Seguridad de Active Directory y Microsoft 365: qué revisar en Entra ID, Intune, el correo y las bitácoras

Active Directory administra cuentas, equipos y permisos dentro de la red. Microsoft advierte que quien obtiene acceso privilegiado a un controlador de dominio puede modificar, dañar o destruir la base de datos del directorio, y con ella todos los sistemas que dependen de él. Entra ID hace lo mismo en la nube para Microsoft 365, y en una identidad híbrida ambos quedan unidos por la sincronización.

Esa unión es el punto delicado. Microsoft recomienda no asignar roles de Entra ID a cuentas sincronizadas desde el directorio local, porque si la cuenta local se compromete, también se comprometen los recursos en la nube. Revise ambos lados juntos. Una revisión que solo mira el directorio local o solo el portal de Microsoft 365 deja afuera justo el puente entre los dos.

En Active Directory hay tres grupos con los privilegios más altos por defecto: Enterprise Admins, Domain Admins y Administrators. Microsoft pide protegerlos, eliminar la membresía permanente y dar acceso temporal solo cuando hace falta. También pide no administrar un sistema de confianza desde un equipo de menor confianza y exigir múltiples factores en cada tarea administrativa.

De ahí viene el modelo de niveles. El nivel 0, que Microsoft ahora llama plano de control, agrupa lo que controla la identidad: controladores de dominio, sincronización con Entra ID y las cuentas que los administran. Las cuentas de ese nivel no inician sesión en servidores comunes ni en estaciones de trabajo. Si lo hacen, dejan credenciales de alto valor en equipos más expuestos.

En Entra ID las cifras son concretas. Microsoft recomienda menos de cinco personas con el rol de Administrador global y menos de diez asignaciones de roles privilegiados, más dos cuentas de acceso de emergencia que solo viven en la nube y no se asignan a ninguna persona. Con licencia P2, Privileged Identity Management permite activar un rol por tiempo limitado en lugar de tenerlo siempre.

Otro hallazgo común: la misma contraseña de administrador local en cientos de equipos. Windows LAPS, incluido sin costo en las versiones con soporte de Windows, rota una contraseña distinta por equipo y la guarda en Active Directory o en Entra ID.

La autenticación heredada son protocolos antiguos, como POP, IMAP o SMTP con usuario y contraseña, que no admiten un segundo factor. Según Microsoft, más del 97 por ciento de los ataques de relleno de credenciales y más del 99 por ciento de los de rociado de contraseñas usan esos protocolos. Un tenant puede tener MFA para todos y seguir abierto por ahí.

Hay dos caminos para cerrarla. Los valores predeterminados de seguridad, gratuitos, exigen registro de MFA a todos, MFA a los administradores y bloquean la autenticación heredada. El acceso condicional, que requiere Entra ID P1, permite reglas por grupo, aplicación y dispositivo. Microsoft sugiere crear cada política primero en modo de solo informe para ver a quién afectaría, y excluir las cuentas de emergencia para no quedar fuera del tenant.

Antes de bloquear, revise las bitácoras de inicio de sesión filtradas por aplicación cliente. Ahí aparecen las impresoras, los sistemas que envían correo y las cuentas de servicio que todavía usan protocolos viejos. Cada una necesita un plan, no una excepción permanente.

En Exchange Online, el reenvío automático de correo a direcciones externas se controla desde la directiva de spam saliente. El valor "Automático" se comporta distinto según la antigüedad del tenant, así que Microsoft recomienda fijarlo explícitamente en encendido o apagado. Un reenvío externo creado por una regla de bandeja es una forma silenciosa de sacar información.

En SharePoint y OneDrive, el nivel más abierto de uso compartido externo permite enlaces que cualquier persona abre sin iniciar sesión. Si su organización los necesita, puede obligar a que venzan en cierto número de días y limitarlos a lectura. También puede fijar un vencimiento automático para el acceso de invitados.

