, haga clic en un encabezado de columna disponible. Seleccione Personalizar columnas para cambiar las columnas que se muestran. De forma predeterminada, se seleccionan todas las columnas disponibles.
Usuario: nombre del usuario.
Tipos de simulación: tipo de simulaciones en las que el usuario estaba implicado.
Simulaciones: nombre de las simulaciones en las que el usuario estaba implicado.
Dirección de correo electrónico: Dirección de correo electrónico del usuario.
Último recuento de repeticiones: último recuento de compromisos para los usuarios clasificados como reincidentes. Por ejemplo, si el umbral de reincidente se establece en 3 y un usuario se vio comprometido en tres simulaciones consecutivas, el último recuento de repeticiones es 3. Si el usuario se vio comprometido en cuatro simulaciones consecutivas, el recuento de repeticiones más reciente es 4. Si el usuario se vio comprometido en dos simulaciones consecutivas, entonces el valor es N/D. El último recuento de repeticiones se establece en 0 (N/D) cada vez que se restablece la marca de reincidente (es decir, el usuario supera una simulación).
Reincidencia: incluye el número de veces que un usuario se clasificó como reincidente. Por ejemplo:
- El usuario se clasificó como reincidente en las primeras simulaciones (se vieron comprometidos tres veces consecutivas, donde el umbral de reincidente es 2).
- El usuario se clasificó como "limpio" después de superar una simulación.
- El usuario se clasificó como reincidente en las siguientes pocas simulaciones (se vieron comprometidos cuatro veces consecutivas, donde el umbral de reincidente es 2).
En estos casos, el número de reincidencias se establece en 2. El recuento se actualiza cada vez que se considera que un usuario es reincidente.
Nombre de la última simulación
Último resultado de la simulación
Último entrenamiento asignado
Último estado de entrenamiento
Seleccione Filtrar para filtrar el gráfico y la tabla de detalles por uno o varios valores de tipo de simulación:
- Cosecha de credenciales
- Adjunto de malware
- Enlace en archivo adjunto
- Enlace a malware
Cuando haya terminado de configurar los filtros, seleccione Aplicar, Cancelar o Borrar filtros.
Utilice el cuadro Buscar para filtrar los resultados por cualquiera de los valores de columna. No se admiten los caracteres comodín.
Use el botón Exportar informe para guardar la información en un archivo CSV. El nombre de archivo predeterminado es Attack simulation report - Microsoft Defender.csv y la ubicación predeterminada es la carpeta Descargas local. Si ya existe un informe exportado en esa ubicación, se incrementa el nombre de archivo (por ejemplo, Informe de simulación de ataque - Microsoft Defender (1).csv).
Consejo
Si la propiedad Departamento de Microsoft Entra ID está rellena para los usuarios, puede exportar la información de este informe para identificar los departamentos que fueron más vulnerables a las simulaciones de suplantación de identidad completadas.
Informe de simulación en el entrenamiento con simulación de ataque
El informe de simulación muestra los detalles de las simulaciones en curso o completadas (el valor Estado es En curso o Completado). Para ver el informe de simulación, use cualquiera de los métodos siguientes:
En la pestaña Información general de la página Entrenamiento con simulación de ataque de https://security.microsoft.com/attacksimulator?viewid=overview, seleccione una simulación en la tarjeta Simulaciones recientes.
En la pestaña Simulaciones de la página Entrenamiento de simulación de ataque de https://security.microsoft.com/attacksimulator?viewid=simulations, seleccione una simulación haciendo clic en cualquier lugar de la fila que no sea la casilla situada junto al nombre. Para obtener más información, vea Ver informes de simulación.
- En la pestaña Entrenamiento de la página Entrenamiento de simulación de ataque de https://security.microsoft.com/attacksimulator?viewid=trainingcampaign, seleccione la campaña de entrenamiento mediante cualquiera de los métodos siguientes:
- Haga clic en cualquier lugar de la fila que no sea la casilla situada junto al nombre.
- Active la casilla situada junto al nombre y, a continuación, seleccione
Ver informe.
Para obtener más información, consulte Ver informes de campañas de entrenamiento.
La página de informe que se abre contiene las pestañas Informe, Usuarios y Detalles que contienen información sobre la simulación. En el resto de esta sección se describe la información disponible en la pestaña Informe .
Las secciones de la pestaña Informe de una simulación se describen en las subsecciones siguientes.
Para obtener más información sobre las pestañas Usuarios y Detalles , consulte los vínculos siguientes.
