> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-en-es/mdr/deploy/crowdstrike/add-on/itp.md). # ITP con Entra ID Conecta cada inquilino de Entra ID con CrowdStrike Identity Threat Protection (ITP) creando un registro de Azure desde tu consola Falcon. Al final, envías a Stoïk el ID de tu inquilino para que se pueda activar la supervisión. ## Requisitos previos * Una **Microsoft Entra ID P1 o P2** licencia. Microsoft Entra ID Free no es compatible. * Una **suscripción de Azure** en el inquilino. CrowdStrike implementa allí sus recursos de ingestión de registros. * Una persona con el **Administrador global** o **Administrador de roles con privilegios** rol en Entra ID, para conceder el consentimiento de administrador. * Una persona con el **Propietario** y **Propietario de Azure Deployment Stack** roles de Azure en el **Grupo raíz del inquilino** nivel, para implementar los recursos. * Una **cuenta de la consola Falcon** con los permisos para configurar el conector. Stoïk la crea por ti en el paso 1. {% hint style="warning" %} El rol de Administrador global en Entra ID hace **no** conceder los roles de Azure anteriores. Deben asignarse explícitamente en el nivel del Grupo raíz del inquilino; de lo contrario, la implementación falla. {% endhint %} ## Propósito de ITP ITP supervisa continuamente la actividad de las cuentas y Active Directory para detectar comportamientos anómalos. * **Análisis de comportamiento centrado en la identidad:** detecta autenticaciones sospechosas, patrones de acceso inusuales, intentos de inicio de sesión no autorizados y anomalías en las cuentas de usuario. Entre los ejemplos se incluyen conexiones sospechosas de estación de trabajo a servidor, exploraciones de red, intentos de fuerza bruta y extracción de credenciales. El módulo puede bloquear automáticamente eventos críticos. * **Postura de seguridad de Active Directory:** proporciona una vista en tiempo real de la seguridad de AD, con opciones más avanzadas que el análisis de AD de Stoïk Protect. Identifica problemas de configuración, cuentas con contraseñas comprometidas y problemas de gestión de privilegios. * **Monitorización de amenazas en la nube (opcional):** una vez que Entra ID esté conectado, ITP ingiere tus cuentas en la nube e híbridas, los registros de auditoría de Entra ID, los registros de inicio de sesión y los registros de actividad de Azure. Correlaciona la actividad de SSO con tus cuentas locales y detecta inicios de sesión desde direcciones IP sospechosas e intentos de acceso anómalos. ## Integración CrowdStrike cambió esta integración en 2026: el conector de Entra ID ahora se configura como un **registro de Azure** en Falcon Cloud Connectors. Ya no creas manualmente una aplicación, un secreto de cliente ni un rol personalizado. Si ya configuraste el conector anterior, consulta [Migración desde el conector heredado](#migrating-from-the-legacy-connector). Realizas toda la configuración tú mismo desde tu consola Falcon, **para cada inquilino de Entra ID**. Stoïk te da el acceso que necesitas y comprueba el resultado. **No se comparte ningún secreto con Stoïk**: generas las credenciales de API de CrowdStrike en la consola y solo las utilizas en tu propia Azure Cloud Shell. Idealmente, la misma persona realiza los pasos 3 a 6 y dispone de los roles de Entra ID y Azure anteriores. De lo contrario, planifica una breve sesión con las personas implicadas: el asistente debe permanecer abierto desde el paso 3 hasta el paso 6.
