Obligue a los dispositivos administrados a impedir el acceso no autorizado y posibles vulneraciones. Según las prácticas recomendadas de seguridad, se deben usar políticas de acceso condicional para impedir que dispositivos no administrados se autentiquen en Entra ID.

De manera predeterminada, Microsoft Entra ID permite la autenticación desde cualquier dispositivo, lo que puede llevar a accesos no autorizados y vulneraciones, en especial si el dispositivo está en riesgo, no está en conformidad o está controlado por un atacante.
El modelo de Zero Trust establece que la autenticación debe depender del estado del dispositivo, lo que permite el acceso solo desde dispositivos que cumplen con las políticas de seguridad de la organización y son administrados por esta.
La política <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.7v1</a> de CISA “M365 Secure Configuration Baseline for Microsoft Entra ID” (texto en inglés), exigida por BOD 25-01, establece que los dispositivos administrados DEBERÍAN ser obligatorios para la autenticación. Si se siguen las pautas de CISA, este IoE se asegura de que al menos una política de acceso condicional incluya la siguiente configuración:
<ul>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">Usuarios</a>” establecida para incluir “Todos los usuarios”.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-cloud-apps">Recursos de destino</a>” establecida en “Todos los recursos”.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant">Conceder</a>” establecida en “Conceder acceso”, con las opciones “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">Exigir que el dispositivo esté marcado como conforme</a>” y “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">Requerir un dispositivo unido a Microsoft Entra híbrido</a>” seleccionadas, con “Requerir uno de los controles seleccionados” seleccionado en la parte inferior.</li>
<li>La opción “Habilitar directiva” establecida en “Activado” (no “Desactivado” ni “Solo informe”).</li>
</ul>
Si sigue la recomendación de Microsoft, este IoE se asegura de que al menos una política de acceso condicional incluya la misma configuración, con la adición de “Requerir la autenticación multifactor”, es decir:
<ul>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant">Conceder</a>” establecida en “Conceder acceso”, con las opciones “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-multifactor-authentication">Requerir la autenticación multifactor</a>”, “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compatible">Requerir que el dispositivo esté marcado como conforme</a>” y “[Requerir un dispositivo unido a Microsoft Entra híbrido](<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid">https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid</a> -joined-device)” seleccionadas, con “Requerir uno de los controles seleccionados” seleccionado en la parte inferior.</li>
</ul>

Detecciones

Dispositivos administrados no necesarios para la autenticación

MEDIUM

Version 202505121217