En promedio, las organizaciones tienen 30 configuraciones incorrectas conocidas y de alto riesgo sin resolver, según una encuesta reciente de Huntress/UserEvidence a profesionales de TI y seguridad. Dado este rezago y el posible impacto en los usuarios finales, las organizaciones suelen adoptar un enfoque de triaje, abordando primero las brechas más críticas.

Brechas de cobertura y aplicación de MFA

La autenticación multifactor (MFA) es posiblemente el control fundamental más importante en la gestión de identidades de Entra ID. CISA estima que la MFA hace que un usuario tenga 99% menos probabilidades de ser hackeado. Y sin embargo, la MFA no suele aplicarse de forma consistente. Una sola cuenta sin MFA deja a tu empresa vulnerable a una amplia variedad de tácticas de abuso de credenciales. Si bien la MFA no es negociable, los entornos maduros deberían dejar atrás los métodos de autenticación heredados (por ejemplo, SMS, llamadas de voz y notificaciones push estándar), que son vulnerables a ataques de interceptación y de fatiga de MFA. En su lugar, aplica MFA resistente a phishing (por ejemplo, llaves de seguridad FIDO2, Windows Hello for Business), especialmente para las cuentas administrativas.

Políticas de acceso condicional

Los atacantes sofisticados encuentran otras formas de evadir la MFA estándar, como los ataques de adversario en el medio (AiTM). Usando kits de herramientas como Tycoon 2FA, los atacantes configuran un servidor proxy entre la víctima y la página de inicio de sesión de Microsoft. Cuando el usuario inicia sesión, el atacante intercepta sus credenciales y el token de autenticación de la sesión. El usuario no tiene idea de que ocurrió algo sospechoso, mientras el atacante obtiene acceso inmediato.

Para protegerse contra AiTM, las políticas de acceso condicional de Entra ID deben evaluar señales como la ubicación del usuario, el estado del dispositivo y los patrones de inicio de sesión riesgosos, en lugar de depender solo de credenciales de inicio de sesión estáticas. Muchas de las identidades con privilegios excesivos y las configuraciones incorrectas destacadas en el informe Known Gaps, Open Doors se pueden mitigar con políticas de acceso condicional bien diseñadas que bloqueen los inicios de sesión desde ubicaciones sospechosas, VPN no confiables o dispositivos no administrados.

Asignaciones de administrador global y roles con privilegios

En la gestión de identidades y accesos de Microsoft 365, el rol de administrador global tiene acceso de escritura sin restricciones en todos los servicios. Cuantas más cuentas tengan este rol asignado de forma permanente, mayor es el riesgo de que la organización sufra un compromiso a nivel de todo el inquilino. Es buena idea tener más de un administrador global, pero no más de los necesarios.

Estas cuentas deben ser identidades exclusivas de la cloud y estar estrictamente separadas de los proveedores de identidad on-premises o federados. Esta separación física ayuda a evitar que un compromiso de Active Directory on-prem escale lateralmente hacia la cloud.

Salvo por cuentas de emergencia (“break glass”) cuidadosamente controladas, las organizaciones deben evitar privilegios de administrador global permanentes. Mediante el acceso justo a tiempo (JIT) a través de la gestión de identidades con privilegios (PIM), las organizaciones pueden restringir los privilegios elevados a una ventana específica para una tarea y luego revocarlos al finalizar.

Cuentas obsoletas y usuarios inactivos

Un vector de ataque común y de alto riesgo son las cuentas inactivas, que se acumulan cuando los empleados se van, terminan los proyectos de contratistas o quedan activas cuentas de prueba. Estas cuentas son riesgosas porque suelen pasar desapercibidas en el monitoreo de seguridad diario. Las cuentas más antiguas incluso pueden ser anteriores a los requisitos modernos de MFA, lo que las hace susceptibles a credential stuffing o a la explotación para movimiento lateral y escalada de privilegios.

Las cuentas sin inicio de sesión durante seis meses deberían deshabilitarse durante varias semanas para probar si causan alguna interrupción operativa, y luego eliminarse o archivarse según los requisitos de retención de la organización.

Reglas de reenvío de buzón riesgosas

El Compromiso del correo electrónico empresarial (BEC) es una amenaza primordial para las organizaciones. Una vez que un atacante accede a una cuenta de correo corporativa, puede usarla para hacer phishing a otros empleados o iniciar transacciones fraudulentas. Por lo general, hacen esto configurando reglas de buzón que reenvían correos que contienen términos como “factura” o “pago” a un dominio controlado por el atacante, para luego insertarse en el proceso de facturación. El reenvío automático de correos a dominios externos debe deshabilitarse a menos que esté explícitamente autorizado para dominios de socios verificados.

Una vez que se abordan los riesgos de mayor prioridad, las organizaciones pueden continuar con la siguiente fase de la gestión de identidades de Microsoft 365 para cerrar otras brechas de seguridad relevantes.

Acceso de invitados y uso compartido externo

En el entorno empresarial interconectado de hoy, donde las organizaciones comparten datos sensibles con proveedores y contratistas externos, las cuentas de usuarios invitados deben gestionarse con rigor. Con demasiada frecuencia, estas cuentas conservan acceso a los directorios internos mucho después de que termina la colaboración. Los privilegios sin restricciones permiten que actores externos ejecuten consultas de directorio, descubran datos de empleados y recopilen correos internos como objetivos de phishing. Los usuarios invitados deben limitarse a la visibilidad del directorio y a los recursos necesarios para su propósito comercial. La capacidad de invitar usuarios debe restringirse a cuentas seleccionadas.