- Simulaciones:
-
Consejo
Si la propiedad Departamento de Microsoft Entra ID está rellena para los usuarios, puede exportar la información de la pestaña Usuarios para identificar los departamentos que fueron más vulnerables a una simulación de suplantación de identidad completada.
-
- Campañas de formación:
Informes para simulaciones de código QR
Puede seleccionar cargas de código QR para usarlas en simulaciones. El código QR reemplaza la dirección URL de phishing como la carga útil que se usa en el mensaje de correo electrónico de simulación. Para obtener más información, consulte Cargas útiles del código QR.
Dado que los códigos QR son un tipo diferente de URL de suplantación de identidad, los eventos de usuario relativos a lectura, eliminación, compromiso y clic siguen siendo los mismos. Por ejemplo, al examinar el código QR se abre la dirección URL de phishing, por lo que se realiza un seguimiento del evento como un evento de clic. Los mecanismos existentes para realizar el seguimiento de los eventos de compromiso, eliminación y notificación siguen siendo los mismos.
Si exporta un informe de simulación a un archivo CSV, la columna EmailLinkClicked_ClickSource está disponible con los valores siguientes:
-
PhishingURL: el usuario ha hecho clic en el vínculo de suplantación de identidad en el mensaje de correo electrónico de simulación. -
QRCode: el usuario ha examinado el código QR en el mensaje de correo electrónico de simulación.
Otras métricas, como las lecturas, las confirmaciones, las eliminaciones y los mensajes notificados, se siguen rastreando sin ninguna otra actualización. Para obtener más información, la sección Apéndice más adelante en este artículo.
Informe de simulación para simulaciones
En esta sección se describe la información del informe de simulación para simulaciones regulares (no campañas de entrenamiento).
Sección de impacto de simulación en el informe para simulaciones
En la sección Impacto de simulación de la pestaña Informe ** de una simulación se muestra el número y el porcentaje de usuarios comprometidos y usuarios que informaron del mensaje.
Consejo
Los mensajes de simulación notificados por herramientas que no son de Microsoft no se capturan en los informes de simulación de ataques.
Si mantiene el puntero sobre una sección del gráfico, se muestran los números reales de cada categoría.
Seleccione Ver usuarios comprometidos para ir a la pestaña Usuarios del informe donde los resultados se filtran por Comprometido: Sí.
Seleccione Ver los usuarios que notificaron para ir a la pestaña Usuarios del informe, donde los resultados se filtran por Mensaje notificado: Sí.
Sección Toda la actividad del usuario en el informe de simulaciones
La sección Toda la actividad del usuario de la pestaña Informe** para una simulación muestra números de los posibles resultados de la simulación. La información varía en función del tipo de simulación. Por ejemplo:
- Se hizo clic en el vínculo del mensaje o Se hizo clic en el vínculo adjunto o Se abrió el archivo adjunto
- Credenciales proporcionadas
- Leer mensaje
- Mensaje eliminado
- Respondió al mensaje
- Mensaje reenviado
- Fuera de la oficina
Seleccione Ver todos los usuarios para ir a la pestaña Usuarios del informe, donde los resultados no están filtrados.
Sección Estado de entrega en el informe para simulaciones
En la sección Estado de entrega de la pestaña Informe ** de una simulación se muestran los números de los posibles estados de entrega del mensaje de simulación. Por ejemplo:
- Mensaje recibido correctamente
- Mensaje de refuerzo positivo entregado
- Solo se entregó el mensaje de simulación
Seleccione Ver los usuarios a los que no se les pudo entregar el mensaje para ir a la pestaña Usuarios del informe, donde los resultados se filtran por Entrega del mensaje de simulación: no se pudo entregar.
Seleccione Ver usuarios o grupos excluidos para abrir un control flotante Usuarios o grupos excluidos que muestre los usuarios o grupos excluidos de la simulación.
Sección de finalización del entrenamiento en el informe para simulaciones
La sección Finalización del entrenamiento de la página de detalles de la simulación muestra los entrenamientos necesarios para la simulación y cuántos usuarios completaron los entrenamientos.
Si no se incluyó ningún entrenamiento en la simulación, el único valor de esta sección es Los entrenamientos no formaban parte de esta simulación.
