Configuraciones importantes que se deben bloquear para la seguridad de acceso de usuarios externos

Compartir archivos y trabajar con usuarios externos es una clave importante en el mundo laboral actual. Pero no todas las puertas deberían estar abiertas; es más seguro encerrar a algunos que dejarlos vulnerables. Este blog es su guía para mejorar la configuración de seguridad para su uso compartido externo de Microsoft 365. Lo guiaremos a través de las configuraciones esenciales que debe bloquear, para que los colaboradores externos puedan trabajar juntos de forma segura sin comprometer su información confidencial.❌

Pero antes de comenzar, abordemos una distinción clave que podría confundirnos a algunos de nosotros.

¿Diferencia entre acceso externo y acceso de invitados en Microsoft 365?

A menudo, estos términos se usan indistintamente en Microsoft 365. Para desglosarlos, imaginemos que usted está en el inquilino "Contoso" y yo en el inquilino Fabrikam.

Usuario externo: Imagínate, Contoso, invítame, desde Fabrikam, a acceder a un documento. Cuando hago clic en el enlace, se me solicita que inicie sesión. Aquí está el problema: aunque estoy accediendo al documento de Contoso, en realidad estoy iniciando sesión a través de Fabrikam. Entonces, técnicamente, soy un usuario externo de Contoso, aunque accedo a su contenido.

Usuario invitado: Ahora, imagine que Contoso configura una cuenta separada para mí dentro de su sistema. Entonces, cuando inicio sesión, uso credenciales administradas completamente por Contoso. En este caso, mi proceso de autenticación es interno al sistema de Contoso, aunque todavía se me considera un usuario invitado.

Entonces, en pocas palabras, en el primer escenario, me autentico externamente a través de Fabrikam, mientras que en el segundo escenario, me autentico internamente dentro del sistema de Contoso como invitado.

Ahora, esperando que tenga clara la diferencia, profundicemos en el concepto.

¿Cuáles son las configuraciones esenciales que se deben bloquear para usuarios externos en Microsoft 365?

En primer lugar, ¿por qué bloquear el acceso externo? La colaboración es la clave, pero el acceso externo no controlado puede ser una amenaza para la seguridad. Los usuarios externos pueden descargar accidentalmente (o incluso maliciosamente) documentos confidenciales, reenviar correos electrónicos confidenciales o introducir amenazas de malware. Al implementar la configuración de bloqueo correcta, puede garantizar un entorno seguro y controlado para sus datos de M365.

Hemos categorizado la configuración de seguridad según diferentes servicios en Microsoft 365 para usted. ¡Empecemos!

• Equipos de Microsoft
• SharePoint y OneDrive
• ID de entrada de Microsoft
• Intercambio en línea

Equipos de Microsoft

1. Limitar la creación de canales de usuarios externos

Permitir que usuarios externos creen canales podría plantear riesgos de seguridad, ya que pueden crear, sin darse cuenta o intencionalmente, canales que expongan información confidencial o inviten a participantes no autorizados.

Para limitar la creación de canales en Teams por parte de usuarios externos, siga estos pasos.

Paso 1: Vaya al equipo respectivo -> haga clic en los tres puntos -> Administrar equipo
Paso 2: En la lista de pestañas, seleccione Configuración -> Luego, Permisos de invitado.
Paso 3: En Habilitar creación de canal, asegúrese de que las siguientes opciones estén deshabilitadas.

• Permita que los invitados creen y actualicen canales.
• Permitir que los invitados eliminen canales.

Como práctica de seguridad adicional, puede auditar las creaciones de canales de MS Teams mediante PowerShell.

2. Restricciones de la política de cumplimiento para usuarios externos

En el centro de administración de Teams, en la sección Reuniones, seleccione Políticas de reuniones. Aquí puede encontrar algunas configuraciones dentro de la 'Política global predeterminada para toda la organización'.

• Quién puede pasar por alto el lobby: controla quién puede unirse a una reunión directamente y quién debe esperar en el lobby hasta ser admitido. Aquí puede utilizar las opciones "Personas de mi organización e invitados" y "Personas de mi organización, organizaciones de confianza e invitados" para controlar a los usuarios externos.
• Los participantes externos pueden dar o solicitar control. Al desactivar esta opción, se desactiva la capacidad de los usuarios e invitados externos de solicitar personas en la pantalla compartida de su organización durante una reunión de Teams.

