365 Tenant Manager Publicación del 23 de abril de 2025

Escrito por Hornetsecurity / 23.04.2025 / 365 Multi-Tenant Manager para MSPs,Release Notes

Novedades

Se ha lanzado una nueva plantilla predefinida en el 365 Tenant Manager, que ofrece un conjunto integral de configuraciones y directivas alineadas con el CIS Microsoft 365 Foundations Benchmark v4.0. Esta plantilla automatiza la generación de informes y la corrección para una amplia gama de directivas de seguridad, lo que ayuda a las organizaciones a optimizar el cumplimiento, reducir los riesgos y aplicar las mejores prácticas en su entorno de Microsoft 365.
Se han incorporado las siguientes configuraciones predefinidas en la biblioteca, abarcando Exchange, Microsoft 365 (General), Microsoft Teams y SharePoint:
- Exchange
  - HS-S0058 – Asegurar que los registros SPF estén publicados para todos los dominios de Exchange
    Verifica que los registros SPF estén correctamente configurados para evitar suplantación de correos electrónicos no autorizados.
  - HS-S0059 – Asegurar que DKIM esté habilitado para todos los dominios de Exchange Online
    Verifica que DKIM esté activado y que los registros CNAME de los selectores estén configurados correctamente. Si se establece como obligatorio, lo aplica automáticamente.
  - HS-S0060 – Asegurar que los registros DMARC estén configurados para los dominios de Exchange
    Comprueba que se hayan publicado registros DMARC con los indicadores requeridos en todos los dominios.
  - HS-S0084 – Asegurar que la omisión de auditoría esté deshabilitada
    Verifica que la opción de omitir auditoría esté desactivada para los buzones de correo especificados.
  - HS-S0099 – Restringir los roles no permitidos en la directiva de asignación predeterminada
    Asegura que la directiva predeterminada no incluya roles como MyCustomApps, MyMarketplaceApps o MyReadWriteMailboxApps.
- Microsoft 365 (General)
  - HS-S0080 – Asegurar que Microsoft Authenticator proteja contra el agotamiento de MFA
    Verifica que Microsoft Authenticator esté configurado y muestre la aplicación y ubicación durante el proceso MFA para prevenir ataques de agotamiento.
  - HS-S0088 – Asegurar que el acceso de usuarios invitados esté restringido
    Limitar el acceso de invitados ayuda a prevenir la enumeración maliciosa de grupos y objetos de usuario en el entorno de Microsoft 365.
  - HS-S0092 – Asegurar que la restricción de creación de inquilinos por usuarios no administradores esté deshabilitada
    Restringir la creación de inquilinos evita implementaciones no autorizadas y garantiza el control organizacional.
  - HS-S0093 – Asegurar que todos los usuarios miembros sean “compatibles con MFA”
    Verifica que todos los miembros estén registrados y habilitados con un método de autenticación fuerte según lo definido por la directiva.
  - HS-S0096 – Asegurar que los métodos de autenticación débiles estén deshabilitados
    Desactiva métodos menos seguros como SMS, llamadas de voz y códigos OTP enviados por correo electrónico para fortalecer la autenticación.
  - HS-S0097 – Asegurar que solo la función “Guest Inviter” pueda invitar usuarios externos
    Limita la capacidad de enviar invitaciones solo a determinados roles definidos por la organización.
  - HS-S0100 – Eliminar licencias de usuarios bloqueados
    Detecta usuarios bloqueados que aún tienen licencias asignadas y las elimina para optimizar el uso de licencias.
- Microsoft Teams
  - HS-S0064 – Restringir que los usuarios anónimos se unan a reuniones según la directiva GLOBAL
    Asegura que los usuarios anónimos no puedan unirse a reuniones bajo la política global de Teams.
  - HS-S0065 – Restringir que usuarios con marcación telefónica omitan la sala de espera (GLOBAL)
    Impide que los usuarios PSTN omitan la sala de espera según la directiva global.
  - HS-S0066 – Solo los usuarios invitados deben ser admitidos automáticamente (GLOBAL)
    Verifica que solo los usuarios invitados ingresen directamente a reuniones según la política global.
  - HS-S0067 – Asegurar que el chat de reuniones no permita usuarios anónimos
    El chat desactivado reduce conversaciones no supervisadas, riesgos de fuga de datos y asegura el cumplimiento.
  - HS-S0070 – Asegurar que los usuarios no puedan enviar correos a una dirección de canal
    Controla quién puede enviar correos electrónicos a los canales de Teams.
  - HS-S0071 – Restringir la presentación solo a los organizadores en las reuniones