Quién hace qué
PasoQuién
1. Obtener acceso a tu consola FalconTú y Stoïk
2. Comprobar tus roles de AzureTú (administrador de Azure)
3. Crear el registro de Azure en FalconTú
4. Conceder consentimiento de administradorTú (Administrador global o Administrador de roles con privilegios)
5. Implementar los recursos desde Azure Cloud ShellTú (administrador de Azure)
6. Completar y confirmar el registroTú, luego Stoïk
7. Conceder acceso de remediación a StoïkTú (Administrador global)
{% stepper %} {% step %} ### Obtener acceso a tu consola Falcon 1. Correo electrónico con el **nombre y correo electrónico** de la persona que realizará la configuración. 2. Stoïk crea una cuenta de usuario de Falcon para esta persona, con los permisos necesarios para configurar el conector de Entra ID. 3. La persona recibe un correo electrónico de activación de CrowdStrike. Establece su contraseña y **MFA**, luego inicia sesión en la [consola Falcon](https://falcon.eu-1.crowdstrike.com). {% endstep %} {% step %} ### Comprobar tus roles de Azure La persona que realiza la implementación abre [Azure Cloud Shell](https://shell.azure.com) en **modo Bash** y ejecuta: ```bash az role assignment list \\ --assignee $(az ad signed-in-user show --query id -o tsv) \\ --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \\ --include-groups \\ --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \\ -o table ``` La salida debe enumerar ambos **Propietario** y **Propietario de Azure Deployment Stack**. Si falta cualquiera de los roles, asígnalo en el nivel del Grupo raíz del inquilino antes de continuar.
No puedes ver ni administrar el Grupo raíz del inquilino Un Administrador global primero debe habilitar `la administración de acceso para recursos de Azure` en `Entra ID` > `Propiedades`. Esto les da derecho a asignar los roles anteriores. Después, puedes volver a desactivarlo.
{% endstep %} {% step %} ### Crear el registro de Azure en Falcon Antes de empezar, copia de tus consolas de Microsoft: * el `ID de inquilino`: [Centro de administración de Microsoft Entra](https://entra.microsoft.com) > `Entra ID` > `Resumen` * el `ID de suscripción` donde se implementarán los recursos de CrowdStrike: [portal de Azure](https://portal.azure.com) > `Suscripciones` Luego, en la consola Falcon: 1. **Abre el asistente:** * Si tienes un conector heredado de Entra ID, ve a `Protección de identidad` > `Configuración` > `Configuraciones` > `Conectores` y haz clic en **Actualizar ahora** en él. El asistente se abre con tu inquilino ya rellenado. * De lo contrario, ve a `Conectores` > `Conectores en la nube` > `Conexiones en la nube`, abre la `Azure` pestaña y haz clic en **Agregar nuevo registro**. Si se te solicita, selecciona **Nuevos métodos de implementación**, luego **Siguiente**. 2. **Parámetros del registro:** introduce un nombre de registro, tu `ID de inquilino de Microsoft Entra`, seleccione `Bicep` e introduce el `ID de suscripción`. **Continuar con la configuración estándar**. 3. **Características:** selecciona `Visibilidad y detección en tiempo real`, luego **Siguiente**. 4. **Configuración avanzada:** deja `Quiero personalizar los permisos de Entra ID` sin marcar. Cambia la región de los recursos de ingestión de registros solo si es necesario. Haz clic en **Siguiente**. 5. **Credenciales de API:** haz clic en **Generar cliente de API**. Copia el `ID de cliente` y `secreto de cliente` y tenlos a mano para el paso 5. El secreto solo se muestra una vez. Haz clic en **Hecho**, luego **Siguiente**. {% hint style="warning" %} Guarda el secreto de cliente para ti. Nunca lo envíes por correo electrónico, chat o ticket, ni siquiera a Stoïk. Solo lo necesitas en Azure Cloud Shell durante el paso 5. {% endhint %} {% endstep %} {% step %} ### Conceder consentimiento de administrador Lo realiza un Administrador global o un Administrador de roles con privilegios. Sin el consentimiento de administrador, Falcon no puede leer los datos de Entra ID y Identity Protection no funcionará. 1. En la `Implementar configuración` página del asistente, haz clic en **Conceder consentimiento de administrador** e inicia sesión con tu cuenta de administrador de Microsoft. 