3. Prevención de pérdida de datos para equipos

Las políticas de DLP de Microsoft 365 desempeñan un papel importante en la configuración de seguridad de Teams. La implementación de Prevención de pérdida de datos (DLP) para usuarios externos en Microsoft Teams implica implementar políticas para proteger la información confidencial para que no se comparta o se filtre fuera de la organización. Por ejemplo, podemos crear una política DLP para bloquear el intercambio de tipos de información confidencial, como números de tarjetas de crédito, dentro de Microsoft Teams por parte de usuarios externos.

4. Bloquee la descarga de archivos de grabación de reuniones de Teams desde SharePoint o OneDrive

Puede restringir la descarga de archivos de grabación de reuniones de Teams desde SharePoint o OneDrive. Para activar la política, ejecute el siguiente cmdlet.

Set-SPOTenant -BlockDownloadFileTypePolicy <$true/$false(default)>  -BlockDownloadFileTypeIds  TeamsMeetingRecording

Una vez activada la política, se bloquea la descarga o sincronización de cualquier archivo nuevo de grabación de reuniones de Teams creado por Teams y guardado en SharePoint y OneDrive para todos los usuarios externos.

A continuación se detallan las configuraciones que puede considerar configurar incluso antes de invitar a usuarios externos a su organización.

5. Deshabilite el acceso externo en Microsoft Teams

Si no es una organización que alguna vez necesitará comunicarse con usuarios externos, puede deshabilitarlos directamente en el centro de administración de Teams, en lugar de dejarlos abiertos para habilitarlos.

Para impedir que los usuarios de su organización se comuniquen con usuarios externos, debe desactivar la siguiente opción. Al deshabilitar esta opción, los usuarios ya no podrán chatear, agregar usuarios externos a reuniones, utilizar conferencias de audio y video con usuarios externos, etc.

Paso 1: Inicie sesión en el centro de administración de Microsoft Teams.
Paso 2: Seleccionar usuarios > Acceso externo.
Paso 3: En Usuarios de Teams y Skype Empresarial en organizaciones externas -> seleccione Bloquear todos los dominios externos.

También puede desactivar el acceso de invitados en Microsoft Teams. Para hacer esto, navegue hasta Centro de administración de Microsoft Teams ->Usuarios -> Acceso de invitados. Aquí puede administrar la configuración de llamadas, reuniones y mensajería para usuarios invitados.

6. Consejo adicional: bloquee todos los subdominios de los dominios en la lista de bloqueo

Microsoft Teams ahora ofrece una función que permite a las organizaciones mejorar sus capacidades de bloqueo de dominios al incluir todos los subdominios de los dominios enumerados en la lista de bloqueo de la federación (MC770792). Esta configuración está deshabilitada de forma predeterminada y se puede habilitar mediante el siguiente cmdlet de PowerShell.

Por ejemplo, si "fabrikam.com" está incluido en la lista de bloqueo y esta configuración está habilitada, todos los subdominios relacionados, como "sub.fabrikam.com" y "tenant.fabrikam.com", también se bloquearán automáticamente.

Set-CsTenantFederationConfiguration -BlockAllSubdomains $True

SharePoint y OneDrive

El centro de administración de SharePoint tiene una variedad de configuraciones que se pueden usar para limitar el uso compartido externo.

Paso 1: Vaya al centro de administración de SharePoint.
Paso 2: Seleccione Compartir en "Políticas".
Paso 3: Encontrará una variedad de opciones que deberá configurar para limitar el uso compartido externo en SharePoint.

1. Deshabilitar enlaces anónimos:

Deshabilite esta opción para impedir que los usuarios invitados creen enlaces anónimos para compartir. Esto elimina el riesgo de intercambio incontrolado a través de enlaces reenviados o filtraciones accidentales.

2. Restringir el uso compartido externo por dominio

Restringir el uso compartido externo por dominio le permite especificar dominios de correo electrónico confiables (por ejemplo, los de sus socios) para el uso compartido externo. Esto garantiza que solo las personas autorizadas de esas organizaciones puedan acceder al contenido compartido, lo que reduce el riesgo de acceso no autorizado desde dominios desconocidos.

3. Limite el uso compartido externo a usuarios específicos en M365

Aunque haya desactivado la "opción para compartir externamente", si algunos de sus usuarios requieren la funcionalidad, ¡hay una manera disponible! Esta opción restringe el uso compartido externo a un grupo designado de usuarios dentro de su organización. Sólo los miembros de ese grupo pueden compartir archivos, carpetas y sitios con terceros. Como resultado, solo el personal autorizado puede compartir información confidencial y limita las filtraciones accidentales por parte de otros usuarios.

