Requerir MFA para portales de administración de Microsoft 365 con acceso condicional

En el ámbito dinámico de Microsoft 365, la primera línea de defensa de su organización está en manos de sus administradores clave. El administrador de Exchange, el administrador de SharePoint y muchos otros administradores tienen mucho control sobre sus sistemas de correo electrónico, plataformas colaborativas y el corazón de su entorno de Microsoft 365. Pero, ¿qué pasaría si fueran víctimas de un astuto ataque de fuerza bruta o de phishing? ¡Lo que está en juego no podría ser mayor!

La nueva política de acceso condicional para los portales de administración de Microsoft 365 permite a los administradores ejercer un control más preciso sobre quién puede acceder a los portales administrativos de Microsoft (por ejemplo, Entra ID, el centro de administración de Microsoft 365 y el centro de administración de Exchange) al exigir múltiples autenticación de factor (MFA) para acceso interactivo.

En este blog, profundizaremos en por qué las políticas de CA son importantes y cómo usarlas para proteger sus portales de administración de Microsoft 365. Entonces, abróchese su armadura digital y sumérjase en el mundo de las políticas de acceso condicional para acceder a los portales de administración de M365, donde la seguridad se une a la simplicidad.

Política de acceso condicional para la aplicación en la nube de portales de administración de Microsoft 365

Microsoft Entra Conditional Access utiliza señales específicas para tomar decisiones informadas. Piense en estas políticas como declaraciones si-entonces: si desea acceder, se deben cumplir ciertas condiciones. Con la incorporación de la aplicación de portales de administración de Microsoft 365, los administradores pueden crear una política de CA dirigida a los portales de administración y requerir autenticación multifactor para iniciar sesión. Esta capa de seguridad adicional garantiza el acceso autorizado, salvaguardando los datos y recursos de su organización. Además, los administradores pueden usar PowerShell para exportar políticas de CA y verificar sus configuraciones, asegurando la efectividad de la política de CA.

NOTA: Las políticas de acceso condicional requieren una licencia Microsoft Enterprise ID P1/P2 o una licencia Microsoft 365 Business Premium para usarlas.

¿Por qué es importante proteger el acceso a los portales de administración de Microsoft 365?

Existen varias razones de peso para establecer una política de acceso condicional (CA) para otorgar acceso a la aplicación en la nube Portales de administración de Microsoft 365. Ellos son,

• Seguridad mejorada: Los portales de administración de Microsoft 365 son puntos de entrada vitales que deben protegerse. La implementación de una política de CA que exija MFA combina varias fuerzas de MFA con una contraseña (por ejemplo, un teléfono inteligente o un token de hardware), lo que refuerza significativamente la seguridad contra el acceso no autorizado.
• Protección contra el robo de credenciales: Las contraseñas pueden verse comprometidas a través de diversos medios, incluidos ataques de phishing, ataques de fuerza bruta o reutilización de contraseñas. Configurar una política de CA que requiera MFA ayuda a protegerse contra estas amenazas cibernéticas porque incluso si un atacante logra robar una contraseña, no tendrá el segundo factor requerido para acceder.
• Acceso privilegiado: Los administradores suelen tener acceso a sistemas y datos altamente confidenciales. Al exigir MFA a través de una política de acceso condicional, puede garantizar que solo el personal autorizado pueda realizar cambios de configuración, acceder a recursos críticos y realizar tareas administrativas, lo que reduce el riesgo de acceso no autorizado y filtraciones de datos.
• Recuperación de cuenta: MFA puede ayudar con la recuperación de la cuenta en caso de que se olvide una contraseña o una cuenta comprometida. Los administradores de Microsoft 365 pueden usar su segundo factor para recuperar el acceso a sus cuentas de forma segura, mejorando la seguridad y el flujo de trabajo de manera eficiente.

Entonces, sin más demora, veamos cómo podemos crear una política de acceso condicional que requiera MFA para los administradores que acceden a los portales de administración de Microsoft.

Crear una política de acceso condicional para acceder a los portales de administración de Microsoft 365

Para crear una política de acceso condicional en el centro de administración de Microsoft Entra con al menos el rol de Administrador de acceso condicional, siga estos pasos:

1. Navegue por la ruta siguiente para configurar la política de acceso condicional para acceder a la aplicación Portales de administración de Microsoft 365.

Centro de administración de Microsoft Entra 🡢 Identidad 🡢 Protección 🡢 Acceso condicional 🡢 Crear nueva política<

2. Elija un nombre descriptivo para su política de acceso condicional (CA), de acuerdo con la recomendación de Microsoft de utilizar nombres significativos para las políticas.

