El uso de Microsoft 365 es común entre las organizaciones. Lamentablemente, también lo son las configuraciones incorrectas.

MFA no aplicada de forma consistente

La autenticación multifactor (MFA) es el control técnico individual más eficaz para prevenir la toma de control de una cuenta, ya que detiene el 99 % de los ataques automatizados. Pero no basta con tener MFA si no se aplica de forma consistente en todos los usuarios y aplicaciones. La aplicación inconsistente puede surgir por "valores predeterminados de seguridad" deshabilitados o por políticas de "acceso condicional" con exclusiones amplias. Por ejemplo, una organización podría exigir MFA para usuarios estándar, pero excluir cuentas de servicio o aplicaciones heredadas.

El tipo de MFA también es fundamental. Técnicas modernas como el push bombing y el adversario en el medio (AitM) pueden eludir métodos de MFA más débiles mediante phishing. Las organizaciones de alto riesgo deben priorizar una MFA resistente al phishing, como las llaves de seguridad FIDO2 o Windows Hello for Business.

Privilegios administrativos excesivos

Los privilegios administrativos en Microsoft 365, en particular el rol de Administrador global (GA), tienen un control extenso sobre el entorno. Una configuración incorrecta común es asignar privilegios de GA a demasiadas personas o usar estas cuentas para tareas rutinarias que no son administrativas. Si alguno de estos usuarios se ve comprometido mientras realiza tareas diarias, como revisar el correo o navegar por internet, el atacante obtiene de inmediato un nivel crítico de acceso.

La gestión de identidades privilegiadas (PIM) o el acceso justo a tiempo (JIT) pueden limitar esta vulnerabilidad al otorgar privilegios de administrador para una tarea específica y revocarlos de inmediato después.

Autenticación heredada habilitada

Los métodos de autenticación básica heredados para conectarse a Exchange Online, como POP3, IMAP y SMTP AUTH con autenticación básica, no son compatibles con la autenticación moderna (OAuth), lo que significa que no puedes aplicar MFA en esas sesiones. Incluso si ya implementaste MFA de manera amplia, dejar habilitada la autenticación básica para estos protocolos les da a los atacantes una forma de eludirla con ataques de password spray o credential stuffing.

Reglas riesgosas de reenvío de buzones

Una vez que un atacante toma el control de un buzón, establece rápidamente persistencia y recopilación de datos, a menudo creando una regla automática de reenvío de buzón. Esto envía una copia de cualquier correo entrante o saliente al atacante. Luego, puede revisar estos mensajes en busca de facturas para manipular o datos sensibles para exfiltrar. También usa reglas de bandeja de entrada para ocultar su rastro, por ejemplo, creando reglas que mueven automáticamente las alertas de seguridad a carpetas ocultas. Muchos inquilinos de Microsoft 365 ahora bloquean el reenvío externo automático de forma predeterminada, pero esta configuración a menudo se cambia para respaldar una necesidad de negocio (por ejemplo, reenviar correo de la mesa de ayuda a un CRM externo) o nunca se aplicó en entornos más antiguos. Otras configuraciones incorrectas incluyen alertas mal configuradas para la creación de nuevas reglas.

Configuraciones débiles de uso compartido y acceso

Las configuraciones de uso compartido de Microsoft 365 suelen priorizar la colaboración sin fricciones por encima de la seguridad. Las configuraciones de "cualquiera con el enlace" en SharePoint y OneDrive permiten a los usuarios generar enlaces anónimos a archivos sensibles. Estos enlaces se pueden reenviar a cualquier persona en internet, con una visibilidad limitada sobre quién accede a los datos. No restringir el acceso externo ni supervisar los permisos de usuarios invitados abre la puerta para que los atacantes exfiltren datos sensibles, suban archivos maliciosos y recolecten metadatos para ataques de spear-phishing.

Los riesgos de las configuraciones incorrectas en Microsoft 365 van más allá del acceso inicial hasta la explotación a largo plazo. Dado que permiten a los atacantes iniciar sesión como usuarios legítimos, las acciones de un intruso son naturalmente más sigilosas. Pueden pasar desapercibidos durante un período prolongado mientras escalan privilegios silenciosamente y modifican aún más las configuraciones para establecer persistencia.

En entornos muy ocupados, donde los equipos de TI suelen estar escasos de personal y abrumados por el volumen de tickets, las configuraciones de seguridad a menudo se dejan "configuradas y olvidadas". Esto permite que se filtre la desviación de configuración. Un administrador podría bajar temporalmente una configuración de seguridad para solucionar un problema de acceso de un usuario y luego olvidar revertirla. Alternativamente, una actualización de Microsoft podría introducir nuevas funciones o configuraciones que no estén cubiertas por las políticas existentes. Controlar esta desviación de configuración requiere monitoreo de la configuración de Microsoft 365.