Sección Primera & instancia promedio en el informe de simulaciones
La sección Primera & instancia promedio de la pestaña Informe** para una simulación muestra información sobre el tiempo que se tardó en realizar acciones específicas en la simulación. Por ejemplo:
- Primer clic en el vínculo
- Clic promedio en el vínculo
- Primera credencial introducida
- Credencial promedio introducida
Sección recomendaciones del informe para simulaciones
La sección Recomendaciones de la pestaña Informe** para una simulación muestra recomendaciones para usar el entrenamiento con simulación de ataque para ayudar a proteger la organización.
Informe de simulación para campañas de entrenamiento
En esta sección se describe la información del informe de simulación para las campañas de entrenamiento (no simulaciones).
Sección de clasificación de finalización de entrenamiento en el informe de campañas de entrenamiento
La sección Clasificación de finalización del entrenamiento de la pestaña Informe ** de una campaña de entrenamiento muestra información sobre los módulos de entrenamiento completados en la campaña de entrenamiento.
Sección de resumen de finalización de la formación en el informe de campañas de formación
La sección Resumen de finalización del entrenamiento de la pestaña Informe** para una campaña de entrenamiento usa gráficos de barras que muestran la progresión de los usuarios asignados a través de todos los módulos de entrenamiento de la campaña (número de usuarios / número total de usuarios):
- Completado
- En curso
- Sin iniciar
- No completado
- Asignado anteriormente
Puede mantener el puntero sobre una sección del gráfico para ver el porcentaje real en cada categoría.
Sección Toda la actividad del usuario en el informe para las campañas de entrenamiento
La sección Actividad de todos los usuarios de la pestaña Informe ** de una campaña de entrenamiento usa un gráfico de barras para mostrar cuántos usuarios recibieron correctamente la notificación de entrenamiento (número de usuarios / número total de usuarios).
Puede pasar el cursor por encima de una sección del gráfico para ver los números reales de cada categoría.
Apéndice
Al exportar información de los informes, el archivo CSV contiene más información que la que se muestra en el informe, aunque se muestren todas las columnas. Los campos se describen en la tabla siguiente.
Consejo
Para obtener información máxima, compruebe que todas las columnas disponibles del informe estén visibles antes de exportar.
Los mensajes de simulación notificados por herramientas que no son de Microsoft no se capturan en los informes de simulación de ataques.
| Nombre del campo | Descripción |
|---|---|
| UserName | Nombre de usuario del usuario que realizó la actividad. |
| UserMail | Dirección de correo electrónico del usuario que realizó la actividad. |
| Comprometido | Indica si el usuario se vio comprometido. Los valores son Sí o No. |
| AttachmentOpened_TimeStamp | Cuando se abrió la carga útil adjunta en las simulaciones de Datos adjuntos de malware. |
| AttachmentOpened_Browser | Cuando se abrió la carga útil del archivo adjunto en un explorador web en simulaciones de archivo adjunto de malware. Esta información procede de UserAgent. |
| AttachmentOpened_IP | La dirección IP donde se abrió la carga útil adjunta en las simulaciones de Datos adjuntos de malware. Esta información procede de UserAgent. |
| AttachmentOpened_Device | Dispositivo en el que se abrió el archivo adjunto en simulaciones de adjuntos de malware. Esta información procede de UserAgent. |
| AttachmentLinkClicked_TimeStamp | Cuando se hizo clic en la carga útil del vínculo adjunto en las simulaciones de Vínculo en datos adjuntos. |
| AttachmentLinkClicked_Browser | El explorador web que se usó para hacer clic en la carga útil del vínculo adjunto en las simulaciones de Vínculo en datos adjuntos. Esta información procede de UserAgent. |
| AttachmentLinkClicked_IP | Dirección IP en la que se hizo clic en el enlace del archivo adjunto en las simulaciones de Vínculo en archivo adjunto. Esta información procede de UserAgent. |
| AttachmentLinkClicked_Device | El dispositivo en el que se hizo clic en la carga útil del vínculo adjunto en las simulaciones de Vínculo en datos adjuntos. Esta información procede de UserAgent. |
| EmailLinkClicked_TimeStamp | Cuando se hizo clic en la carga útil del vínculo en las simulaciones de Recolección de credenciales, Vínculo a malware, Drive-by URL y Concesión de consentimiento OAuth. |
| EmailLinkClicked_Browser | El explorador web que se usó para hacer clic en la carga útil del vínculo en las simulaciones de Recolección de credenciales, Vínculo a malware, Drive-by URL y Concesión de consentimiento OAuth. Esta información procede de UserAgent. |
