Protección con contraseña de Microsoft Entra es una funcionalidad de seguridad que evita que los usuarios establezcan contraseñas fáciles de adivinar con el fin de mejorar la seguridad general de las contraseñas en una organización.

Nota: Este IoE se basa en las licencias de Microsoft Entra ID P1 o P2 para <a href="https://learn.microsoft.com/es-es/entra/identity/authentication/concept-password-ban-bad#license-requirements">acceder a los datos necesarios</a>. Si el inquilino no tiene la licencia necesaria (por ejemplo, Entra ID gratis), este IoE no devolverá ningún hallazgo.
Entra ID aprovecha la <a href="https://learn.microsoft.com/es-es/entra/identity/authentication/concept-password-ban-bad">Protección con contraseña de Microsoft Entra</a> para mitigar el riesgo de que los usuarios establezcan contraseñas que puedan adivinarse fácilmente y sean susceptibles a ataques de fuerza bruta. Esta funcionalidad utiliza una lista global de contraseñas prohibidas ― <a href="https://learn.microsoft.com/es-es/entra/identity/authentication/concept-password-ban-bad#:~:text=The%20global%20banned%20password%20list%20is%20automatically%20applied%20to%20all%20users%20in%20a%20Microsoft%20Entra%20tenant.%20There%27s%20nothing%20to%20enable%20or%20configure%2C%20and%20can%27t%20be%20disabled">habilitada de manera predeterminada y que no se puede deshabilitar</a>, que contiene contraseñas débiles de uso común ― que Microsoft mantiene y actualiza periódicamente.
Aunque Protección con contraseña de Microsoft Entra es una funcionalidad basada en la nube, las organizaciones pueden ampliarla a la instancia local clásica de Active Directory (también conocida como “Windows Server Active Directory”) como se describe en “<a href="https://learn.microsoft.com/es-es/entra/identity/authentication/concept-password-ban-bad-on-premises">Aplicación de Protección con contraseña de Microsoft Entra local en Active Directory Domain Services</a>”. Para facilitar esta integración, se instala un agente de Microsoft dedicado en los controladores de dominio de Active Directory locales mientras se configuran las políticas de protección con contraseña a través del portal de Entra basado en la nube.
Este indicador de exposición evalúa dos opciones de Protección con contraseña de Microsoft Entra que determinan su aplicación en el entorno local:
<ul>
<li>Se espera que “Habilitar protección con contraseña en Windows Server Active Directory” esté establecido en “Sí”.</li>
<li>Se espera que “Modo” esté definido en “Forzado”.</li>
</ul>
Nota:
<ol>
<li>Este IoE se ejecuta solo para inquilinos sincronizados con una instancia local de Active Directory (es decir, Microsoft Entra Connect o Microsoft Entra Cloud Sync). Su análisis se basa en la propiedad <code>onPremisesSyncEnabled</code> de <code>organization</code>.</li>
<li>Para habilitar Protección con contraseña de Microsoft Entra para el dominio de Active Directory local (como se describe en la sección de recomendaciones), es necesario que las organizaciones implementen un agente en todos los controladores de dominio dentro del entorno local. Este IoE comprueba las opciones pertinentes dentro del portal de Entra ID, pero no puede validar el estado real de implementación del agente en los controladores de dominio de Active Directory locales. Como consecuencia, existe la posibilidad de que se produzcan falsos negativos, en los que la configuración parezca compatible con Entra a pesar de que el agente no se haya implementado por completo o no funcione correctamente en todos los controladores de dominio de Active Directory.</li>
</ol>

Detecciones

Protección con contraseña no habilitada para entornos locales

MEDIUM

Version 202511131438