Accés condicional a Microsoft 365: les polítiques base

L'accés condicional de Microsoft Entra ID és un motor de regles del tipus «si es compleix això, exigeix allò»: si l'usuari és administrador, exigeix MFA resistent al phishing; si l'autenticació fa servir un protocol heretat, bloqueja-la; si el risc de l'inici de sessió és alt, demana MFA. Requereix llicència Entra ID P1, inclosa a Microsoft 365 Business Premium i E3. Sense ella, l'alternativa són els security defaults, que activen un MFA bàsic per a tothom però sense cap ajust.

Amb sis polítiques es cobreix la major part dels atacs d'identitat habituals. No ho cobreixen tot, però són el punt de partida raonable en qualsevol inquilí.

Abans de crear-ne cap

• Exclou els comptes d'emergència de totes les polítiques. Si una política mal configurada et deixa fora, són la manera de tornar a entrar. Ho explico a mínim privilegi a Entra ID.
• Crea cada política en mode «només informe» (report-only). Durant una o dues setmanes registra què hauria bloquejat sense bloquejar res. Revises l'impacte i després l'actives.

Les sis polítiques base

1. Bloquejar l'autenticació heretada

Protocols com POP, IMAP, SMTP AUTH o ActiveSync amb autenticació bàsica no admeten MFA, així que són la via preferida del password spraying. Microsoft va desactivar l'autenticació bàsica a Exchange Online el 2022, però bloquejar-la a l'accés condicional tanca els buits que quedin.

2. MFA resistent al phishing per a administradors

Per a tots els rols privilegiats, amb l'authentication strength «Phishing-resistant MFA». Per què no val qualsevol MFA ho explico a MFA resistent al phishing.

3. MFA per a tots els usuaris

En totes les aplicacions al núvol. Les excepcions, les mínimes, documentades i revisades.

4. MFA per al registre de mètodes de seguretat

Si un atacant entra amb la contrasenya d'un usuari que encara no tenia MFA, el primer que provarà és registrar el seu propi telèfon. Aquesta política exigeix estar en una ubicació de confiança o tenir ja un MFA per registrar mètodes nous.

5. Bloquejar països on no operes

No atura per si sola un atacant (una VPN se la salta), però elimina molt soroll d'intents automatitzats. Convé combinar-la amb un grup d'excepció per a viatges, amb data de caducitat.

6. Polítiques basades en risc

Amb Entra ID P2, Identity Protection calcula el risc de l'inici de sessió (IP anònima, credencials filtrades, viatge impossible) i de l'usuari. Exigeix MFA amb risc d'inici de sessió mitjà o alt, i canvi de contrasenya segur amb risc d'usuari alt.

El pas següent: el dispositiu

Amb les sis anteriors en marxa, la millora més gran és exigir dispositiu gestionat (compliant a Intune o unit a Entra) per accedir a dades sensibles. Així, encara que algú robi una sessió, no la pot fer servir des d'un equip que no controles. És el pas que més protegeix contra el robatori de tokens que acompanya quasi tot BEC actual.

Com detectar si algú se les salta

Als logs d'inici de sessió, cada esdeveniment indica quines polítiques s'han aplicat i amb quin resultat. Busca inicis de sessió correctes amb resultat «notApplied» en usuaris que haurien d'estar coberts: sol ser una exclusió oblidada. I alerta de qualsevol canvi a les polítiques mateixes; modificar una política d'accés condicional és una de les primeres coses que fa un atacant amb privilegis.

Preguntes freqüents

Què és l'accés condicional?

La funció de Microsoft Entra ID que decideix si permet, bloqueja o exigeix requisits addicionals (MFA, dispositiu gestionat) a cada inici de sessió segons l'usuari, l'aplicació, la ubicació, el dispositiu i el risc.

Security defaults o accés condicional?

Security defaults si no tens llicència P1: és gratis i molt millor que res. Accés condicional tan bon punt tinguis P1, perquè permet excepcions controlades i mètodes d'MFA forts. No es poden fer servir les dues alhora.

Quant de temps deixar una política en mode només informe?

El suficient perquè hi passin els patrons normals d'ús: com a mínim una setmana completa, millor dues si hi ha usuaris que viatgen o treballen per torns.