3. En la sección Asignaciones, seleccione “Usuarios” para definir a quién se aplicará la política.

4. En la sección “Incluir”, haga clic en“Seleccionar usuarios y grupos” y agregue uno de los siguientes -en roles según los requisitos de su organización.

• Administrador global
• Administrador de aplicaciones
• Administrador de autenticación
• Administrador de facturación
• Administrador de aplicaciones en la nube
• Administrador de acceso condicional
• Administrador de intercambio
• Administrador de la mesa de ayuda
• Administrador de contraseñas
• Administrador de autenticación privilegiado
• Administrador de rol privilegiado
• Administrador de seguridad
• Administrador de SharePoint
• Administrador de usuarios

5. En la sección “Excluir” , seleccione “Usuarios y grupos” y excluya las cuentas de acceso de emergencia o < span style="color: #0000ff;">cuentas rompecristales para Microsoft 365.

6. En Recursos de destino, elija “Aplicaciones en la nube”.

7. En la sección “Incluir”, seleccione “Seleccionar aplicaciones” y busque y seleccione “Portales de administración de Microsoft”.

Cuando elige la aplicación en la nube Microsoft Admin Portals, la política de acceso condicional (CA) se aplica a los tokens emitidos para los ID de aplicaciones relacionados con varios portales administrativos. Estos actualmente incluyen:

• portal azul
• Centro de administración de Exchange
• Centro de administración de Microsoft 365
• Portal de Microsoft 365 Defensor
• Centro de administración de Microsoft Entra
• Centro de administración de Microsoft Intune
• Portal de cumplimiento de Microsoft Purview

Vale la pena señalar que Microsoft está ampliando continuamente esta lista, por lo que es posible que portales de administración adicionales estén sujetos a la política de CA en el futuro. Esta flexibilidad garantiza que su organización pueda mantener medidas de seguridad sólidas en una amplia gama de interfaces administrativas a medida que evoluciona el ecosistema de Microsoft.

NOTA: La aplicación en la nube Microsoft Admin Portals es para inicios de sesión interactivos en portales de administración, no para recursos como Microsoft Graph o las API de Azure Resource Manager. Para proteger esos recursos, se utiliza la aplicación de administración de Microsoft Azure. Este enfoque permite a los administradores adoptar gradualmente MFA sin interrumpir la automatización a través de API y PowerShell.

8. A continuación, en Controles de acceso, elija “Conceder acceso”.

9. Para “Requerir solidez de autenticación”, seleccione “autenticación multifactor” y luego haga clic en “Seleccionar.”

10. Revise su configuración y establezca la política Habilitar en “Modo de solo informe”.

11. Finalmente, haga clic en “Crear” para crear y habilitar su política de acceso condicional.

Exclusiones de usuarios en la política de CA

Microsoft proporciona recomendaciones específicas para exclusiones en políticas de acceso condicional, reconociendo sus sólidas capacidades de aplicación.

1. Se recomienda excluir las cuentas de acceso de emergencia o de rotura de cristales para evitar el bloqueo de todo el inquilino. Estas cuentas sirven como red de seguridad en escenarios en los que los administradores no pueden acceder al inquilino, lo que les permite iniciar sesión y tomar medidas de recuperación.
2. Es recomendable excluir cuentas de servicio, como Microsoft Entra Connect Sync. Las cuentas de servicio no pueden realizar MFA mediante programación y, por lo general, los servicios backend las utilizan para el acceso programático. Las políticas de acceso condicional para los usuarios no afectarán a las entidades principales del servicio, lo que garantiza un funcionamiento fluido del servicio backend. Para apuntar a entidades de servicio, utilice políticas de CA para identidades de carga de trabajo. Si su organización utiliza estas cuentas en secuencias de comandos, considere reemplazarlas con identidades administradas o eliminarlas temporalmente de la política básica.
   

Cosas a considerar

1. Las políticas de acceso condicional están diseñadas para funcionar con funciones integradas y no se aplican a otros tipos de funciones, como funciones basadas en unidades administrativas o funciones personalizadas.
2. Evalúe el impacto de la política de acceso condicional dentro de su organización habilitando inicialmente el modo "Solo informar". Una vez que demuestre los resultados deseados, los administradores pueden cambiar la configuración 'Habilitar política' de 'Solo informar' a 'Activado'.

