Los métodos de autenticación heredados no admiten la autenticación multifactor (MFA), lo que permite a los atacantes seguir realizando ataques de fuerza bruta, relleno de credenciales y difusión de contraseñas.

<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/block-legacy-authentication">Según Microsoft</a>:
<blockquote>
[…] más del 97 % de los ataques de relleno de credenciales usan la autenticación heredada y más del 99 % de los ataques de difusión de contraseñas usan protocolos de autenticación heredados.
</blockquote>
Los métodos de autenticación heredados no admiten medidas de seguridad modernas, como la autenticación multifactor (MFA), un requisito estándar para mejorar la seguridad en las organizaciones.
Este indicador de exposición le alerta cuando un inquilino permite solicitudes de autenticación heredadas con cualquiera de los dos métodos posibles:
<ul>
<li><a href="https://learn.microsoft.com/es-es/entra/fundamentals/security-defaults">Valores predeterminados de seguridad</a>: opciones de seguridad preconfiguradas que incluyen el <a href="https://learn.microsoft.com/es-es/entra/fundamentals/security-defaults#block-legacy-authentication-protocols">bloqueo de protocolos de autenticación heredados</a>. Al habilitar esta opción, se activan simultáneamente varias funcionalidades de seguridad según lo recomendado por Microsoft.</li>
<li><a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/overview">Directivas de acceso condicional (CAP)</a>: estas directivas especifican eventos o aplicaciones que no permiten el uso de protocolos de autenticación heredados. Si bien pueden permitir dichos protocolos para usuarios y aplicaciones en particular, esta autorización no se extiende a todos los usuarios y aplicaciones. Este IoE comprueba si hay al menos una CAP habilitada que defina la <a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/howto-conditional-access-policy-block-legacy#create-a-conditional-access-policy">configuración de la plantilla de CAP “Bloqueo de la autenticación heredada”</a>.</li>
</ul>
Nota: Esta funcionalidad de la CAP requiere una licencia de Microsoft Entra ID P1 o superior y no viene con la licencia de Microsoft Entra ID gratis. Se recomienda especialmente para organizaciones consolidadas con necesidades de seguridad complejas que buscan definir con precisión sus criterios de autenticación.
Los valores predeterminados de seguridad y el acceso condicional son mutuamente excluyentes; no pueden usarse a la vez. Tenga en cuenta que <a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">las directivas de acceso condicional solo pueden dirigirse a roles de Entra integrados</a>, de modo que quedan excluidos los roles con alcance de unidad administrativa y los roles personalizados.
En <a href="https://learn.microsoft.com/es-es/entra/fundamentals/configure-security#block-legacy-authentication">Configuración de Microsoft Entra para aumentar la seguridad</a>, Microsoft también recomienda que se bloquee la autenticación heredada.

Initial Access (texto en inglés)

Valid Accounts: Cloud Accounts (texto en inglés)

Persistence (texto en inglés)

Account Manipulation (texto en inglés)

Detecciones

Autenticación heredada no bloqueada

MEDIUM

Version 202608241311

Version 202501101005

Version 202608241311 Aug 24, 2026, 1:11 PM Metadata (Explain that the Microsoft Entra Connect and Cloud Sync service accounts must be excluded from the recommended Conditional Access policy, since they cannot comply with its requirements, and exclude the two directory synchronization roles from the policy created by the remediation script) Release: 202608241311
Version 202501101005 Jan 10, 2025, 10:05 AM New Release: 202501101005