4. Hacer cumplir el uso de la cuenta invitada por parte de los invitados

De forma predeterminada, los invitados pueden recibir una invitación en una cuenta pero iniciar sesión con una cuenta diferente.

Esto evita que los invitados utilicen una cuenta diferente a la que fueron invitados. Esto garantiza que la persona prevista acceda a la información y evita el acceso no autorizado a través de cuentas alternativas. Esta configuración solo se aplica al uso compartido que no utiliza la colaboración B2B de Microsoft Entra.

5. Evite que usuarios externos vuelvan a compartir archivos y carpetas en SharePoint

De forma predeterminada, los usuarios invitados pueden compartir elementos que no les pertenecen con otros usuarios o invitados. Para deshabilitar este comportamiento, puede desmarcar esta opción. Como resultado, los usuarios invitados no pueden volver a compartir elementos que no crearon.

6. Limitar la caducidad del acceso de invitados:

Configurar la caducidad del acceso de invitados en SPO establece un límite de tiempo durante el cual los invitados pueden acceder a los sitios de SharePoint y a las carpetas de OneDrive. Esto garantiza el acceso temporal para proyectos o colaboraciones específicos y revoca automáticamente el acceso después de un período establecido.

7. Bloquear usuarios para que no sincronicen archivos

Los administradores pueden evitar que usuarios externos sincronicen archivos con sus dispositivos locales usando esta configuración. Esto también se aplica a los usuarios internos y no se puede habilitar selectivamente únicamente para usuarios externos.

• Vaya al sitio donde desea desactivar la sincronización.
• Seleccione el ícono de ajustes en la esquina superior derecha ->información del sitio -> Ver todas las configuraciones.
• Localice Búsqueda y disponibilidad sin conexión en Buscar.
• En Disponibilidad de cliente sin conexión, seleccione No (el valor predeterminado es Sí).
• Haga clic en Aceptar en la parte inferior de la página.

ID de Microsoft Entra

1. Bloquear a usuarios externos para que no descarguen archivos de Office 365

Para impedir que usuarios externos descarguen archivos de SharePoint, OneDrive y otras aplicaciones de Office 365, utilice la política de acceso condicional en Microsoft Entra ID.

Paso 1: Inicie sesión en el centro de administración de Microsoft Entra ID -> Protección -> Acceso condicional.
Paso 2: Cree una nueva política y proporcione un nombre adecuado.
Paso 3: Seleccionar Usuarios -> Seleccionar usuarios y grupos -> Usuarios invitados o externos -> Seleccionar todo.
Paso 4: En la sección Recursos de destino, seleccione Aplicaciones en la nube.
Paso 5: En Incluir, seleccione Aplicaciones ->Office 365. Incluye Microsoft Teams, SharePoint, OneDrive, etc. También puede seleccionar aplicaciones individuales.
Paso 6: Aquí viene la parte principal que realmente hace el trabajo. La sección control de sesión tiene la opción Usar control de aplicación de acceso condicional. En el menú desplegable, seleccione Bloquear descargas (vista previa).

2. Bloquear a usuarios externos para que no inicien sesión en aplicaciones de escritorio

Para proteger los datos confidenciales, una empresa brinda acceso a sus aplicaciones de escritorio únicamente a los empleados autorizados dentro de la red, evitando que usuarios externos inicien sesión. Esta medida mitiga el riesgo de acceso no autorizado.

Cree una política de acceso condicional similar siguiendo exactamente los pasos que hemos explicado anteriormente hasta el paso 5. Después de eso,

Paso 6: en la pestaña Condiciones, seleccione Aplicaciones cliente.
Paso 7: Cambie el botón Configurar a Sí.
Paso 8: Luego, en controles de acceso, seleccione Conceder -> Bloquear acceso.

Impacto: Como resultado, el usuario sólo podrá acceder desde un navegador web.

3. Configuración de colaboración externa de Entra ID

Microsoft Entra External ID le permite restringir lo que los usuarios invitados externos pueden ver en su Microsoft Entra. Por ejemplo, puede limitar la vista de las membresías de grupos de los usuarios invitados o permitir que los invitados vean solo su propia información de perfil.

Paso 1: Inicie sesión en el centro de administración de Microsoft Entra.
Paso 2: Vaya a Identidad > Identidades externas > Configuración de colaboración externa.
Paso 3: En Acceso de usuario invitado, elija el nivel de acceso que desea que tengan los usuarios invitados.

