ITP con Entra ID

No olvides la última parte del paso 6, Completa y confirma el registro: envía un correo a Stoïk con tu ID de inquilino. Sin él, la monitorización no puede activarse de nuestro lado.

CrowdStrike cambió esta integración en 2026. El conector de Entra ID ahora se configura como un registro de Azure en Falcon Cloud Connectors. Ya no creas manualmente una aplicación, un secreto de cliente ni un rol personalizado. Si ya configuraste el conector anterior, consulta Migración desde el conector heredado.

Objetivo de ITP

Identity Threat Protection (ITP) supervisa continuamente la actividad de las cuentas y Active Directory para detectar comportamientos anómalos.

• Análisis de comportamiento centrado en la identidad: detecta autenticaciones sospechosas, patrones de acceso inusuales, intentos de inicio de sesión no autorizados y anomalías en las cuentas de usuario. Algunos ejemplos son conexiones sospechosas de estaciones de trabajo a servidores, análisis de red, intentos de fuerza bruta y extracción de credenciales. El módulo puede bloquear automáticamente eventos críticos.

• Estado de seguridad de Active Directory: ofrece una visión en tiempo real de la seguridad de AD, con opciones más avanzadas que el análisis Stoïk Protect AD. Identifica problemas de configuración, cuentas con contraseñas comprometidas y problemas de gestión de privilegios.

• Monitorización de amenazas en la nube (opcional): una vez conectado Entra ID, ITP ingiere tus cuentas en la nube e híbridas, los registros de auditoría de Entra ID, los registros de inicio de sesión y los registros de actividad de Azure. Correlaciona la actividad SSO con tus cuentas locales y detecta inicios de sesión desde direcciones IP sospechosas e intentos de acceso anómalos.

Requisitos previos

• Una licencia Microsoft Entra ID P1 o P2 . Microsoft Entra ID Free no es compatible.

• Una suscripción de Azure en el inquilino. CrowdStrike despliega allí sus recursos de ingesta de registros.

• Una persona con el Administrador global o Administrador de roles con privilegios rol en Entra ID, para conceder el consentimiento de administrador.

• Una persona con el Propietario y Propietario de Azure Deployment Stack roles de Azure a nivel de Grupo raíz del inquilino , para implementar los recursos.

• Una Cuenta de la consola Falcon con los permisos para configurar el conector. Stoïk la crea por ti en el paso 1.

El rol de Administrador global en Entra ID no concede los roles de Azure anteriores. Deben asignarse explícitamente al nivel del Grupo raíz del inquilino; de lo contrario, la implementación falla.

Integración

Realizas toda la configuración tú mismo desde tu consola Falcon. Stoïk te da el acceso que necesitas y verifica el resultado. No se intercambia ningún secreto con Stoïk: las credenciales de la API de CrowdStrike necesarias para la implementación las generas tú en la consola y solo se usan en tu propio Azure Cloud Shell.

Completa este proceso para cada inquilino de Entra ID.

Paso	Quién
1. Obtener acceso a tu consola Falcon	Tú y Stoïk
2. Comprueba tus roles de Azure	Tú (administrador de Azure)
3. Crear el registro de Azure en Falcon	Tú
4. Conceder consentimiento de administrador	Tú (Administrador global o Administrador de roles con privilegios)
5. Implementar los recursos desde Azure Cloud Shell	Tú (administrador de Azure)
6. Completar y confirmar el registro	Tú, luego Stoïk
7. Conceder acceso de remediación a Stoïk	Tú (Administrador global)

Idealmente, la misma persona realiza los pasos 3 a 6 y dispone de los roles de Entra ID y Azure indicados arriba. De lo contrario, planifica una breve sesión con las personas implicadas: el asistente debe permanecer abierto desde el paso 3 hasta el paso 6.

1

Obtener acceso a tu consola Falcon

1. Correo electrónico [e-mail] con el nombre y correo electrónico de la persona que realizará la configuración.

2. Stoïk crea una cuenta de usuario de Falcon para esta persona, con los permisos necesarios para configurar el conector de Entra ID.

3. La persona recibe un correo electrónico de activación de CrowdStrike. Configura su contraseña y MFA, y luego inicia sesión en la consola Falcon.

2

Comprueba tus roles de Azure

La persona que realiza la implementación abre Azure Cloud Shell en Bash y ejecuta:

az role assignment list \

  --assignee $(az ad signed-in-user show --query id -o tsv) \

  --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \

  --include-groups \

  --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \

  -o table

La salida debe listar ambos Propietario y Propietario de Azure Deployment Stack. Si falta alguno de los roles, haz que se asigne al nivel del Grupo raíz del inquilino antes de continuar.

Si no puedes ver ni administrar el Grupo raíz del inquilino, un Administrador global debe habilitar primero la administración del acceso para los recursos de Azure en Entra ID > Propiedades. Esto les da derecho a asignar los roles anteriores. Luego puedes desactivarlo de nuevo.

3

Crear el registro de Azure en Falcon

Antes de empezar, copia de tus consolas de Microsoft:

• el ID del inquilino: Centro de administración de Microsoft Entra > Entra ID > Información general

• el ID de la suscripción donde se implementarán los recursos de CrowdStrike: Portal de Azure > Suscripciones

Luego, en la consola Falcon:

1. Abre el asistente:

   • Si tienes un conector heredado de Entra ID, ve a Protección de identidad > Configuración > Configuraciones > Conectores y haz clic en Actualizar ahora sobre él. El asistente se abre con tu inquilino precargado.