Permisos de consentimiento de aplicaciones

Stealthware y otras aplicaciones maliciosas de OAuth son otra técnica que usan los atacantes para evadir MFA. En este escenario, los actores de amenazas crean una aplicación falsa en su propio inquilino de Microsoft y le otorgan permisos poderosos. Luego envían un correo de phishing con un enlace que activa una ventana emergente legítima de Microsoft, preguntando si el usuario desea otorgar permisos de acceso a la aplicación. Al hacer clic en "aceptar", el hacker puede entrar en el Outlook o el OneDrive del usuario cuando quiera.

Aunque Microsoft ahora restringe de forma predeterminada que los usuarios normales aprueben aplicaciones de terceros riesgosas, este cambio no revoca los permisos que ya se otorgaron en el pasado. Los equipos de seguridad deben auditar el "OAuth en la sombra" existente para encontrar cualquier concesión de aplicaciones riesgosas. Además, las organizaciones deben habilitar el flujo de consentimiento del administrador para que los empleados puedan solicitar aplicaciones y que sean revisadas por un administrador.

Cuentas de servicio

Así como las cuentas inactivas suelen pasarse por alto, las cuentas de servicio no humanas pueden escapar a los controles de seguridad. Estas identidades se crean para integraciones, scripts y aplicaciones en segundo plano, y fácilmente pueden superar en número a los usuarios humanos. También son riesgosas por naturaleza: rara vez se revisan, con frecuencia no están documentadas y por lo general no pueden realizar MFA interactiva. Las cuentas de servicio deben auditarse regularmente, y las organizaciones deben aplicar acceso condicional para restringir la autenticación de cuentas a rangos de IP de origen verificados o a recursos gestionados.

Autenticación heredada

Los protocolos de autenticación heredados (por ejemplo, POP, IMAP, SMTP AUTH) no admiten MFA ni verificaciones modernas de cumplimiento de dispositivos. Aunque están ampliamente en desuso, estos protocolos todavía se explotan con frecuencia en intentos de credential stuffing y ataques de rociado de contraseñas. Si bien Microsoft desactivó la autenticación básica de forma predeterminada para la mayoría de los inquilinos, los protocolos heredados a veces se reactivan sin querer para excepciones comerciales específicas. Las organizaciones deben usar acceso condicional para bloquear los protocolos heredados de forma global como medida de seguridad adicional.

Registro de auditoría y cobertura de alertas

La telemetría de seguridad y una retención de registros integral son fundamentales para evitar puntos ciegos de seguridad, razón por la cual los atacantes suelen intentar desactivar los registros o manipular la configuración de otra forma para ocultar su actividad.

Las organizaciones deben habilitar la auditoría unificada (UAL) en todo el inquilino de Microsoft 365 y configurar Entra ID para reenviar los tipos de registro esenciales (por ejemplo, AuditLogs, SignInLogs, RiskyUsers) a un el centro de operaciones de seguridad (SOC) centralizado o a una herramienta de Security Information and Event Management (SIEM) para el análisis de amenazas y las alertas activas.

Muy pocos aspectos de la ciberseguridad se configuran una vez y se olvidan, y los entornos SaaS son especialmente dinámicos. Un entorno que hoy es seguro puede ser inseguro mañana.

Los entornos de Microsoft 365 cambian constantemente

Microsoft 365 en sí es un ecosistema en constante evolución. Se agregan regularmente nuevas funciones de seguridad en segundo plano, configuraciones predeterminadas del inquilino, herramientas de colaboración e integraciones de software, muchas veces sin el conocimiento explícito ni la revisión formal del liderazgo de TI. Estos cambios pueden tener consecuencias inesperadas en otras áreas, incluidos efectos secundarios en el acceso condicional, el acceso de invitados o las políticas de consentimiento de aplicaciones.

Las excepciones comerciales pueden debilitar la base de referencia

Las excepciones de seguridad, incluso cuando están pensadas para ser temporales, pueden debilitar considerablemente la postura de seguridad. Por ejemplo, sincronizar sistemas con un tercero, como incorporar un nuevo proveedor o integrar una empresa adquirida, puede requerir acceso temporal a protocolos heredados. De manera similar, un contratista puede quedar temporalmente excluido de una política de MFA para ejecutar una integración urgente de bases de datos. Estas excepciones "temporales" a menudo no se documentan ni se programan para revocarse, dejando brechas de seguridad que pronto se olvidan, hasta que son explotadas.

La desviación de configuración crea nuevas brechas después del endurecimiento de la seguridad inicial

Las excepciones olvidadas son solo una forma en que la postura de seguridad se aleja gradualmente de una base de referencia endurecida. Las actualizaciones administrativas, los cambios de rol y la resolución de problemas improvisada erosionan la postura de seguridad de un entorno, a menos que se supervisen y corrijan de forma proactiva.

Defenderse contra amenazas centradas en la identidad requiere una defensa en profundidad. La plataforma de seguridad agéntica de Huntress aborda los ataques de identidad de dos maneras: nuestro Managed ISPM endurece continuamente tu entorno de Microsoft 365 al encontrar y corregir configuraciones erróneas, accesos riesgosos y deriva de políticas, además de aplicar políticas definidas por expertos en Entra, Exchange, SharePoint y más. Managed ITDR ayuda a detectar y responder rápidamente cuando aparece actividad de identidad sospechosa. Descubre más sobre cómo Huntress ayuda a tu organización a protegerse contra las sofisticadas amenazas de identidad actuales.