| EmailLinkClicked_IP | La dirección IP donde se hizo clic en la carga útil del vínculo en las simulaciones de Recolección de credenciales, Vínculo a malware, Drive-by URL y Concesión de consentimiento OAuth. Esta información procede de UserAgent. |
| EmailLinkClicked_Device | El dispositivo donde se hizo clic en la carga útil del vínculo en las simulaciones de Recolección de credenciales, Vínculo a malware, Drive-by URL y Concesión de consentimiento OAuth. Esta información procede de UserAgent. |
| EmailLinkClicked_ClickSource | Si el enlace de carga útil se seleccionó haciendo clic en una dirección URL o escaneando un código QR en las simulaciones de Credential Harvest, Link to Malware, Drive-by-url y OAuth Consent Grant. Los valores son PhishingURL o QRCode. |
| CredSupplied_TimeStamp(Compromised) | Cuando el usuario escribió sus credenciales. |
| CredSupplied_Browser | Explorador web que se usó cuando el usuario introdujo sus credenciales. Esta información procede de UserAgent. |
| CredSupplied_IP | Dirección IP donde el usuario especificó sus credenciales. Esta información procede de UserAgent. |
| CredSupplied_Device | El dispositivo donde el usuario introdujo sus credenciales. Esta información procede de UserAgent. |
| SuccessfullyDeliveredEmail_TimeStamp | Cuando el mensaje de correo electrónico de simulación se entregó al usuario. |
| MessageRead_TimeStamp | Cuando se leyó el mensaje de simulación. |
| MessageDeleted_TimeStamp | Cuando se eliminó el mensaje de simulación. |
| MessageReplied_TimeStamp | Cuando el usuario respondió al mensaje de simulación. |
| MessageForwarded_TimeStamp | Cuando el usuario reenvió el mensaje de simulación. |
| OutOfOfficeDays | Determina si el usuario está fuera de la oficina. Esta información procede de la configuración Respuestas automáticas en Outlook. |
| PositiveReinforcementMessageDelivered_TimeStamp | Cuando el mensaje de refuerzo positivo se entregó al usuario. |
| PositiveReinforcementMessageFailed_TimeStamp | Cuando el mensaje de refuerzo positivo no se pudo entregar al usuario. |
| JustSimulationMessageDelivered_TimeStamp | Cuando el mensaje de simulación se entregó al usuario como parte de una simulación sin entrenamientos asignados (no se seleccionó ningún entrenamiento en la página Asignar entrenamiento del nuevo asistente de simulación). |
| JustSimulationMessageFailed_TimeStamp | Cuando el mensaje de correo electrónico de simulación no se pudo entregar al usuario y la simulación no tenía formaciones asignadas. |
| TrainingAssignmentMessageDelivered_TimeStamp | Cuando el mensaje de asignación de entrenamiento se entregó al usuario. Este valor está vacío si no se asignaron formaciones en la simulación. |
| TrainingAssignmentMessageFailed_TimeStamp | Cuando el mensaje de asignación de entrenamiento no se pudo entregar al usuario. Este valor está vacío si no se asignó ninguna formación en la simulación. |
| FailedToDeliverEmail_TimeStamp | Cuando el mensaje de correo electrónico de simulación no se pudo entregar al usuario. |
| Última actividad de simulación | La última actividad de simulación del usuario (si lo superó o se vio comprometido). |
| Formaciones asignadas | Lista de entrenamientos asignados al usuario como parte de la simulación. |
| Formaciones completadas | Lista de entrenamientos completados por el usuario como parte de la simulación. |
| Estado de la formación | Estado actual de los entrenamientos para el usuario como parte de la simulación. |
| Suplantación de identidad notificada el | Cuando el usuario notificó el mensaje de simulación como suplantación de identidad (phishing). |
| Departamento | Valor de la propiedad Department del usuario en Microsoft Entra ID en el momento de la simulación. |
| Empresa | Valor de propiedad Company del usuario en Microsoft Entra ID en el momento de la simulación. |
| Título | Valor de la propiedad Title del usuario en Microsoft Entra ID en el momento de la simulación. |
| Office | Valor de propiedad de Office del usuario en Microsoft Entra ID en el momento de la simulación. |
| Ciudad | Valor de la propiedad City del usuario en Microsoft Entra ID en el momento de la simulación. |
| País | Valor de la propiedad Country del usuario en Microsoft Entra ID en el momento de la simulación. |
| Administrador | Valor de la propiedad Manager del usuario en Microsoft Entra ID en el momento de la simulación. |
Señales de actividad del usuario
En la tabla siguiente se describe cómo se capturan las señales de actividad del usuario.