• Opción 1: "Los invitados tienen el mismo acceso a los recursos y datos del directorio de Microsoft Entra que los miembros, lo que proporciona el más alto nivel de inclusión".
• Opción 2 (predeterminada): "Los invitados tienen restricciones para ciertas tareas del directorio, como ver detalles de usuarios y grupos, pero pueden ver la membresía de grupos no ocultos".
• Opción 3: "El acceso de invitados está limitado únicamente a sus propios objetos de directorio, lo que les impide ver otros perfiles de usuario, grupos o membresías, ofreciendo el nivel de acceso más restrictivo".

4. Aplicar MFA para inquilinos de viviendas para el acceso de invitados

Cuando la configuración de confianza de MFA está habilitada en la configuración de acceso entre inquilinos, es una excelente manera de mejorar la seguridad de su inquilino. Una vez configurados, los usuarios invitados B2B obtienen acceso a métodos de autenticación mejorados con una verificación más sólida que las opciones típicas de autenticación multifactor disponibles únicamente dentro de un inquilino de recursos.

Para configurar esta configuración,

Paso 1: Vaya al centro de administración de Microsoft Entra -> Identidades externas ->Configuración de acceso entre inquilinos.
Paso 2: En la pestaña Configuración predeterminada, seleccione Editar valores predeterminados de entrada.
Paso 3: Luego, en la pestaña Configuración de confianza, verifique Confiar en la autenticación multifactor de los inquilinos de Microsoft Entra, Confiar en dispositivos compatibles -> Luego Guardar.

Intercambio en línea

1. Restringir el envío a destinatarios externos:

Para evitar que los usuarios invitados envíen correos electrónicos fuera de la organización, siga los pasos que se indican a continuación.

Paso 1: En el centro de administración de Exchange, navegue hasta "Flujo de correo".
Paso 2: Seleccione Reglas y cree una nueva regla con un nombre descriptivo (por ejemplo, "Bloquear correos electrónicos externos").
Paso 3: En "Aplicar esta regla si", elija condiciones como que el remitente está "fuera de la organización" y el destinatario: seleccione un dominio que desee bloquear.
Paso 4: En Haga lo siguiente, seleccione Bloquear el mensaje -> rechazar el mensaje e incluir una explicación.

2. Aplicar el cifrado de mensajes para correos electrónicos externos

Paso 1: En el EAC, navegue hasta Flujo de correo.
Paso 2: Seleccione Reglas y cree una nueva regla de flujo de correo.
Paso 3: Establezca condiciones para identificar los correos electrónicos enviados externamente. Eso está en Aplicar esta regla si agrega una condición como el dominio del remitente e incluye la lista de dominios relevantes cuyos mensajes deben cifrarse. Luego, otra condición ya que el destinatario está fuera de la organización.
Paso 4: en Haga lo siguiente, seleccione Modificar la seguridad del mensaje -> Aplicar cifrado de Office 365.
Paso 5: Aparece la página desplegable seleccionar plantilla RMS . Seleccione la etiqueta de confidencialidad de su elección y proceda a Guardar.

3. Bloquear detalles del calendario compartidos con usuarios externos

Para deshabilitar el uso compartido de detalles del calendario con usuarios externos, use el Centro de administración de Microsoft 365:
Paso 1: Inicie sesión en el centro de administración de Microsoft 365 y expanda Configuración.
Paso 2: Haga clic en Configuración de la organización.
Paso 3: Haga clic en Calendario.
Paso 4: Desmarca “Permitir que tus usuarios compartan sus calendarios con personas fuera de tu organización que tengan Office 365 o Exchange”.
Paso 5: Haga clic en Guardar.

Nota: A veces, a los usuarios externos también se les concede acceso a PowerShell según los requisitos. En tales casos, los administradores pueden considerar restringir el acceso de usuarios externos a PowerShell en la organización. Esto ayuda a garantizar que el acceso a PowerShell esté controlado y alineado con las medidas y necesidades de seguridad de la organización.

En conclusión, implementar la configuración correcta es necesario para compartir de forma segura con invitados en Microsoft 365. Para obtener información sobre los detalles de las actividades externas, puede exportar informes de usuarios externos de Office 365. ¡Gracias por leer! Si tiene alguna consulta, comuníquese con nosotros a través de la sección de comentarios.

¡Invierta en seguridad hoy para salvaguardar su futuro! 💪🔒