    Limita la función de presentador al organizador, evitando comparticiones no autorizadas o interrupciones.
  - HS-S0073 – Asegurar que las directivas DLP estén habilitadas en Microsoft Teams
    Las políticas DLP ayudan a proteger datos confidenciales en mensajes y archivos compartidos.
  - HS-S0077 – Asegurar que el uso de almacenamiento externo esté limitado a proveedores aprobados
    Permite compartir archivos solo mediante servicios de nube aprobados como Google Drive, Dropbox, etc.
  - HS-S0079 – Asegurar que la comunicación con usuarios de Skype esté deshabilitada
    Deshabilita la comunicación con Skype conforme al estándar de seguridad CIS.
  - HS-S0081 – Asegurar que la grabación de reuniones esté desactivada por defecto
    Solo organizadores y coorganizadores pueden iniciar grabaciones – por defecto está desactivado.
  - HS-S0082 – Asegurar que el chat externo esté desactivado en la política global de reuniones
    Bloquea el chat externo en reuniones de Teams bajo la política “Global”.
  - HS-S0083 – Asegurar que ZAP esté habilitado en Teams según la política Global
    Activa Zero-hour Auto Purge (ZAP) para reforzar la seguridad y el cumplimiento.
  - HS-S0085 – Asegurar que los usuarios puedan reportar riesgos de seguridad en Teams
    Permite que los usuarios reporten phishing u otros riesgos mediante las funciones de reporte integradas.
  - HS-S0086 – Asegurar que la comunicación con usuarios de Teams no administrados esté deshabilitada (GLOBAL)
    Evita que usuarios sin gestión accedan a la red organizacional reduciendo riesgos de seguridad.
  - HS-S0087 – Impedir que usuarios externos soliciten control durante el uso compartido de pantalla
    Desactiva la opción de que usuarios externos soliciten el control durante una sesión de pantalla compartida.
  - HS-S0091 – Restringir dominios externos en Microsoft Teams
    Limita el acceso externo solo a dominios específicos o bloquea todos los dominios no autorizados.
- SharePoint
  - HS-S0076 – Asegurar que la ejecución de scripts personalizados esté restringida
    Controla si los usuarios pueden ejecutar scripts que accedan a contenido mediante permisos del usuario.
  - HS-S0078 – Asegurar que la integración de SharePoint/OneDrive con Entra B2B esté habilitada
    Permite una experiencia de acceso unificada y segura para invitados autenticados mediante Entra ID.
  - HS-S0089 – Asegurar que la compartición externa esté limitada por listas blancas o negras
    Permite compartir contenidos solo con dominios aprobados o bloquea aquellos no permitidos.
  - HS-S0090 – Asegurar que los invitados no puedan compartir contenido que no poseen
    Previene que usuarios invitados compartan contenido del cual no son propietarios.
  - HS-S0094 – Asegurar que el uso de enlaces compartidos esté restringido
    Establece un tipo y nivel de permiso predeterminado más seguro para los enlaces compartidos.
  - HS-S0095 – Asegurar que se restrinja la reautenticación con código para invitados
    Configura el tiempo tras el cual se exige nueva autenticación a invitados con acceso por código.
  - HS-S0098 – Asegurar que el acceso de invitados expire automáticamente
    Revoca el acceso de invitados después de un periodo definido, protegiendo la confidencialidad de los datos.
También se han incorporado las siguientes nuevas directivas predefinidas en la biblioteca de directivas predefinidas, aplicables a Entra – Conditional Access:
Entra – Conditional Access
- HS-P0029 – Asegurar que se exija la frecuencia de inicio de sesión y se desactiven sesiones persistentes para administradores
  Requiere reautenticación frecuente y desactiva sesiones persistentes para proteger cuentas con privilegios.
- HS-P0031 – Asegurar que se bloqueen inicios de sesión con riesgo medio o alto
  Bloquea accesos con riesgos identificados para prevenir compromisos de cuenta.
- HS-P0032 – Asegurar que solo roles administrativos accedan a los portales de administración
  Limita el acceso a los portales de administración solo a roles privilegiados, reforzando la seguridad.
- HS-P0033 – Asegurar que se requiera un dispositivo administrado para registrar MFA
  Impide que se registren métodos de MFA desde dispositivos no confiables o robados.
- HS-P0034 – Asegurar que la sincronización de OneDrive esté bloqueada para dispositivos no administrados
  Restringe el acceso a OneDrive y SharePoint en dispositivos que no estén unidos o registrados en Entra ID.