Exigir dispositivos administrados para el registro en la MFA hace que sea más difícil que los atacantes registren la MFA fraudulenta, en caso de robo de credenciales, si tampoco tienen acceso a un dispositivo administrado.

Permitir el registro en la autenticación multifactor (MFA) desde cualquier dispositivo, independientemente de su estado de administración o cumplimiento, genera un grave riesgo de seguridad. Si un atacante vulnera las credenciales de un usuario, podría registrar su propio factor de MFA desde un dispositivo no administrado. De esta forma, se saltaría la protección de la MFA, lo que daría al atacante el control del segundo factor de autenticación y permitiría el acceso no autorizado a recursos confidenciales, lo que podría llevar a la toma de control total de la cuenta.
El modelo de Zero Trust permite acciones críticas, como el registro en la MFA, solo desde dispositivos de confianza y que cumplan los requisitos. Limitar el registro en la MFA a los dispositivos administrados garantiza que el dispositivo que habilita esta funcionalidad de seguridad clave cumpla los estándares de la organización. Esto reduce enormemente el riesgo de que un atacante con credenciales robadas inscriba una MFA malintencionada.
La política <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.8v1</a> de CISA “M365 Secure Configuration Baseline for Microsoft Entra ID” (texto en inglés), exigida por BOD 25-01, establece de forma específica que los dispositivos administrados DEBERÍAN ser obligatorios para el registro en la MFA.
Si se siguen las pautas de CISA, este indicador de exposición (IoE) se asegura de que al menos una política de acceso condicional esté habilitada para autorizar únicamente a los dispositivos administrados para el registro en la MFA con la siguiente configuración:
<ul>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">Usuarios</a>” establecida para incluir “Todos los usuarios”.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-cloud-apps">Recursos de destino</a>” establecida en “Acciones de usuario”, con la opción “Registrar información de seguridad” seleccionada.</li>
<li>La opción “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant">Conceder</a>” establecida en “Conceder acceso”, con las opciones “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">Exigir que el dispositivo esté marcado como conforme</a>” y “<a href="https://learn.microsoft.com/es-es/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">Requerir un dispositivo unido a Microsoft Entra híbrido</a>” seleccionadas, con “Requerir uno de los controles seleccionados” seleccionado en la parte inferior.</li>
<li>La opción “Habilitar directiva” establecida en “Activado” (no “Desactivado” ni “Solo informe”).</li>
</ul>

Detecciones

Dispositivos administrados no necesarios para el registro en la MFA

MEDIUM

Version 202608241311

Version 202506111610

Version 202608241311 Aug 24, 2026, 1:11 PM Metadata (Explain that the Microsoft Entra Connect and Cloud Sync service accounts must be excluded from the recommended Conditional Access policy, since they cannot comply with its requirements, and also exclude the "On Premises Directory Sync Account" role from the policy created by the remediation script) Release: 202608241311
Version 202506111610 Jun 11, 2025, 4:10 PM New Release: 202506111610