Microsoft implementará una implementación automática de políticas de acceso condicional en noviembre de 2023, según su última actualización de la hoja de ruta de Microsoft 365. Esta iniciativa tiene como objetivo proteger automáticamente a los clientes mediante la aplicación de políticas de acceso condicional administradas a los inquilinos elegibles de Microsoft. Las políticas específicas que se aplicarán incluyen autenticación multifactor (MFA) para portales de administración, MFA por usuario y MFA para inicios de sesión que se consideran como de alto riesgo. Sin embargo, para aumentar la seguridad de su organización sin demora, puede optar por activar estas políticas usted mismo ahora mismo, en lugar de esperar la implementación automática.

Hasta ahora, hemos analizado la creación de una política de CA para garantizar que los administradores utilicen MFA para acceder a los portales de administración de Microsoft 365. Más allá de simplemente configurar medidas de seguridad como la autenticación multifactor (MFA), es imperativo que los administradores obtengan visibilidad de su efectividad y monitoreen las actividades de los usuarios. Simplemente configurarlo no es suficiente; tener una comprensión y supervisión claras de las actividades del MFA es realmente importante.

Por lo tanto, AdminDroid Microsoft 365 Reporter viene en su ayuda, ayudándolo a monitorear las actividades de MFA y mejorar la postura de seguridad de su organización.

¡Supervise las actividades de MFA de forma eficaz con los informes de AdminDroid!

Los Los informes MFA de AdminDroid sirven como lente estratégica, ofreciendo una visión integral del panorama MFA de su organización, garantizando una cobertura de seguridad completa. Los informes del MFA incluyen:

• Usuarios activados/no activados de MFA: descubra los usuarios de Microsoft 365 que han activado/no activado MFA dentro de la organización.
• Usuarios con/sin MFA: vea la lista de usuarios con/sin MFA habilitado o aplicado.
• Usuarios habilitados para MFA : utilice este informe para identificar a los usuarios que no han completado la configuración de MFA y garantizar la aplicación de MFA para ellos según sea necesario.
• Usuarios con MFA obligatoria: analice este informe para identificar a los usuarios que han completado su configuración de MFA.
• Detalles del dispositivo MFA: recupere la lista de dispositivos utilizados por los usuarios para la configuración de MFA.
• Detalles de configuración de MFA de los usuarioss: busque los detalles de MFA de los usuarios de Microsoft 365 junto con las propiedades.
• Administradores sin MFA: identifique a los administradores de Microsoft 365 que no han implementado la autenticación multifactor.

Cada informe contribuye a una comprensión integral, lo que permite a los administradores gestionar y proteger de forma proactiva el entorno de MFA.

Además, la herramienta gratuita de informes Azure AD de AdminDroid ofrece más de más de 120 informes detallados. Le permite realizar un seguimiento de las actividades de inicio de sesión de los usuarios de Microsoft 365, monitorear el uso de la suscripción, obtener un desglose conciso de la información de los miembros del grupo, realizar un seguimiento de los cambios de contraseña y mantenerse informado sobre el vencimiento y los cambios de la licencia. Además, los paneles de AdminDroid Azure AD tienen un panel de MFA dedicado que ofrece una vista panorámica de la autenticación de MFA, contraseñas, estadísticas de seguridad del administrador, etc. .

AdminDroid no se limita a generar informes: ofrece una gama de funciones espectaculares para la administración de Microsoft 365. Con alertas rápidas, granular delegación de acceso, programación de informes mejorada, y avanzada filtros de personalización, AdminDroid eleva sus capacidades administrativas.

¡No te demores más! Descargue AdminDroid ahora y comience una prueba gratuita de 15 días para desbloquear todo el potencial de los informes y auditorías de Microsoft 365.

Conclusión final

En conclusión, al configurar una política de acceso condicional para los portales de administración de Microsoft 365, puede otorgar acceso a administradores autorizados mientras mantiene a raya a los intrusos no autorizados. Además, tiene la opción de implementar políticas de acceso condicional basadas en dispositivos, que agregan una capa adicional de seguridad para fortalecer sus controles de acceso. Para proteger aún más las cuentas de administrador, considere implementar auditorías periódicas de las actividades de administración de Microsoft 365. Este enfoque integral garantiza la protección de sus recursos y datos críticos, mejorando así su seguridad de Microsoft 365.

Espero que este blog le haya ayudado a configurar la política de acceso condicional para los portales de administración de Microsoft 365. Si tiene preguntas o necesita más información, no dude en preguntar en los comentarios. ¡Gracias por leer!