Obtenga el estado de MFA de los usuarios de Office 365 mediante Microsoft Graph PowerShell

Es hora de decir adiós al "Estado Get-MsolUser MFA". ¡Sí! Como todos sabemos, Microsoft planea dejar de usar el módulo MS Online y Azure AD PowerShell después de 2022. Entonces, es hora de usar el módulo Microsoft Graph PowerShell para obtener el estado MFA de los usuarios de Office 365 en su organización.

Si le gusta el módulo MS Online, puede utilizar nuestro script anterior para exportar el informe de estado de MFA. Utiliza el cmdlet Get-MsolUser y 'StrongAuthenticationMethods'. Puede utilizar este informe hasta que Microsoft lo deje obsoleto. Para aquellos que estén entusiasmados por usar Microsoft Graph para obtener el estado MFA, comencemos.

¿Cómo verificar el estado de MFA usando Microsoft Graph?

Puede ver el estado de MFA de los usuarios de Office 365 a través de Microsoft Graph API o Microsoft Graph PowerShell. Pero recuperar el estado de MFA mediante MS Graph es diferente del cmdlet Get-MsolUser.

Microsoft Graph no proporciona el estado de MFA directamente como habilitado, aplicado o deshabilitado. En su lugar, mostrará la lista de métodos de autenticación configurados para un usuario. Debe concluir el estado de MFA según el método de autenticación. Hemos documentado una lista de métodos de autenticación al final del blog.

Para hacerlo más sencillo, hemos creado un script de PowerShell analizando todos los desafíos y casos de uso. Este script lo ayudará a obtener el estado de MFA para todos los usuarios y métodos de autenticación mediante PowerShell.

Descarga del script: GetMFAStatusReport.ps1

Guiones destacados:

• El script exporta el estado de MFA para todos los usuarios.
• Puede filtrar los resultados según el estado de MFA. Es decir, puede exportar usuarios habilitados/deshabilitados de MFA por separado.
• Exporta el informe a un archivo CSV
• Puede filtrar el resultado para mostrar solo los usuarios con licencia .
• Puede generar un informe MFA para usuarios autorizados a iniciar sesión únicamente.
• Muestra el registro de MFA realizado a través de Acceso condicional y Valores predeterminados de seguridad también.
• ¡El guión es compatible con el programador! Por lo tanto, puedes automatizar la generación de informes fácilmente.
• Automáticamente instala el módulo Microsoft Graph PowerShell (si aún no está instalado) tras su confirmación.

Exportar informe de estado de Office 365 MFA: resultado de muestra:

El informe MFA exportado contiene los siguientes atributos:

• Nombre de usuario,
• UPN,
• Departamento,
• Estado de la licencia,
• Estado de inicio de sesión,
• métodos de autenticación,
• Estado de la AMF,
• teléfono MFA,
• Dispositivo configurado con Microsoft Authenticator,
• Información del autenticador de terceros,
• Detalles adicionales de MFA.

¿Cómo ejecutar el script de PowerShell 'Informe de estado de MFA'?

Método 1: El script obtendrá el estado MFA para todos los usuarios de Azure AD de forma predeterminada. Puede utilizar el siguiente formato para ejecutar el script.

.\GetMFAStatusReport.ps1

El archivo de salida se almacenará en el directorio de trabajo actual.

Método 2: Puede ejecutar este script utilizando la autenticación basada en certificados, como se menciona a continuación. Este método sería útil para programar el guión y obtener informes periódicos.

.\GetMFAStatusReport.ps1 -TenantId <TenantId> -ClientId <ClientId> -CertificateThumbprint&nbsp <CertThumbprint>

Si prefiere no invertir en certificados de CA, puede generar certificados autofirmados para fines internos y de prueba. Puede consultar el blog de conexión de MS Graph con certificados para registrarse y obtener certificados para una aplicación de Azure.

Método 3: Si desea generar un informe MFA para varios inquilinos, debe desconectar la sesión existente de MS Graph e ingresar la credencial de otro inquilino. Para cerrar la sesión existente, ejecute el script con el parámetro -CreateSession .

.\GetMFAStatusReport.ps1 -CreateSession

¿Cómo obtener un informe de estado de registro de MFA más granular?

Este script de PowerShell todo en uno le permite generar más de 5 informes de estado de Microsoft 365 MFA. He enumerado los casos de uso más necesarios a continuación.

