Saltar al contenido principal
La remediación de usuarios aísla automáticamente (o manualmente) a los usuarios cuando están asociados a detecciones maliciosas. Si una detección coincide con una regla de veredicto con acciones de remediación de usuario configuradas, pero la remediación automática de identidad está desactivada de forma global o bloqueada por una directiva de grupo, la detección se escalará a su equipo. La remediación siempre está disponible de forma manual al revisar un caso y seleccionar Acciones > Remediar o Liberar.
La remediación automática no se realiza para detecciones de integraciones en beta. Si la detección la genera una integración en beta, Wirespeed omitirá la remediación automática y escalará el caso a su equipo. La remediación manual sigue disponible.

​
Acciones de remediación

Wirespeed puede realizar las siguientes acciones para remediar a un usuario:
  • Desactivar cuenta — impedir que el usuario inicie sesión
  • Exigir nuevo registro MFA — eliminar los métodos MFA registrados para que el usuario deba registrarse de nuevo en el próximo inicio de sesión que exija autenticación reforzada
  • Restablecer contraseña — forzar un cambio de contraseña en el próximo inicio de sesión
  • Revocar sesiones — terminar todas las sesiones de inicio de sesión activas
En las cuentas de Microsoft Entra sincronizadas desde Active Directory local, Wirespeed no puede restablecer la contraseña a través de Microsoft Graph y omite esa acción. Microsoft Graph puede informar de una desactivación de cuenta correcta, pero una sincronización posterior del directorio puede volver a activar la cuenta porque Active Directory local sigue siendo la autoridad. Wirespeed continúa con otras remediaciones configuradas, como revocar sesiones. Durante la remediación automática, el restablecimiento de contraseña omitido escala la detección para el seguimiento del analista. Restablezca la contraseña y desactive la cuenta en Active Directory local para que esas acciones sean duraderas.
Qué acciones aparecen en la interfaz y se ejecutan para una detección depende del proveedor de identidad conectado y de las acciones seleccionadas en la regla de veredicto coincidente.

​
Acciones de liberación

Cuando una detección se resuelve como benigna, Wirespeed puede revertir automáticamente la remediación del usuario:
  • Activar cuenta — volver a activar la cuenta de usuario para el inicio de sesión
Exigir nuevo registro MFA, Restablecer contraseña y Revocar sesiones son acciones de una sola vez y no requieren un paso de liberación independiente. Exigir nuevo registro MFA es destructiva: Wirespeed no puede restaurar los métodos de autenticación eliminados, y el usuario debe registrar métodos nuevos antes de satisfacer un desafío MFA.

​
VIP y NHI

Los usuarios VIP y NHI se gestionan mediante Grupos. Los grupos integrados VIP y NHI tienen la remediación desactivada de forma predeterminada, por lo que esas identidades no se remedian automáticamente aunque la remediación automática de identidad esté activada de forma global. La remediación manual desde el menú Acciones del caso sigue disponible. Revise cómo se representan los VIP y NHI en su entorno antes de activar la remediación en esos grupos.

​
Integraciones admitidas

Las acciones de remediación y liberación de usuarios están disponibles a través de los proveedores de identidad conectados, entre ellos: Cada integración admite un subconjunto de las acciones anteriores. El diálogo Remediar o Liberar solo muestra las acciones que puede realizar su integración conectada.