Grupo vacío

Si bien un grupo vacío puede no constituir siempre una “mala práctica”, su utilidad depende del caso de uso en particular y de los requisitos de la organización. Sin embargo, hay varios motivos por los que evitar los grupos vacíos o tener cuidado con ellos:

Puede que los equipos no entiendan la finalidad de un grupo vacío, lo que lleva a pérdidas de tiempo e ineficiencias.
Consecuencias de seguridad: si se asignan permisos al grupo, los usuarios que se agreguen posteriormente pueden heredar sin querer el acceso olvidado o involuntario.
Cumplimiento de las políticas: los grupos vacíos pueden desencadenar alertas o marcar problemas durante las auditorías de cumplimiento.
Recursos sin usar: los grupos sin usar contribuyen al desorden, por lo que la limpieza es fundamental para mantener la eficiencia.

Algunas situaciones pueden justificar la existencia de grupos vacíos, como cuando funcionan como marcadores de posición para uso futuro o como parte de una estrategia más amplia de control de acceso basado en roles (RBAC), donde los grupos están predefinidos por motivos de escalabilidad.

Grupo con un único miembro

En general, tener un grupo con un solo miembro se considera una práctica no recomendada. Crear un grupo para un único usuario genera complejidad y redundancia innecesarias. Los grupos están diseñados para simplificar la gestión del acceso mediante la consolidación de varios usuarios con permisos similares. Un grupo con un único miembro no cumple este propósito, lo que genera ineficiencia administrativa. En cambio, agrupar usuarios similares mejora la eficiencia y agiliza la gestión.
En algunos casos, puede ser necesario tener un grupo con un solo usuario, en particular cuando tiene un propósito específico dentro de una estrategia más amplia de control de acceso basado en roles (RBAC).

Personalización del perfil de seguridad

Active Directory u otros productos crean ciertos grupos durante la implementación. No elimine estos grupos, incluso si parece que no se usan. Para reducir los falsos positivos, este indicador de exposición ignora automáticamente los siguientes grupos de los productos comunes:

Grupos integrados: grupos con un atributo objectSID que empieza por “S-1-5-32-”.
Grupos específicos de AD: grupos con un atributo objectSID que empieza por “S-1-5-21-” y termina en un identificador relativo mayor o igual que 1000, con los grupos adicionales “DnsAdmins” y “DnsUpdateProxy”.
Grupos de Exchange: grupos denominados “Administración de cumplimiento”, “Configuración delegada”, “Administración de detección”, “Servidores de dominio de instalación de Exchange”, “Subsistema de confianza de Exchange”, “Permisos de Windows de Exchange”, “ExchangeLegacyInterop”, “Servicio de asistencia”, “Administración de higiene”, “Administración de la organización”, “Administración de carpetas públicas”, “Administración de destinatarios”, “Administración de registros”, “Administrador de seguridad”, “Lector de seguridad”, “Administración de servidores”, “Grupo de cuentas administradas del sistema”, “Administración de mensajería unificada” y “Administración de la organización de solo visualización”.
Grupos de Entra ID Connect: “ADSyncAdmins”, “ADSyncOperators”, “ADSyncBrowse” y “ADSyncPasswordSet”.

Puede ignorar los grupos adicionales con la opción dedicada “Whitelist de grupos”. Por el contrario, también puede habilitar la opción “Forzar análisis de grupos ignorados de manera predeterminada” para forzar el análisis de un grupo que el IoE ignore de manera predeterminada.
De manera predeterminada, los usuarios deshabilitados de un grupo se incluyen en el recuento de miembros. No obstante, puede filtrarlos mediante la opción “Conservar cuentas deshabilitadas”. Por ejemplo, si MiGrupo tiene dos usuarios deshabilitados:

De manera predeterminada, el IoE no detecta anomalías.
Si se deshabilita la opción “Conservar cuentas deshabilitadas”, el IoE marca el grupo como una anomalía de tipo “Grupo vacío”.
Limitación:
Este IoE no cuenta los usuarios que pertenecen a grupos a través de su grupo principal (PGID). Microsoft Entra Connect tiene una limitación similar. Asigne estos usuarios como miembros explícitos de los grupos y restaure su PGID predeterminado (p. ej., “Usuarios del dominio”) o, si no es posible, agréguelos a la whitelist.

Detecciones

Grupo no esencial

low

Descripción

Solución

Detalles del indicador