Permitir que todos los usuarios unan sin restricciones dispositivos al inquilino de Entra abre la puerta a que agentes maliciosos introduzcan dispositivos fraudulentos en el sistema de identidad de la organización y les ofrece un punto de apoyo para vulneraciones adicionales.

De manera predeterminada, Microsoft Entra ID concede a todos los usuarios de Entra el derecho a registrar sus dispositivos en el inquilino como <a href="https://learn.microsoft.com/es-es/entra/identity/devices/concept-directory-join">dispositivos unidos</a> a Microsoft Entra. Esta opción denominada <a href="https://learn.microsoft.com/es-es/entra/identity/devices/manage-device-identities#configure-device-settings">Los usuarios pueden unir dispositivos a Microsoft Entra</a> permite que cualquier usuario que haya iniciado sesión complete el proceso de unión. Si un agente malicioso vulnera la cuenta de un usuario normal, puede explotar este flujo de trabajo para inscribir una estación de trabajo fraudulenta que controle completamente. El dispositivo aparece en Entra ID con la víctima como propietario, hereda las políticas de <a href="https://learn.microsoft.com/es-es/windows/client-management/azure-active-directory-integration-with-mdm">gestión de dispositivos móviles (MDM)</a> de referencia de ese usuario y proporciona al atacante un punto de apoyo persistente y de confianza dentro del entorno.
Si bien la unión de dispositivos puede desencadenar verificaciones adicionales, como la autenticación multifactor (MFA), de manera predeterminada no se exige en el momento de la inscripción. Es decir, un atacante que tenga solo una contraseña robada puede inscribir un dispositivo desde cualquier lugar. Si hay errores de configuración en Microsoft Intune o las políticas de acceso condicional, el dispositivo fraudulento puede marcarse automáticamente como conforme, de modo que se cumplen las condiciones de acceso que suprimen más desafíos de autenticación. Una vez marcado como conforme, el atacante puede acceder de manera silenciosa a los recursos de la nube que están detrás de la autenticación de Entra ID sin tener que enfrentarse a ninguna solicitud de MFA.
El equipo de respuesta ante incidentes de Microsoft documentó <a href="https://www.microsoft.com/es-es/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#poor-device">vulneraciones del mundo real</a> en las que una cuenta comprometida mediante phishing se usó para unir un dispositivo fraudulento, saltarse verificaciones de cumplimiento con errores de configuración y filtrar datos confidenciales de los buzones de correo de Microsoft 365. Estos casos ponen de manifiesto cómo unas opciones de unión de dispositivos demasiado permisivas pueden ampliar drásticamente el radio de ataque de la vulneración de una sola cuenta.
Esta opción permisiva también autoriza que los empleados inscriban libremente dispositivos Windows y macOS personales (“traiga su propio dispositivo” o BYOD, por sus siglas en inglés), lo que infla el inventario de dispositivos de la organización y dificulta la detección de dispositivos malintencionados o no autorizados en esta dispersión de dispositivos sin administrar.
De manera predeterminada, cada usuario puede registrar hasta 50 dispositivos, lo que significa que una sola cuenta vulnerada puede hospedar decenas de puntos de conexión controlados por atacantes sin que se desencadenen las alertas. Estas uniones controladas por usuarios tienen lugar fuera de los flujos de aprovisionamiento seguro, como el <a href="https://learn.microsoft.com/es-es/autopilot/self-deploying">modo de autoimplementación de Windows Autopilot</a>, de forma que se omiten la certificación de hardware y otras medidas de protección de incorporación de las que depende el acceso condicional para comprobar la confianza de los dispositivos.

Detecciones

Usuarios con permiso para unir dispositivos

LOW

Version 202608241311