Implementación de valores predeterminados de seguridad: una guía detallada - Informes de Office 365

¡Hola administradores de tecnología! Es posible que sepa que Microsoft dejó de usar su función de Política de referencia el 29 de febrero de 2020. Los valores predeterminados de seguridad que la reemplazaron han estado generando un gran revuelo sobre cuán flexible puede llegar a ser. Bueno, entendemos lo esencial que es para usted comprender las configuraciones preconfiguradas de los valores predeterminados de seguridad para utilizarlas en su beneficio. ¡No hay problema! ¡Te cubrimos!

En este blog, le brindamos información sobre las consideraciones de implementación de Security Default, varios métodos de implementación, errores que puede encontrar y más sobre las medidas alternativas que puede utilizar si Security Defaults no satisface las necesidades granulares de su organización.

Habilitar los valores predeterminados de seguridad a través de su portal de Azure.

1. Inicie sesión en el portal de Azure como administrador de seguridad, administrador de acceso condicional o administrador global.
2. Vaya a Azure Active Directory>Propiedades.
3. Seleccione Administrar valores predeterminados de seguridad.
4. Establezca el interruptor Activar valores predeterminados de seguridad en Sí.
5. Seleccione Guardar.

Todo lo que debes saber sobre los valores predeterminados de seguridad:

Nuevo usuario:

Si es un usuario nuevo, la función Valores predeterminados de seguridad está habilitada de forma predeterminada para usted, pero si necesita acceso de seguridad granular de alto nivel y exclusión de usuarios para cuentas de servicio y de seguridad, no es el público objetivo de los Valores predeterminados de seguridad. En tal escenario, puede configurar la Política de seguridad de acceso condicional común o la Política de acceso condicional personalizada, pero antes de configurarlas, primero deberá deshabilitar los Valores predeterminados de seguridad y luego configurar las Políticas de acceso condicional según las necesidades de su organización, como se muestra aquí.

Usuario existente:

• Si ya es un usuario, asegúrese de que ninguna de sus aplicaciones utilice autenticación heredada.

• Si alguna aplicación se identifica mediante protocolos de autenticación heredados, adopte una autenticación moderna para aquellas, ya que los valores predeterminados de seguridad bloquean la autenticación heredada.

• Asegúrese de que todos los usuarios de su organización cumplan con el registro de MFA dentro de los 14 días, ya que una mayor demora impedirá que el usuario realice cualquier acción. También es fundamental tener en cuenta que para los usuarios con acciones privilegiadas, el registro en la aplicación de autenticación de Microsoft es obligatorio. No se pondría a disposición de los usuarios de acciones privilegiadas un período de registro de MFA de 14 días. Si ya es un usuario y no ha habilitado ninguna configuración de seguridad básica, los valores predeterminados de seguridad se habilitarán de forma predeterminada.

Errores que puede encontrar al intentar habilitar los valores predeterminados de seguridad:

Error 1:

Parece que tiene habilitada la política de protección básica, la versión preliminar de los valores predeterminados de seguridad. Al habilitar los valores predeterminados de seguridad se eliminarán todas las políticas de protección de referencia de su inquilino, ya que los valores predeterminados de seguridad son la versión más actualizada.

Es probable que experimente este error si ha habilitado alguna o todas las políticas básicas; en tal caso, habilitar los valores predeterminados de seguridad puede provocar la eliminación de cualquier política básica vigente. Sin embargo, debe tenerse en cuenta que, debido a la obsolescencia de la política de referencia, si anteriormente habilitó las políticas de referencia, tendrá que optar por Valores predeterminados de seguridad o configurar Condicional Política de acceso.

Error 2:

Es como si tuviera habilitada una política de acceso de condición personalizada. Habilitar una política de acceso condicional le impide habilitar los valores predeterminados de seguridad. Puede utilizar el acceso condicional para configurar políticas que permitan el mismo comportamiento proporcionado por los valores predeterminados de seguridad.

Si ha configurado alguna política de acceso condicional personalizada, es posible que se produzca este error.

• La implementación de una política de acceso condicional le impedirá habilitar los valores predeterminados de seguridad
• Para implementar los valores predeterminados de seguridad, deberá deshabilitar todas las políticas de acceso condicional vigentes.

Factores que debería considerar antes de implementar los valores predeterminados de seguridad.

Caso 1:

La MFA: - Consideraciones para la MFA con respecto a los valores predeterminados de seguridad.

A continuación se detallan las medidas que debe considerar con respecto a la cuenta de usuario en su inquilino asociado para garantizar una implementación sin problemas

• Es importante identificar si alguna política corporativa impide que los empleados utilicen dispositivos móviles mientras trabajan porque influirá en la autenticación multifactor implementada a través de los valores predeterminados de seguridad. Si su organización tiene una política que impide el uso de dispositivos móviles, entonces debería considerar una de las siguientes opciones: -

• Implemente una aplicación de contraseña única basada en tiempo (TOTP) que pueda ejecutarse en un sistema seguro.

