Exposure Scans
Mantenido por: Aether365 Team Audiencia: Administradores de TI y equipos de seguridad Alcance: Ejecución de exposure scans y categorías de hallazgos
Los exposure scans analizan tu tenant de Microsoft 365 en busca de ajustes arriesgados o mal configurados. A diferencia de los compliance scans, que evalúan según una lista de controles fija, los exposure scans determinan si configuraciones concretas generan un riesgo de seguridad real en tu entorno.
Los resultados se mapean utilizando el formato OCSF (Open Cybersecurity Schema Framework) y se agrupan por área de servicio de M365.
Servicios analizados
Entra ID (Azure Active Directory)
Las comprobaciones de Entra ID se centran en el riesgo de identidad y acceso:
- Brechas en la aplicación de MFA - usuarios o grupos excluidos de MFA
- Cobertura de políticas de acceso condicional - riesgo de inicio de sesión no cubierto
- Asignaciones de roles privilegiados - asignaciones permanentes en lugar de PIM
- Acceso de invitados e identidad externa
- Exposición a protocolos de autenticación heredados
- Configuración de restablecimiento de contraseña de autoservicio (SSPR)
- Configuración de protección de contraseñas
Exchange Online
Las comprobaciones de Exchange identifican riesgos de seguridad del correo:
- Reglas de reenvío de correo que exfiltran datos al exterior
- Reglas de acceso de cliente que permiten protocolos heredados (IMAP, POP3, Basic Auth)
- Brechas en políticas anti-phishing y anti-spoofing
- Configuración de DKIM, DMARC y SPF
- Configuración de reenvío externo automático
- Cobertura de políticas de Safe Attachments y Safe Links
SharePoint Online y OneDrive
Las comprobaciones de SharePoint analizan el riesgo de uso compartido de datos:
- Configuración de uso compartido externo (enlaces para cualquier persona, acceso de invitados)
- Tipo de enlace de uso compartido predeterminado
- Anulaciones de uso compartido a nivel de sitio
- Acceso con autenticación heredada
Microsoft Teams
Las comprobaciones de Teams cubren la colaboración y el acceso externo:
- Configuración de federación externa (quien puede iniciar el contacto)
- Políticas de acceso de invitados
- Configuración de participación en reuniones (participación anonima, participantes externos)
- Almacenamiento y retención de grabaciones de reuniones
Microsoft Defender
Las comprobaciones de Defender revisan la cobertura de protección:
- Estado de las políticas de Defender for Office 365
- Cobertura de Safe Attachments y Safe Links
- Configuración de Zero-hour Auto Purge (ZAP)
- Activación de simulación de ataques
Microsoft Intune
Las comprobaciones de Intune evalúan la cobertura de gestión de dispositivos:
- Inscripción en políticas de cumplimiento de dispositivos
- Acceso condicional que aplica el cumplimiento
- Requisitos de cifrado en dispositivos gestionados
- Cobertura de políticas de gestión de aplicaciones moviles (MAM)
Niveles de severidad
A cada hallazgo se le asigna uno de cuatro niveles de severidad:
| Severidad | Descripción |
|---|---|
| Critical | Configuración erronea de alto impacto, explotada con frecuencia, riesgo inmediato |
| High | Exposición significativa, debe abordarse con prontitud |
| Medium | Riesgo moderado, a menudo mitigado por otros controles existentes |
| Low | Desviación de buenas practicas, menor riesgo directo |
Lectura de resultados de exposure
Los resultados de los exposure scans en el dashboard muestran:
- Service - El área de servicio de M365 (por ejemplo, Entra ID, Exchange)
- Finding - Una descripción en lenguaje claro de la configuración erronea
- Severity - Critical / High / Medium / Low
- Status - Pass / Fail / Manual (las comprobaciones manuales requieren verificación humana)
- Remediation - Instrucciones de corrección paso a paso
Los hallazgos marcados como Manual no pueden evaluarse automáticamente y requieren que una persona revise la configuración indicada.
Alcance y limitaciones
Los exposure scans utilizan acceso de solo lectura y no pueden detectar:
- Configuraciones que requieren permisos elevados más alla de los otorgados durante el consent
- Configuraciones de aplicaciones de terceros dentro de M365
- Configuración de Active Directory local (solo nube)
- Cambios históricos o análisis de registros de auditoría (utiliza compliance scans para las comprobaciones de registro de auditoría)