Para proteger tu negocio, empieza por aquí cuando comiences a evaluar la configuración de seguridad de Microsoft 365.

Configuración de identidad y autenticación

El endurecimiento de la seguridad de las identidades es la primera línea de defensa. Las organizaciones deben realizar una auditoría integral de los métodos de autenticación, que incluya:

• Para entornos de mayor seguridad, considera eliminar gradualmente la MFA por SMS y voz en favor de la app Microsoft Authenticator o las llaves FIDO2.
• Bloquear todos los protocolos de autenticación heredados a nivel de inquilino.
• Implementar políticas de acceso condicional que bloqueen los inicios de sesión de alto riesgo y exijan MFA para todo acceso a aplicaciones en la cloud.

Una herramienta como la gestión de la postura de seguridad de identidad (ISPM) puede monitorear continuamente los riesgos relacionados con identidades, como configuraciones incorrectas, privilegios excesivos, cuentas inactivas y vacíos en las políticas.

Asignaciones de roles de administrador

El principio de privilegio mínimo (PoLP) debe aplicarse estrictamente.

• Revisa y reduce la cantidad de administradores globales al mínimo viable.
• Traslada las tareas administrativas a roles específicos de cada servicio (por ejemplo, administrador de SharePoint, administrador de Exchange) en lugar de usar el administrador global para todo.
• Audita el "acceso permanente" e implementa acceso JIT para los roles con privilegios elevados.

Flujo de correo y comportamiento de reenvío

Se debe revisar la configuración de Exchange Online para evitar la exfiltración de datos. Los pasos clave incluyen:

• Deshabilitar el reenvío automático a dominios externos (se encuentra en la sección "Dominios remotos" del Centro de administración de Exchange).
• Auditar regularmente las reglas de bandeja de entrada creadas por los usuarios en busca de patrones sospechosos, especialmente palabras clave relacionadas con transacciones financieras o alertas de seguridad.
• Configurar los protocolos de autenticación de correo (SPF, DKIM y DMARC) para prevenir la suplantación de dominio.

Cobertura de registro y monitoreo

En seguridad, la visibilidad lo es todo, ya sea para monitorear configuraciones, detectar amenazas o demostrar el cumplimiento normativo.

El monitoreo de la configuración de Microsoft 365 se puede hacer a un nivel general con "Secure Score" y "Compliance Manager". Para un monitoreo más profundo, los administradores pueden usar Microsoft 365 DSC (Desired State Configuration) para aplicar líneas base, o las API de Tenant Configuration Management (TCM) para rastrear cambios en Entra ID, Teams y Exchange.

Verifica que la auditoría unificada esté habilitada y que los registros se conserven durante un período acorde con tus requisitos de cumplimiento normativo. Para la mayoría de las licencias que no son E5, Microsoft 365 Audit (Standard) ahora conserva los registros de auditoría unificada durante 180 días de forma predeterminada, mientras que E5 y Microsoft Purview Audit (Premium) extienden la retención a un año o más. Muchas organizaciones todavía exportan los registros o los envían a un SIEM cuando necesitan una retención más larga.

Si bien garantizar configuraciones adecuadas es un primer paso fundamental, un enfoque de defensa en profundidad añade una capa adicional al garantizar que cualquier compromiso de identidad se detenga rápidamente antes de que el atacante pueda causar daño. Una solución gestionada de detección y respuesta ante amenazas de identidad (ITDR) como Huntress Managed ITDR permite el monitoreo en tiempo real de anomalías relacionadas con identidades, como el "viaje imposible" (un usuario que inicia sesión en Nueva York y luego en Londres diez minutos después). Patrones como descargas masivas de archivos desde SharePoint o OneDrive se detectan mejor mediante alertas de Microsoft Purview o consultas de SIEM que correlacionan eventos de acceso a archivos. Luego, se pueden investigar junto con la telemetría de identidad de herramientas como Managed ITDR.

Las amenazas a la identidad son notoriamente difíciles de detectar porque pueden parecer actividad legítima de un usuario. Esto permite a los atacantes pasar desapercibidos durante largos períodos mientras escalan privilegios, se mueven lateralmente y se enfocan en los activos de mayor valor.

Huntress Managed ITDR ayuda a detectar y responder a la actividad sospechosa de identidad y de Microsoft 365 antes de que se convierta en un compromiso mayor. Al identificar señales sutiles de compromiso, como una regla de bandeja de entrada no autorizada o patrones de inicio de sesión anormales, nuestro ITDR y el SOC disponible 24/7 ayudan a reducir el tiempo de permanencia del atacante. Las alertas son validadas por humanos y enriquecidas con contexto para que los analistas puedan detectar ataques que las herramientas automatizadas podrían pasar por alto, reducir los falsos positivos y apoyar una contención rápida.