• Autenticaciones sin contraseña disponibles para MFA.

Ahora puede disfrutar de una experiencia de uso sin contraseña habilitando técnicas de autenticación sin contraseña, como llave de seguridad FIDO2, Windows Hello para empresas y Aplicación Microsoft Authenticator sin contraseña.

• Estos fuertes factores de autenticación se basan en los mismos estándares y protocolos de cifrado de clave pública/privada de clase mundial, que están protegidos por un factor biométrico (huella digital o reconocimiento facial) o un PIN. Los usuarios aplican el factor biométrico o PIN para desbloquear la clave privada almacenada de forma segura en el dispositivo. Luego, la clave se utiliza para demostrar quién es el usuario y el dispositivo a los que se debe prestar servicio.

Consideraciones de implementación y pasos para la autenticación sin contraseña.

Habilite el registro combinado para Azure MFA y el autoservicio de restablecimiento de contraseña (SSPR).

Registre Azure MFA y SSPR para todos sus usuarios. Asegúrese de que todos sus usuarios puedan realizar Azure MFA. El dispositivo móvil utilizado por sus usuarios debe estar registrado en Azure Active Directory. Lo anterior es fundamental tanto para la aplicación de autenticación de Microsoft como para las claves de seguridad FIDO2.

Utilice una clave de seguridad FIDO2 compatible y asegúrese de utilizar un dispositivo de seguridad FIDO2 verificado y probado por Microsoft u otro dispositivo de seguridad FIDO2 compatible.

Para Windows Hello, Azure Multi-Factor Authentication, se debe instalar la última versión de Microsoft Authenticator en dispositivos con iOS 8.0 o superior, o Android 6.0 o superior con notificaciones automáticas permitidas como método de verificación.

¿Cómo habilitar la autenticación sin contraseña?

1. Clave de seguridad FIDO2:

• Inicie sesión en Azure Portal.
• Vaya a Azure Active Director > Seguridad >Métodos de autenticación > Política de método de autenticación (versión preliminar).

• En el método Clave de seguridad FIDO2, elija las siguientes opciones: -

  1. Habilitar - Sí o No
  2. Destino: todos los usuarios o usuarios seleccionados

• Guardar la configuración.

2. Windows Hello para empresas:

La implementación de Windows Hello se puede llevar a cabo mediante un modelo de confianza clave o un modelo de certificado basándose en que se trata de una implementación híbrida o local. La implementación híbrida se considera para empresas que utilizan Azure Active Directory y Azure Active Directory local para la implementación local.

• Implementación híbrida de confianza clave unida a Azure AD
• Implementación de confianza de certificado unido a Azure AD híbrido
• Guías de implementación de inicio de sesión único para unirse a Azure AD

3. Aplicación Microsoft Authenticator sin contraseña.

• Iniciar sesión en Azure Portal
• Busque y seleccione Azure Active Directory. Seleccione Seguridad > Métodos de autenticación > Política de métodos de autenticación (vista previa)

• En Inicio de sesión telefónico sin contraseña, elija las siguientes opciones: -

  1. Habilitar - Sí o No
  2. Destino: todos los usuarios o usuarios seleccionados

• Guardar para configurar la nueva política

4. Implemente una solución de terceros que aplique la autenticación multifactor para cada cuenta de usuario en el inquilino asociado que proporcione la opción de verificación más adecuada.

5. Compre licencias Premium de Azure Active Directory para que los usuarios afectados habiliten la Política de acceso condicional.

Si tiene alguna aplicación o dispositivo que no admita el uso de la autenticación moderna, será bloqueada. Para abordar esta limitación, se puede utilizar la función de contraseña de la aplicación para garantizar que su aplicación o su dispositivo aún se autentiquen.

Cuando los valores predeterminados de seguridad están habilitados, el requisito es aplicar MFA para cada usuario, incluidas las cuentas de servicio, en su directorio de socios, cualquier automatización o integración que aproveche las credenciales del usuario para la autenticación se verá afectada. Por lo tanto, es importante que identifique dichas cuentas e implemente acceso condicional para ellas.

Caso 2:

Digamos que un proceso externo de Azure se ejecuta en PowerShell y que aún no se ha trascendido como principio de servicio, lo que implica que no admite token de cliente, autenticación abierta ni ningún flujo de autenticación moderno, pero utiliza un nombre de usuario y una contraseña simples para la autenticación en tales escenarios. No es posible implementar valores predeterminados de seguridad, por lo que se debe recurrir a la política de acceso condicional.

¿Cómo registrarse en MFA?

1. Puede registrarse en MFA visitando el sitio: - https://aka.ms/mfasetup
2. Inicie sesión en su cuenta de Microsoft con su contraseña.
3. Luego encontrará la información anterior; al hacer clic en Siguiente, se le pedirá que registre MFA utilizando la aplicación Microsoft Authenticator.
4. Elija la opción compatible.
5. Haga clic en Configurar.
6. Al hacer clic en Configurar, se le pedirá que instale la aplicación Microsoft Authenticator.
7. Elija entre “Cuenta profesional o educativa”
8. Luego escanee el código QR generado o ingrese el código de verificación en su aplicación Microsoft Authenticator para iniciar sesión.

