Microsoft Hizo Office 365 Más Seguro en Silencio en 2019, Pero Solo Si lo Activas

En octubre de 2019, Microsoft lanzó una función llamada Valores Predeterminados de Seguridad para todos los nuevos inquilinos de Microsoft 365 y Office 365 un paquete preconfigurado de configuraciones de seguridad que la empresa había determinado, basándose en el análisis de ataques en millones de inquilinos, que bloquearía la gran mayoría de los ataques comunes. Las configuraciones incluyen autenticación multifactor obligatoria para todos los usuarios y administradores, bloqueo de protocolos de autenticación heredados y el requisito de registro de MFA dentro de los 14 días posteriores a la creación de la cuenta. Los nuevos inquilinos obtienen estos valores predeterminados automáticamente. Si tu organización ha tenido un inquilino de Office 365 por algún tiempo, no obtuviste nada y la mayoría de los inquilinos existentes no tienen idea de que estas protecciones siquiera existen.

Qué Incluyen Realmente los Valores Predeterminados de Seguridad de Microsoft

• MFA obligatorio para todas las cuentas de administrador: Cada cuenta con privilegios de administrador debe completar MFA en cada inicio de sesión. Este solo control bloquea la gran mayoría de los ataques de compromiso de cuentas de administrador.
• Registro de MFA requerido para todos los usuarios: Todos los usuarios deben registrarse para MFA dentro de los 14 días posteriores a la creación de la cuenta y se les pide completar MFA para ciertos eventos de inicio de sesión.
• Bloqueo de autenticación heredada: Protocolos como Basic Auth, IMAP, POP3 y SMTP AUTH que no pueden soportar MFA moderno se bloquean. Esto elimina un vector de ataque importante que los atacantes usan específicamente para eludir el MFA.
• Protección de acciones privilegiadas: Acciones como acceder al portal de Azure, PowerShell o el Centro de Administración de Exchange siempre requieren MFA, incluso si un usuario ya se ha autenticado.

Cómo Habilitar los Valores Predeterminados de Seguridad en un Inquilino Existente

1. 1Inicia sesión en el portal de Azure en portal.azure.com como Administrador Global
2. 2Navega a Azure Active Directory → Propiedades
3. 3Haz clic en "Administrar valores predeterminados de seguridad" en la parte inferior de la página
4. 4Cambia "Habilitar valores predeterminados de seguridad" a Sí
5. 5Haz clic en Guardar

Eso es todo. Sin embargo, hay advertencias importantes antes de habilitar los Valores Predeterminados de Seguridad en un inquilino existente. Si tu organización usa clientes de correo heredados (versiones antiguas de Outlook, Apple Mail configurado con Basic Auth, o cualquier aplicación que use SMTP AUTH para correos automatizados), esas conexiones se romperán cuando habilites los Valores Predeterminados de Seguridad. Audita tus clientes de correo y cualquier aplicación que envíe correos antes de habilitarlos.

Si Tu Organización Usa Acceso Condicional, Omite los Valores Predeterminados de Seguridad

Los Valores Predeterminados de Seguridad y las políticas de Acceso Condicional son mutuamente excluyentes no puedes ejecutar ambos. Si tu inquilino ya tiene políticas de Acceso Condicional configuradas (normalmente a través de Azure AD Premium P1 o Microsoft 365 Business Premium), no habilites los Valores Predeterminados de Seguridad. En su lugar, audita tus políticas de Acceso Condicional existentes para asegurarte de que proporcionen al menos las mismas protecciones que los Valores Predeterminados de Seguridad.

El Problema de la Autenticación Heredada: Por Qué Importa Más de lo que Crees

Una de las cosas más valiosas que hacen los Valores Predeterminados de Seguridad es bloquear la autenticación heredada y vale la pena entender por qué esto importa tan específicamente. Los protocolos de correo heredados como IMAP y POP3, junto con versiones antiguas de Exchange ActiveSync, no soportan la autenticación multifactor moderna. Un atacante que obtiene un nombre de usuario y contraseña para un usuario en uno de estos protocolos puede autenticarse directamente en el correo sin activar nunca una indicación de MFA. Los datos de Microsoft indican que más del 99% de los ataques de pulverización de contraseñas y una mayoría significativa de los ataques de relleno de credenciales usan autenticación heredada. Bloquearla no es una molestia es eliminar uno de los vectores de ataque más explotados en Office 365.

• Audita qué clientes y aplicaciones en tu entorno usan autenticación heredada antes de bloquearla
• Infractores comunes: versiones antiguas de Outlook, iPhone Mail configurado con Basic Auth, cualquier sistema automatizado que envíe correos vía SMTP con nombre de usuario/contraseña
• Alternativas modernas: Outlook 2016 o más reciente, la aplicación móvil de Outlook, o autenticación de correo basada en OAuth para sistemas automatizados