| Campo | Descripción | Lógica de cálculo |
|---|---|---|
| DownloadAttachment | Un usuario descargó el archivo adjunto. | La señal procede del cliente (por ejemplo, Outlook o Word). |
| Datos adjuntos abiertos | Un usuario abrió el archivo adjunto. | La señal procede del cliente (por ejemplo, Outlook o Word). |
| Leer mensaje | El usuario leyó el mensaje de simulación. | Las señales de lectura de mensajes pueden experimentar problemas en los siguientes escenarios:
|
| Fuera de la oficina | Determina si el usuario está fuera de la oficina. | Calculado actualmente por la configuración De respuestas automáticas de Outlook. |
| Usuario comprometido | El usuario se vio comprometido. La señal de compromiso varía en función de la técnica de ingeniería social. |
|
| Se hizo clic en el vínculo del mensaje | El usuario ha hecho clic en el enlace de payload en el mensaje de simulación. Para la técnica Drive-by URL, un evento de clic también conduce al compromiso. | La dirección URL de la simulación es única para cada usuario, lo que permite el seguimiento de la actividad del usuario individual. La inspección automatizada de la URL de la carga útil por parte de servicios de seguridad, servicios de filtrado no Microsoft o el reenvío de correos electrónicos puede provocar falsos positivos. Utiliza EmailLinkClicked_IP, EmailLinkClicked_Browser, EmailLinkClicked_Device y la marca temporal del evento para ayudar a distinguir la probable actividad del usuario de la actividad automatizada. Para obtener más información, consulte Veo eventos de clic o de compromiso de usuarios que insisten en que no hicieron clic en el vínculo del mensaje de simulación O veo clics unos segundos después de la entrega para muchos usuarios (falsos positivos). ¿Qué está pasando? |
| Mensaje reenviado | El usuario reenvió el mensaje. | |
| Respondió al mensaje | El usuario respondió al mensaje. | |
| Mensaje eliminado | El usuario eliminó el mensaje. | La señal procede de la actividad de Outlook del usuario. Si el usuario notifica el mensaje como suplantación de identidad (phishing), el mensaje podría moverse a la carpeta Elementos eliminados, lo que se considera una eliminación. |
| Permisos concedidos | El usuario compartió permisos en una simulación de concesión de consentimiento de OAuth. Esta acción también se considera un evento comprometido. |
¹ El vínculo en el que se ha hecho clic puede ser una dirección URL seleccionada o un código QR escaneado.
Comportamiento del desencadenador de asignación del entrenamiento por técnica
Al elegir Seleccionar yo mismo los cursos y módulos de formación para las asignaciones de formación en simulaciones y automatizaciones de simulación, puede usar los siguientes desencadenadores para asignar formación:
- Todos los usuarios
- Carga útil con clic
- Comprometido
Pero no todos los desencadenadores de asignación de formación se aplican a todas las técnicas de ingeniería social. En la tabla siguiente se resumen los desencadenadores de asignación de entrenamiento disponibles y recomendados por técnica:
| Técnica | Asignación del entrenamiento: Todos los usuarios |
Asignación del entrenamiento: Carga útil con clic |
Asignación del entrenamiento: Vulnerado |
Recomendación |
|---|---|---|---|---|
| Robo de credenciales | Compatible | Compatible | Compatible | Utilice cualquier activador de asignación de formación en función de su estrategia de formación. |
| Adjunto malicioso | Compatible | No aplicable (sin evento de clic) | Compatible | Asigne el entrenamiento para Todos los usuarios o Comprometidos. No asigne el entrenamiento para Carga útil con clic. |
| Enlace en el archivo adjunto | Compatible | Compatible | Compatible | Utilice cualquier activador de asignación de formación en función de su estrategia de formación. |
| Enlace a malware | Compatible | Compatible | Compatible | Use cualquier asignación de entrenamiento desencadenante en función de su estrategia de entrenamiento. |
| URL de drive-by | Compatible | No recomendado (clic = compromiso) | Compatible | Asigne el entrenamiento para Todos los usuarios o Comprometidos. |
| Concesión de consentimiento OAuth | Compatible | Compatible | Compatible | Utilice cualquier desencadenador de asignación de formación en función de la estrategia de formación. |
Enlaces relacionados
Introducción al uso del entrenamiento con simulación de ataque