Implementación de tokens OAUTH para Azure MFA en la nube.

1. Compre token OAUTH del proveedor de su elección.
2. Puede aprovechar cualquier token OAUTH TOTP con una actualización de 30 o 60 segundos que tenga una clave secreta de 128 caracteres o menos.
3. Una vez que compre las claves a su proveedor, este deberá enviarle un archivo con una clave secreta, número de serie, intervalo de tiempo, fabricante y modelo de cada token.
4. Luego asigne los tokens a los usuarios, edite ese archivo para agregar los nombres principales de usuario de su usuario (generalmente su dirección de correo electrónico) y luego cárguelo en Azure Portal > Azure. Active Directory > Servidor MFA > tokens OAUTH.
5. La autenticación a través de tokens de hardware es mejor que la autenticación a través de la aplicación Microsoft Authenticator porque proporciona generación segura de contraseñas sin conexión a la red y está a salvo de infiltración externa que podría infectar o interceptar el código generado.

Los usuarios cuentan con un límite de tiempo de 14 días para registrarse en MFA; los usuarios que se nieguen a registrarse dentro de los 14 días serán bloqueados a menos que completen su registro en MFA.

¿Se puede utilizar cualquier otra aplicación de autenticación en lugar de la aplicación de autenticación de Microsoft?

• ¡SÍ! También puedes utilizar otras aplicaciones TOTP de terceros.

A continuación se explica cómo registrar aplicaciones TOTP de terceros para autenticar su cuenta de Azure.

1. Vaya a la página de configuración/verificación de seguridad de MFA: - https://aka.ms/MFASetup
2. Seleccione la pestaña Agregar método en la página de información de seguridad.
3. Seleccione Aplicación de autenticación en el cuadro de diálogo Agregar un método que aparece.
4. Haga clic enAgregar.
5. Seleccione Quiero usar una aplicación de autenticación diferente.
6. Haga clic en Siguiente
7. Escanee el código QR con la Aplicación Autenticadora de su elección.
8. Ingrese el código generado en su aplicación de autenticación.
9. Su aplicación de autenticación está registrada correctamente.

¿Se puede utilizar el acceso condicional junto con los valores predeterminados de seguridad?

No puede mientras utiliza la política condicional, simultáneamente no puede aprovechar los valores predeterminados de seguridad, pero si aún posee una licencia de acceso condicional y ha refinado la configuración de cualquier política de acceso condicional, puede habilitar los valores predeterminados de seguridad.

Le preocupa que los valores predeterminados de seguridad no puedan proporcionar la flexibilidad que su organización requiere. ¡Esto es lo que puedes hacer!

Muchas organizaciones requieren la capacidad de excluir cuentas específicas, como su acceso de emergencia o cuentas de administración de emergencia, lo cual no es posible cuando habilita los valores predeterminados de seguridad; en tales casos, debe deshabilitar los valores predeterminados de seguridad y configurar políticas comunes de acceso condicional que se ocuparán de la seguridad básica mientras permitiéndole la exclusión de usuarios.

• Requerir MFA para administradores
• Requerir MFA para la administración de Azure
• Requerir MFA para todos los usuarios
• Bloquear la autenticación heredada

La configuración de las cuatro políticas anteriores juntas imitaría la funcionalidad habilitada por los valores predeterminados de seguridad. Para un acceso más granular, puede configurar su propia política de acceso condicional según las necesidades de su organización.

Configuración de la política de acceso condicional.

1. Inicie sesión en Azure Portal con una cuenta con permisos de administrador global.
2. Busque y seleccione Azure Active Directory y luego elija Seguridad en el menú del lado izquierdo.
3. Seleccione Acceso condicional y luego elija + Nueva política.
4. Introduzca un nombre para la política, como MFA Pilot.
5. En Asignaciones, elija Usuarios y grupos y luego el botón de opción Seleccionar usuarios y grupos.
6. Marque la casilla Usuarios y grupos y luego Seleccione para explorar los usuarios y grupos de Azure AD disponibles.
7. Busque y seleccione su grupo de Azure AD, como MFA-Test-Group, luego elija Seleccionar.
8. Para aplicar la política de acceso condicional para el grupo, seleccione Listo.

Espero que las consideraciones de implementación anteriores le ayuden a analizar y seleccionar la técnica de implementación adecuada para su organización. Evite cualquier compromiso de la cuenta a través de los valores predeterminados de seguridad o la política de acceso condicional y administre las necesidades de su organización seleccionando una técnica de implementación adecuada. También nos encantaría saber qué tan útil fue este blog para usted a la hora de implementar una historia de administración de identidades segura para su organización, así que cuéntenos. cómo moverse con los valores predeterminados de seguridad en la sección de comentarios.