• Obtenga el estado MFA para todos los usuarios
• Obtener informe de usuarios habilitados para MFA
• Enumerar usuarios de Azure AD sin MFA
• Identificar el estado de MFA para usuarios con licencia
• Exportar informe MFA para usuarios habilitados para iniciar sesión (excluye cuentas de usuario deshabilitadas)
• Encuentre usuarios con licencia sin MFA
• Identificar usuarios habilitados para iniciar sesión sin protección MFA
• Ver usuarios registrados por métodos de autenticación

Obtenga el estado MFA para todos los usuarios de Office 365:

Dado que la "autenticación con contraseña" es una autenticación primaria, no se considera un método de autenticación multifactor. Para verificar el estado de registro de MFA de todos los usuarios, puede ejecutar el script de la siguiente manera.

.\GetMFAStatusReport.ps1

Al consultar los atributos "Métodos de autenticación" y "Estado de MFA", puede identificar el estado de registro de MFA de los usuarios.

Nota: El módulo MS Online no puede enumerar nuevos métodos como FIDO2 y la autenticación de Windows Hello. Pero Microsoft Graph enumerará los métodos de autenticación desde FIDO2 hasta la autenticación sin contraseña.

Obtener informe de usuarios habilitados para MFA:

Para comprobar si MFA está habilitado en Office 365, puede generar un informe de usuarios habilitados para MFA. Puede utilizar el parámetro de cambio -MFAEnabled para obtener un lista de usuarios con MFA.

.\GetMFAStatusReport.ps1 -MFAEnabled

Mostrará MFA tanto "fuerte" como "débil". Si desea saber cómo se calcula el estado de MFA, puede consultar nuestra documentación en la parte inferior.

Obtener informe de usuarios inhabilitados de MFA:

Si las cuentas de Azure AD usan solo autenticación de contraseña, es muy propensa a sufrir ataques. Para identificar usuarios sin MFA, ejecute el script con el parámetro -MFADisabled.

.\GetMFAStatusReport.ps1 -MFADisabled

El informe mostrará a los usuarios sin métodos de autenticación MFA, como autenticación telefónica, FIDO2, Windows Hello for Business y la aplicación Microsoft Authenticator.

Identificar el estado de MFA para usuarios con licencia:

En lugar de generar un informe de MFA para todos los usuarios, puede exportar el estado de registro de MFA solo para los usuarios con licencia. Será útil filtrar buzones de correo compartidos y cuentas de antiguos empleados.

.\GetMFAStatusReport.ps1 -LicensedUsersOnly

El informe exportado contendrá todos los usuarios con licencia y su estado de MFA.

Exportar informe MFA para usuarios con acceso habilitado:

La mayoría de las organizaciones desactivan la cuenta del empleado cuando abandonan la organización. Para obtener el estado de MFA para los usuarios con permiso de inicio de sesión, ejecute el script utilizando el parámetro - SignInAllowedUsersOnly.

.\GetMFAStatusReport.ps1 -SignInAllowedUsersOnly

Buscar usuarios con licencia sin MFA:

Puede combinar uno o más parámetros para generar un informe de estado de MFA más granular. Para ver los usuarios con licencia deshabilitada de MFA, puede ejecutar el script de la siguiente manera.

.\GetMFAStatusReport.ps1 -MFADisabled -LicensedUsersOnly

Obtener usuarios habilitados para iniciar sesión sin MFA:

Iniciar sesión sin autenticación multifactor pone en peligro la cuenta. Identificar usuarios habilitados para iniciar sesión sin MFA es una de las formas más sencillas de proteger su negocio. Para obtener una lista de usuarios habilitados para iniciar sesión sin MFA, ejecute el script con el siguiente formato.

.\GetMFAStatusReport.ps1 -MFADisabled -SignInAllowedUsersOnly

Obtener usuarios registrados mediante el método de autenticación:

Para saber cuántos usuarios están registrados para cada método de autenticación, abra el informe con Excel y filtre el método de autenticación deseado en la columna 'Métodos de autenticación'. De esta forma, podrá obtener una lista de usuarios con autenticación FIDO2, usuarios registrados para autenticación sin contraseña, etc.

Lista de métodos de autenticación admitidos por Microsoft Graph

Puede consultar la siguiente tabla para saber más sobre cada método de autenticación.