   • De lo contrario, ve a Conectores > Conectores de nube > Conexiones de nube, abre la Azure pestaña y haz clic en Agregar nuevo registro. Si se te solicita, selecciona Nuevos métodos de implementación, luego Siguiente.

2. Parámetros de registro: introduce un nombre de registro, tu ID del inquilino de Microsoft Entra, selecciona Bicep e introduce el ID de la suscripción. Haz clic en Continuar con la configuración estándar.

3. Funciones: selecciona Visibilidad y detección en tiempo real, luego Siguiente.

4. Configuración avanzada: deja Quiero personalizar los permisos de Entra ID sin marcar. Cambia la región de los recursos de ingesta de registros solo si es necesario. Haz clic en Siguiente.

5. Credenciales de API: haz clic en Generar cliente de API. Copia el ID de cliente y secreto de cliente y tenlos a mano para el paso 5. El secreto solo se muestra una vez. Haz clic en Listo, luego Siguiente.

Guarda el secreto de cliente para ti. Nunca lo envíes por correo electrónico, chat o ticket, ni siquiera a Stoïk. Solo lo necesitas en Azure Cloud Shell durante el paso 5.

4

Conceder consentimiento de administrador

Este paso debe realizarlo un Administrador global o un Administrador de roles con privilegios. Sin el consentimiento de administrador, Falcon no puede leer los datos de Entra ID y Identity Protection no funcionará.

1. En la Implementar configuración página del asistente, haz clic en Conceder consentimiento de administrador e inicia sesión con tu cuenta de administrador de Microsoft.

2. Comprueba que el ID del inquilino en la URL coincida con tu inquilino.

3. Revisa los permisos solicitados y haz clic en Aceptar.

4. De vuelta en el asistente, haz clic en Verificar.

La aplicación creada por CrowdStrike solo tiene solo lectura permisos sobre tu directorio.

5

Implementa los recursos desde Azure Cloud Shell

1. En la Implementar configuración página, abre la Bash pestaña y haz clic en Descargar ZIP para obtener crowdstrike-fcs-azure-bicep-generated.zip.

2. En Azure Cloud Shell (Bash), carga el archivo ZIP.

3. Descomprímelo:

   unzip crowdstrike-fcs-azure-bicep-generated.zip

4. Comprueba que el archivo de parámetros esté presente:

   ls parameters.bicepparam

   Si el archivo no aparece en la lista, comprueba que hayas cargado y descomprimido el archivo correcto.

5. Copia los comandos que se muestran en la Bash pestaña y ejecútalos en orden:

   • az login -t '<tenant ID>'

   • export FALCON_CLIENT_SECRET=<client secret from step 3>

   • az stack mg create ..., que implementa la plantilla Bicep

6. Espera hasta que termine el último comando. El terminal parece inactivo mientras se ejecuta la implementación y solo muestra errores. Esto es normal.

6

Completa y confirma el registro

1. En el asistente, haz clic en Validar y completar.

2. En la Azure pestaña de Conexiones de nube, el registro primero muestra Pendiente, luego Activo. Espera aproximadamente 2 horas para que aparezcan los datos.

3. El registro está completo cuando ambos Activos y Visibilidad y detección en tiempo real muestran Activo.

4. Correo electrónico [e-mail] con tu ID de inquilino. Stoïk comprueba el registro y activa la monitorización de su lado.

Una vez que el registro esté activo, Stoïk elimina los permisos de configuración de tu cuenta Falcon.

7

Conceder acceso de remediación a Stoïk

Si una cuenta se ve comprometida fuera del horario laboral, tu equipo puede no estar disponible. Conceder este acceso permite a Stoïk deshabilitar las cuentas afectadas una vez confirmado un compromiso.

1. Inicia sesión como Administrador global y abre el enlace de consentimiento de administrador.

2. Revisa los permisos solicitados y haz clic en Aceptar.

3. Llegarás a una página en blanco. Puedes cerrarla.

La aplicación solo puede habilitar o deshabilitar cuentas existentes. No puede crear cuentas ni cambiar otros atributos. Cada acción requiere MFA, se registra y se marca con hora. Stoïk puede proporcionar el registro de auditoría completo si se solicita.

Migración desde el conector heredado

Si configuraste el conector anterior de Entra ID (aplicación stoik-connector-itp con un secreto de cliente), debe migrarse:

1. Solicita tu acceso a la consola Falcon (paso 1).

2. Completa los pasos 2 a 6. En el paso 3, parte de Actualizar ahora en el conector heredado.

3. Una vez que el nuevo registro esté activo, el conector heredado muestra Listo para desmantelar. Elimínalo en Protección de identidad > Configuración > Configuraciones > Conectores, o pide a Stoïk que lo haga.

4. Luego puedes eliminar la antigua stoik-connector-itp aplicación, su secreto de cliente y el lector RBAC de Identity Protection rol personalizado de tu inquilino. Ya no se usan.

Consola Falcon autogestionada

Si gestionas tu propia consola Falcon, omite el paso 1 y usa una cuenta con permisos para administrar registros en la nube y clientes de API. Sigue los pasos 2 a 7.