2. Comprueba que el **el ID de inquilino en la URL coincida con tu inquilino**. 3. Revisa los permisos solicitados y haz clic en **Aceptar**. 4. De vuelta en el asistente, haz clic en **Verificar**. La aplicación creada por CrowdStrike solo tiene **de solo lectura** permisos en tu directorio. {% endstep %} {% step %} ### Implementar los recursos desde Azure Cloud Shell 1. En la `Implementar configuración` página, abre la `modo Bash` pestaña y haz clic en **Descargar ZIP** para obtener `crowdstrike-fcs-azure-bicep-generated.zip`. 2. En Azure Cloud Shell (Bash), carga el archivo ZIP. 3. Descomprímelo: ```bash unzip crowdstrike-fcs-azure-bicep-generated.zip ``` 4. Comprueba que el archivo de parámetros está presente: ```bash ls parameters.bicepparam ``` Si el archivo no aparece en la lista, comprueba que has cargado y descomprimido el archivo correcto. 5. Copia los comandos que se muestran en la `modo Bash` pestaña y ejecútalos en orden: * `az login -t ''` * `export FALCON_CLIENT_SECRET=` * `az stack mg create ...`, que implementa la plantilla Bicep 6. Espera hasta que termine el último comando. La terminal parece inactiva mientras se ejecuta la implementación y solo muestra errores. Esto es normal. {% endstep %} {% step %} ### Completar y confirmar el registro 1. En el asistente, haz clic en **Validar y completar**. 2. En la `Azure` pestaña de `Conexiones en la nube`, el registro primero muestra `pendiente`, luego `Activo`. Permite aproximadamente **2 horas** para que aparezcan los datos. 3. El registro se completa cuando ambos `Activos` y `Visibilidad y detección en tiempo real` muestran `Activo`. {% hint style="warning" %} Correo electrónico con tu ID de inquilino. Stoïk comprueba el registro y activa la supervisión de su lado. Sin él, la supervisión no puede activarse. {% endhint %} Una vez que el registro está activo, Stoïk elimina los permisos de configuración de tu cuenta de Falcon. {% endstep %} {% step %} ### Conceder acceso de remediación a Stoïk Si una cuenta se ve comprometida fuera del horario laboral, tu equipo puede no estar disponible. Conceder este acceso permite a Stoïk deshabilitar las cuentas afectadas una vez que se confirme un compromiso. 1. Inicia sesión como Administrador global y abre el [enlace de consentimiento de administrador](https://login.microsoftonline.com/organizations/adminconsent?client_id=72f25200-dfe6-4c66-959d-103731ae6215\&redirect_uri=https://login.microsoftonline.com/common/oauth2/nativeclient). 2. Revisa los permisos solicitados y haz clic en **Aceptar**. 3. Llegarás a una página en blanco. Puedes cerrarla.
Qué puede hacer la aplicación de remediación La aplicación solo puede habilitar o deshabilitar cuentas existentes. No puede crear cuentas ni cambiar otros atributos. Cada acción requiere MFA, se registra y lleva marca de tiempo. Stoïk puede proporcionar el registro de auditoría completo si lo solicita.
{% endstep %} {% endstepper %} ## Migración desde el conector heredado Si configuraste el [conector anterior de Entra ID](/help/help-center-en-es/mdr/deploy/crowdstrike/add-on/itp-legacy.md) (aplicación `stoik-connector-itp` con un secreto de cliente), debe migrarse: 1. Solicita acceso a tu consola Falcon (paso 1). 2. Completa los pasos 2 a 6. En el paso 3, empieza desde **Actualizar ahora** en el conector heredado. 3. Una vez que el nuevo registro esté activo, el conector heredado muestra `Listo para desmantelamiento`. Elimínalo en `Protección de identidad` > `Configuración` > `Configuraciones` > `Conectores`, o pide a Stoïk que lo haga. 4. Luego puedes eliminar la antigua `stoik-connector-itp` aplicación, su secreto de cliente y el `Lector RBAC de Identity Protection` rol personalizado de tu inquilino. Ya no se utilizan. ## Consola Falcon autoadministrada Si administras tu propia consola Falcon, omite el paso 1 y utiliza una cuenta con permisos para administrar registros en la nube y clientes de API. Sigue los pasos 2 a 7. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-center-en-es/mdr/deploy/crowdstrike/add-on/itp.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.