Acceso condicional en Microsoft 365: las políticas base

El acceso condicional de Microsoft Entra ID es un motor de reglas del tipo "si se cumple esto, exige aquello": si el usuario es administrador, exige MFA resistente a phishing; si la autenticación usa un protocolo heredado, bloquéala; si el riesgo de inicio de sesión es alto, pide MFA. Requiere licencia Entra ID P1, incluida en Microsoft 365 Business Premium y E3. Sin ella, la alternativa son los security defaults, que activan un MFA básico para todos pero sin ningún ajuste.

Con seis políticas se cubre la mayor parte de los ataques de identidad habituales. No lo cubren todo, pero son el punto de partida razonable en cualquier inquilino.

Antes de crear ninguna

• Excluye las cuentas de emergencia de todas las políticas. Si una política mal configurada te deja fuera, son la forma de volver a entrar. Lo explico en mínimo privilegio en Entra ID.
• Crea cada política en modo "solo informe" (report-only). Durante una o dos semanas registra qué habría bloqueado sin bloquear nada. Revisas el impacto y luego la activas.

Las seis políticas base

1. Bloquear la autenticación heredada

Protocolos como POP, IMAP, SMTP AUTH o ActiveSync con autenticación básica no admiten MFA, así que son la vía favorita del password spraying. Microsoft desactivó la autenticación básica en Exchange Online en 2022, pero bloquearla en acceso condicional cierra los huecos que queden.

2. MFA resistente a phishing para administradores

Para todos los roles privilegiados, con la authentication strength "Phishing-resistant MFA". Por qué no vale cualquier MFA lo cuento en MFA resistente a phishing.

3. MFA para todos los usuarios

En todas las aplicaciones en la nube. Las excepciones, las mínimas, documentadas y revisadas.

4. MFA para el registro de métodos de seguridad

Si un atacante entra con la contraseña de un usuario que aún no tenía MFA, lo primero que intentará es registrar su propio teléfono. Esta política exige estar en una ubicación de confianza o con un MFA ya existente para registrar métodos nuevos.

5. Bloquear países donde no operas

No para por sí sola a un atacante (una VPN lo salta), pero elimina mucho ruido de intentos automatizados. Conviene combinarla con un grupo de excepción para viajes, con fecha de caducidad.

6. Políticas basadas en riesgo

Con Entra ID P2, Identity Protection calcula el riesgo del inicio de sesión (IP anónima, credenciales filtradas, viaje imposible) y del usuario. Exige MFA con riesgo de inicio de sesión medio o alto, y cambio de contraseña seguro con riesgo de usuario alto.

El siguiente paso: el dispositivo

Con las seis anteriores en marcha, la mejora más grande es exigir dispositivo gestionado (compliant en Intune o unido a Entra) para acceder a datos sensibles. Así, aunque alguien robe una sesión, no puede usarla desde un equipo que no controlas. Es el paso que más protege contra el robo de tokens que acompaña a casi todo BEC actual.

Cómo detectar si alguien las salta

En los logs de inicio de sesión, cada evento indica qué políticas se aplicaron y con qué resultado. Busca inicios de sesión correctos con resultado "notApplied" en usuarios que deberían estar cubiertos: suele ser una exclusión olvidada. Y alerta de cualquier cambio en las propias políticas; modificar una política de acceso condicional es una de las primeras cosas que hace un atacante con privilegios.

Preguntas frecuentes

¿Qué es el acceso condicional?

La función de Microsoft Entra ID que decide si permite, bloquea o exige requisitos adicionales (MFA, dispositivo gestionado) en cada inicio de sesión según el usuario, la aplicación, la ubicación, el dispositivo y el riesgo.

¿Security defaults o acceso condicional?

Security defaults si no tienes licencia P1: es gratis y mucho mejor que nada. Acceso condicional en cuanto tengas P1, porque permite excepciones controladas y métodos de MFA fuertes. No se pueden usar las dos a la vez.

¿Cuánto tiempo dejar una política en modo solo informe?

Lo suficiente para que pasen por ella los patrones normales de uso: al menos una semana completa, mejor dos si hay usuarios que viajan o trabajan por turnos.