Intune aplica líneas base de seguridad a los equipos Windows. La línea base para Windows, en su configuración por defecto, cifra las unidades extraíbles con BitLocker y desactiva la autenticación básica, entre otros ajustes. Si usa varias líneas base a la vez, revise los conflictos: Microsoft advierte que distintas líneas base pueden traer valores diferentes para el mismo ajuste.

Entra ID guarda las bitácoras de auditoría y de inicio de sesión siete días con la licencia gratuita y 30 días con P1 o P2. La auditoría de Microsoft Purview, que registra actividad de Exchange, SharePoint, OneDrive y Entra ID, guarda 180 días en su versión estándar. Con licencias E5, la versión premium extiende la retención a un año para esos servicios.

Compare esas cifras con su norma. La Circular CNBS 025/2022 pide en Honduras conservar las bitácoras de auditoría de los sistemas y resguardar cinco años las transacciones y seis meses las consultas. La JM-98-2025 pide en Guatemala un registro de al menos doce meses de vulnerabilidades, amenazas, ataques e incidentes detectados. Si la retención de Microsoft se queda corta, las bitácoras tienen que exportarse a un almacenamiento o a un SIEM propio, y alguien tiene que revisarlas.

Cada punto debería poder mostrarse con una exportación o un reporte fechado.

• Lista de miembros de Enterprise Admins, Domain Admins y Administrators, con justificación de cada uno.
• Cuentas de nivel 0 que no inician sesión en servidores comunes ni en estaciones.
• Menos de cinco Administradores globales y menos de diez asignaciones de roles privilegiados en Entra ID.
• Roles de Entra ID asignados a cuentas solo en la nube, no sincronizadas.
• Dos cuentas de emergencia documentadas, con su uso vigilado.
• MFA exigido a todos los usuarios y, sin excepción, a los administradores.
• Autenticación heredada bloqueada, con las excepciones listadas y con fecha de retiro.
• Políticas de acceso condicional revisadas, con sus exclusiones justificadas.
• Contraseña de administrador local distinta por equipo con Windows LAPS.
• Reenvío automático externo de correo fijado explícitamente y reportes de reenvío revisados.
• Enlaces anónimos de SharePoint y OneDrive con vencimiento, y acceso de invitados que expira.
• Bitácoras de Entra ID y de Purview exportadas con la retención que pide su norma.

En Costa Rica y en el resto de la región, muchas entidades trabajan con un Active Directory local sincronizado con Entra ID y Microsoft 365. Eso deja dos superficies que se revisan por separado: el dominio en sus servidores y el inquilino en la nube. Un error en cualquiera de las dos alcanza a la otra.

La norma costarricense también lo toca. El Acuerdo CONASSIF 5-24, en su Art. 23, pide a las entidades que usan servicios en la nube tener bajo su control la administración de usuarios y privilegios de acceso a esos servicios, contar con registro, monitoreo y alarma de eventos de seguridad y vigilar los servicios para detectar cambios no deseados. El Art. 24 pide mantener documentados los controles administrativos y técnicos de esos servicios a disposición de la Superintendencia. Microsoft 365 es un servicio en la nube, y la revisión de su configuración es parte de esa documentación.

En El Salvador, la NRP-32 pide en su Art. 7 autenticación de múltiples factores en toda cuenta que acceda por internet y en las cuentas privilegiadas, y en su Art. 12 soluciones de administración de dispositivos móviles. La NRP-23, Art. 11, pide procedimientos formales para cuentas privilegiadas y revisiones periódicas de los derechos concedidos. En Guatemala, la JM-98-2025 pide en su Art. 40 literal g) métodos seguros de autenticación para acceder a servicios contratados con terceros que procesan o almacenan información. En Honduras, el Art. 15 de la Circular CNBS 025/2022 permite la nube siempre que se contemplen los controles de seguridad para proteger los datos.