1. PasswordAuthenticationMethod: es el método de autenticación predeterminado principal.
2. PhoneAuthenticationMethod: un usuario puede registrar su teléfono (SMS o llamada de voz) para la autenticación.
3. FIDO2AuthenticationMethod: el usuario puede usar la clave de seguridad FIDO2 para iniciar sesión en Microsoft 365.
4. MicrosoftAuthenticatorAuthenticationMethod: con la aplicación Microsoft Authenticator, los usuarios pueden autenticarse a través de Android e iOS.
5. PasswordlessMicrosoftAuthenticatorAuthenticationMethod (obsoleto): los usuarios pueden autenticarse sin contraseña a través de la aplicación Microsoft Authenticator.
6. EmailAuthenticationMethod: la autenticación de correo electrónico se puede utilizar en el autoservicio de restablecimiento de contraseña (SSPR).
7. WindowsHelloForBusinessAuthenticationMethod: Windows utiliza Windows Hello para autenticar usuarios. Es uno de los métodos de autenticación sin contraseña.
8. TemporaryAccessPassAuthenticationMethod: el pase de acceso temporal es un código de acceso de tiempo limitado que se utiliza para la autenticación.
9. SoftwareOathAuthenticationMethod: cuando un usuario utiliza una aplicación de autenticación de terceros o una aplicación que admite la especificación OATH para MFA.

¿Cómo se calcula el estatus MFA?

Según las consideraciones de seguridad para los métodos de autenticación disponibles, el estado de MFA se clasifica en tres clasificaciones: fuerte, débil y deshabilitado.

• Windows Hello para empresas, aplicación Microsoft Authenticator, clave de seguridad FIDO2 y autenticación telefónica: métodos de autenticación fuerte .
• Dado que los tokens de software OATH utilizan una aplicación de autenticación de terceros, se considera débil.
• La autenticación de correo electrónico solo se utiliza para SSPR. Por lo tanto, se considera deshabilitado.
• La autenticación de contraseña es una autenticación primaria. Por lo tanto, los usuarios que solo cuentan con autenticación con contraseña se consideran MFA deshabilitado.

Nota: Cuando un usuario utiliza un método de autenticación específico por primera vez, se agregará a la lista de métodos de autenticación utilizados por la cuenta.

Detecte amenazas de seguridad con auditoría MFA en Office 365:

La supervisión de los inicios de sesión de MFA puede proporcionar información sobre el comportamiento del usuario y ayudar a identificar tendencias o patrones que puedan indicar riesgos de seguridad. Por ejemplo, un aumento repentino en los errores de inicio de sesión de MFA puede indicar un ataque de phishing o una vulnerabilidad en su proceso de autenticación. Al monitorear los inicios de sesión de MFA, puede detectar y responder a posibles amenazas a la seguridad, como intentos de acceso no autorizados o fraude. Pero Microsoft no proporciona informes integrados para identificar fallas de inicio de sesión en MFA de una manera fácil de usar.

Si necesita dichos informes, puede probar la herramienta de informes AdminDroid Microsoft 365. AdminDroid proporciona los siguientes informes MFA,

• Inicio de sesión de MFA según el estado

  • Los inicios de sesión no pudieron pasar MFA
  • Todos los inicios de sesión exitosos en MFA

• Inicios de sesión de MFA basados en métodos de autenticación

  • Inicios de sesión de MFA mediante mensaje de texto
  • Inicios de sesión de MFA a través de notificación de aplicación móvil
  • Inicios de sesión de MFA mediante notificación de la aplicación del teléfono
  • Inicios de sesión de MFA mediante llamada telefónica
  • Informe resumido del recuento de inicios de sesión de la organización según el método de autenticación

• Informes de configuración de MFA

  • MFA configurada mediante acceso condicional
  • Usuarios con MFA
  • Usuarios sin MFA
  • Usuarios habilitados para MFA
  • Usuarios discapacitados de MFA
  • Usuarios activados por MFA
  • Usuarios no activados de MFA
  • Detalles del dispositivo MFA

Además, AdminDroid proporciona más de 1600 informes prediseñados y 20 paneles de control inteligentes y visualmente atractivos para conocer su entorno de Office 365 de un vistazo. Esta herramienta proporciona informes sobre informes, auditorías, análisis, estadísticas de uso, seguridad y cumplimiento de Office 365, etc.

Además, AdminDroid ofrece más de 100 informes gratuitos y varios paneles. Estos informes cubren varios aspectos, como información del usuario, licencias, detalles del grupo, miembros del grupo, dispositivos, actividades de inicio de sesión, cambios de contraseña, cambios de licencia y más. Si está buscando una solución para la auditoría y los informes de Azure AD, puede probar la herramienta gratuita de informes Office 365 de AdminDroid para experimentar sus capacidades usted mismo.

Espero que este blog lo ayude a obtener el estado MFA usando Microsoft Graph PowerShell y monitorear el uso de los métodos de autenticación de manera efectiva.